Контејнери
Docker: Мотор за контејнере који сви остали копирају
Docker је контејнере претворио у свакодневни језик: слике, регистри и CLI који је „ради на мом рачунару“ претворио у питање паковања. Остаје подразумевани мотор на већини хостинг система, а његова оперативна површина, хигијена слика, безбедност демона и Compose токови рада, одлучује да ли контејнери смањују оперативни ризик или га само препакују.
Кључне точке
- Ментални модел су слике плус слојеви: свака слика је стек кешираних слојева, свака инструкција у Dockerfile-у ствара један, а редослед изградње контролише погађаје кеша; изградња у више фаза држи завршне слике малим (алати за изградњу никада не иду у продукцију), а кеш слојева је ваш буџет за брзину изградње.
- Демон је привилегована површина: Docker-ов коренски демон са API сокетом је еквивалент корена на домаћину; ако изложите сокет контејнеру (класично повезивање -v /var/run/docker.sock), предали сте машину; став за 2026. је rootless режим, кориснички именски простори и ревизија сокета уместо навике.
- Compose је стандард за мале системе: декларисани стекови више услуга са томовима, мрежама и проверама здравља као код; већини хостинг оптерећења никада не треба машинерија оркестратора, а Compose дисциплина (декларисане зависности, провере здравља, политике поновног покретања) чини мале системе стабилним.
- Управљање ресурсима прелази на cgroups: ограничења меморије и горње границе CPU по контејнеру су обавезни на дељеним домаћинима (иначе једна изградња која цури или cron који је пошао по злу поједе домаћина); логови по задужењу иду у огромне JSON датотеке без конфигурације ротације, отуда класични инциденти с пуним диском.
- Хигијена слика је хигијена ланца снабдевања: скенирање CVE-а (алатке као Trivy, наш посвећени чланак то покрива), причвршћивање дигеста уместо промењивих ознака, тајне никада уграђене у слојеве (аргументи изградње цуре, монтаже не цуре), и приватни регистар са провером потписа тамо где набавка то тражи.
- Поштене границе: Docker Swarm постоји, али замах индустрије је иза Kubernetes-а (видите наш посвећени чланак), а регистри, складишни драјвери и мрежни модели сваки додају површину за учење; слатка тачка за хостинг посао остају Compose стекови на неколико добро надгледаних домаћина.
Теренска биљешка
Инцидент на Docker домаћину због којег смо написали правило о ограничењима ресурса: један контејнер за изградњу без ограничења појео је меморију домаћина и оборио базе паркиране поред њега. Те недеље је све добило ограничења, а дисциплина је од тада преживела још три изградње које су пошле по злу без позива.
Цесто постављања питања
Да ли је Docker мртав сада када постоји Podman?
Није: Docker остаје подразумевани мотор који готово сви подржавају, а Podman отворено циља на компатибилност с CLI-јем. Избор је између демона и безбедносног става без демона и избор OS-а (RHEL испоручује Podman; Ubuntu екосистеми често остају на Docker-у). Оба су покривена у нашем чланку docker-vs-podman.
Којих је првих пет безбедносних потеза на Docker домаћину?
Rootless или userns-remap режим, никакво повезивање сокета у контејнере, ограничења ресурса свуда, аутоматско скенирање слика у CI-ју и ротација логова подешена пре првог инцидента с пуним диском.
Да ли контејнери укидају потребу за крпењем домаћина?
Апсолутно не: језгро домаћина, мотор и складишни стек се и даље крпе; контејнери премештају ритам крпења апликативног слоја на поновну изградњу слика, што је добитак у дисциплини само ако нешто заиста покреће поновне изградње (наша навика са CI гејтом за контејнере).
Када је Docker превише?
За кутије с једном услугом и једним окружењем (један PostgreSQL сервер, један WordPress домаћин), добро закрплана нативна инсталација има мању површину и лакше се надгледа; контејнери се исплате када преносивост слика или изолација више услуга носе оптерећење.
Како Kinetikatech помаже код контејнери
Данас то радимо овако: Управљање, оркестрација и безбедност контејнера у продукционим окружењима. Наша услуга Server Management и Linux Server Security покрива све, од процјене до имплементације, надзора 24/7 и хитне интервенције у 30 минута.