דוקר עבור מתחילים: מדריך מעשי לקונטיינרים

מושגים בסיסיים של Docker

עכשיו שהתקנת את Docker, כנראה תרצה להתחיל ישירות להפעיל תוכניות. אך לפני שנעשה זאת, חשוב להבין מספר מושגים מרכזיים המהווים את בסיס עבודתו של Docker. מושגים אלה יסייעו לך לנווט ב-Docker בצורה יעילה יותר ולהימנע משקלולים נפוצים של מתחילים.

בלב ה – Docker נמצאים תמונות, שמשמשות כתוכניות למיכלים; מיכלים, שהם המופעים הרצים של תמונות אלו; ו – Docker Hub, מאגר מרכזי לשיתוף וניהול של תמונות.

בואו נכנס לפרטים של כל אחד מהמושגים הללו.

תמונות של Docker

תמונות של Docker הן בלוקים בסיסיים בייצוב של קונטיינרים. הן הן תבניות לא משתנות וקריאות בלבד שמכילות הכל שנדרש כדי להפעיל אפליקציה, כולל מערכת הפעלה, קוד אפליקציה, זמן ריצה ותלויות.

התמונות נבנות באמצעות Dockerfile, שמגדיר את ההוראות ליצירת שכבת תמונה.

תמונות ניתן לאחסן ולאחזר ממרשם קונטיינרים כגון Docker Hub.

הנה כמה דוגמאות לפקודות עבודה עם תמונות:

• docker pull nginx: לשוך את תמונת ה-Nginx האחרונה מ-Docker Hub.
• docker images: לרשום את כל התמונות הזמינות על המחשב המקומי.
• docker rmi nginx: להסיר תמונה מהמחשב המקומי.

קונטיינרים של Docker

קונטיינר של Docker הוא מופע פועל של תמונת Docker. קונטיינרים מספקים סביבת ריצה בידוד שבה יש אפשרות להפעיל אפליקציות בלי להשפיע על זה אחד את השני או על מערכת המחשב המארחת. לכל קונטיינר יש מערכת קבצים, רשת ומרחב תהליכים עצמאיים אך משתף את ליבת המערכת המארחת.

קונטיינרים עוקבים אחר מחזור חיים פשוט הכולל יצירה, התחלה, עצירה ומחיקה. הנה פירוט של פקודות ניהול קונטיינרים נפוצות:

1. יצירת מיכל: docker create או docker run
2. הפעלת מיכל: docker start
3. עצירת מיכל: docker stop
4. איתחול מחדש של מיכל: docker restart
5. מחיקת מיכל: docker rm

בואו נראה דוגמה מעשית. הפקודה הבאה מפעילה מיכל Nginx במצב מנותק (רץ ברקע), מטמיעה את פורט 80 בתוך המיכל לפורט 8080 במכונת המארח:

docker run -d -p 8080:80 nginx

לאחר ביצוע הפקודה הזו, Docker יחלוץ את תמונת ה-Nginx (אם עדיין לא זמינה), ייצור מיכל ויפעיל אותו.

כדי לבדוק את כל המיכלים הפועלים והעצורים:

docker ps -a

זה יציג רשימה של כל הקונטיינרים ופרטים כמו הסטטוס שלהם והפורט שהוקצה להם.

Docker Hub

Docker Hub הוא שירות רישום מבוסס ענן למציאת, אחסון והפצת תמונות קונטיינר. משתמשים יכולים לדחוף תמונות מותאמות אישית ל-Docker Hub ולשתף אותן בפומבי או באופן פרטי.

הנה כמה פקודות לאינטראקציה עם Docker Hub:

• docker login: Authenticate with Docker Hub.
• docker push my-image: העלה תמונה שנבנתה בהתאמה אישית ל-Docker Hub.
• docker search ubuntu: חפש תמונות רשמיות ומקהילתיות.
• docker pull ubuntu: הורד תמונת Ubuntu מ-Docker Hub.

חדש בקונטיינריזציה? קבל בסיס מוצק עם קורס המושגים של קונטיינריזציה ווירטואליזציה.

הרצת הקונטיינר הראשון שלך עם Docker

עכשיו שכיסינו את המושגים הבסיסיים של Docker, הגיע הזמן לשים אותם בפעולה! בואו נתחיל בהרצת הקונטיינר הראשון שלנו כדי לוודא ש-Docker מותקן כראוי ועובד כפי שמצופה.

כדי לבדוק את התקנת Docker שלך, פתח את PowerShell (חלונות) או את הטרמינל (מק ולינוקס) והרץ:

docker run hello-world

זה שולף את hello-world תמונה מ-DockerHub ומריץ אותה בקונטיינר.

דוגמה לתמונת Docker hello-world

עכשיו, בואו נלך צעד קדימה ונפעיל אפליקציה בעולם האמיתי – שרת אינג'ינקס. בצע את הפקודה הבאה:

docker run -d -p 8080:80 nginx

הפקודה לעיל עושה את הדברים הבאים:

• הדגל -d מריץ את ה-container במצב נפרד, כלומר הוא רץ ברקע.
• הדגל -p 8080:80 ממפה את פורט 80 בתוך ה-container לפורט 8080 במחשב המקומי שלך, מאפשר לך לגשת לשרת האינטרנט.

לאחר שהפקודה רצה בהצלחה, פתח דפדפן ובקר בכתובת: http://localhost:8080

גישה לשרת האינטרנט בכתובת localhost:8080

תראו את עמוד הברכה המוגדר כברירת מחדל של אינג'ינקס, מאשר שהשרת שלך פועל בתוך קונטיינר!

תראו גם קונטיינר רץ ב-Docker Desktop שלכם:

קונטיינר ה-Nginx רץ על פורט 8080

בניית התמונה הראשונה שלך ב-Docker

עד כה, השתמשנו בתמונות מוכנות מ-Docker Hub. אך מה עשויים לקרות אם נדרשת סביבה מותאמת אישית עבור היישום שלך? כאן נכנס בתמונת Docker שאתה בונה בעצמך.

יצירת תמונת Docker כוללת כתיבת Dockerfile, סקריפט שמאפשר אוטומציה של בניית התמונה. זה מבטיח עקביות וניידות בין סביבות שונות. לאחר בניית התמונה, ניתן להפעיל אותה כקונטיינר כדי להפעיל אפליקציות בסביבה מבודדת.

בסעיף זה, נלמד את היסודות של כתיבת Dockerfile, בניית תמונה מותאמת אישית, והפעלתה כקונטיינר.

יסודות Dockerfile

קובץ Dockerfile הוא סקריפט המכיל סדרה של הוראות שמגדירות כיצד נבנה תמונת Docker. זה מאופטמז את תהליך יצירת התמונה, מבטיח עקביות בסביבות. כל הוראה ב־Dockerfile יוצרת שכבה חדשה בתמונה. הנה פירוט של Dockerfile לדוגמה של אפליקציה פלאסק פשוטה בפייתון:

# תמונת בסיס המכילה סביבת ריצה של פייתון
FROM python:3.9

# הגדרת תיקיית העבודה בתוך הקונטיינר
WORKDIR /app

# העתקת קבצי האפליקציה מהמארח לקונטיינר
COPY . /app

# התקנת התלויות שמצוינות ב־requirements.txt
RUN pip install -r requirements.txt

# הגדרת הפקודה להפעלת אפליקציית Flask כאשר הקונטיינר מתחיל
CMD ["python", "app.py"]

בפקודה שמופיעה לעיל:

• -v my-volume:/app/data מרבית את אחסון ה־my-volume לתיקיית /app/data בתוך הקונטיינר.
• כל נתונים שמאוחסנים ב־/app/data יישמרו גם אם הקונטיינר עוצר או נמחק.

פירוט של קובץ ה־Dockerfile למעלה:

• מתוך python:3.9: מציין את התמונת הבסיס עם Python 3.9 מותקן מראש.
• WORKDIR /app: מגדיר את /app כתיקיית העבודה בתוך ה-container.
• COPY . /app: מעתיק את כל הקבצים מתיקיית העבודה הנוכחית של המארח לתיקיית /app ב-container.
• RUN pip install -r requirements.txt: מתקין את כל התלויות הדרושות בתוך ה-container.
• CMD ["python", "app.py"]: מגדיר את הפקודה לביצוע כאשר ה-container מתחיל.

בניית והרצת התמונה

לאחר שהוגדר קובץ ה־Dockerfile, ניתן לבנות ולהריץ את התמונה באמצעות הפקודות הבאות:

שלב 1: לבנות את התמונה

docker build -t my-flask-app .

הפקודה הבאה:

• משתמשת בתיקיית העבודה הנוכחית (.) כהקשר בנייה.
• קוראת את קובץ ה־Dockerfile ומבצעת את ההוראות שבתוכו.
• מסמנת את התמונה התוצאה עם התגית (-t) כ־my-flask-app.

שלב 2: להריץ את התמונה כמיכל

docker run -d -p 5000:5000 my-flask-app

הפקודה הבאה:

• הפעלת ה-container במצב מנותק (-d).
• מפגיש את יציאת ה-5000 בתוך ה-container ליציאת ה-5000 במארח (-p 5000:5000).

לאחר הפעלה, ניתן לגשת ליישום Flask על ידי ניווט ל-http://localhost:5000 בדפדפן.

נפחי Docker והתמיכה בקיימות

לפי ברירת מחדל, הנתונים בתוך ה-container של Docker הם זמניים—לאחר שה-container מפסיק או מוסרף, הנתונים נעלמים. כדי לשמור נתונים גם בהפעלות מחדש של ה-container ולשתף אותם בין מספר של containerים, Docker מספק נפחים, מנגנון מובנה לניהול אחסון קיימות ביעילות.

בניגוד לאחסון נתונים בתוך מערכת הקבצים של ה-container, הנפחים ניהלים בנפרד על ידי Docker, מה שהופך אותם ליעילים יותר, גמישים יותר וקלים יותר לגיבוי.

בקטע הבא, נבחן כיצד ליצור ולהשתמש בנפחים של Docker על מנת להבטיח קיום נתונים ב-containerים שלך.

יצירה ושימוש בנפחים של Docker

שלב 1: יצירת נפח

לפני שנשתמש בנפח, עלינו ליצור אחד. הריצו את הפקודה הבאה:

docker volume create my-volume

זה יוצר נפח בשם my-volume, שיהיה Docker ינהל בנפרד מכל container ספציפי.שלב 2: השתמש בנפח ב-container

עכשיו, בואו נתחיל קונטיינר ונחבר את הנפח בתוכו:

docker run -d -v my-volume:/app/data my-app

בפקודה למעלה:

• -v my-volume:/app/data מחבר את האחסון my-volume לתיקיית /app/data בתוך הקונטיינר.
• כל נתון שנשמר ב/app/data יישאר קיים גם אם הקונטיינר מפסיק לפעול או נמחק.

דוקר קומפוז עבור אפליקציות מרובות קונטיינרים

עד כה, עבדנו עם אפליקציות של קונטיינר אחד, אך רבות מהאפליקציות בעולם האמיתי דורשות מספר קונטיינרים לפעול יחד. לדוגמה, אפליקציה אינטרנטית עשויה להזדקק לשרת גב, מסד נתונים, ושכבת קאש—כל אחד פועל בקונטיינר משלו. ניהול קונטיינרים אלו ידנית עם פקודות docker run נפרדות יכול במהרה להפוך למייגע.

כאן נכנס לתמונה דוקר קומפוז.

מה זה דוקר קומפוז?

Docker Compose הוא כלי שמקל על ניהול אפליקציות מרובות תקיות. במקום להריץ פקודות docker run מרובות, אפשר להגדיר את כל התשתית של האפליקציה באמצעות קובץ docker-compose.yml ולהשקתה בפקודה אחת.

כתיבת קובץ Docker Compose

עכשיו, בואו ניצור דוגמה ממשית – אפליקציה פשוטה ב-Node.js שמתחברת למסד נתונים של MongoDB. במקום לנהל את שני ה-containerים בנפרד, נגדיר אותם בקובץ docker-compose.yml.

הנה כיצד אנו מגדירים את הפתרון מרובה-container שלנו ב-Docker Compose:

version: '3'
services:
  web:
    build: .
    ports:
      - "3000:3000"
    depends_on:
      - database
  database:
    image: mongo
    volumes:
      - db-data:/data/db
volumes:
  db-data:

פירוט הקובץ לעיל:

• version: '3': מציין את גרסת Docker Compose.
• services:: מגדיר שירותים יחידים (containerים).
• web:: מגדיר את אפליקציית האינטרנט ב-Node.js.
• database:: מגדיר את ה-container של מסד הנתונים של MongoDB.
• volumes:: יוצר כרטיסית מסד נתונים בשם (db-data) לשמירת הנתונים של MongoDB.

הפעלת אפליקציות מרובות-container

כאשר הקובץ docker-compose.yml מוכן, אפשר להשיק את כל מערכת האפליקציה בפקודה אחת:

docker-compose up -d

הפקודה הקודמת מפעילה את שני ה-containerים, ה-web וה-database, במצב נתפקד (-d).

כדי לעצור את כל השירותים, יש להשתמש:

docker-compose down

זה מפסיק ומסיר את כל המיכלים בזמן ששומר על נפחים והגדרות רשת.

יסודות רשת של Docker

עד כה, דגשנו על הפעלת מיכלים וניהול אחסון, אך מה קורה כאשר מיכלים צריכים לתקשר זה עם זה? ברוב היישומים בעולם האמיתי, מיכלים אינם פועלים בבידוד – הם צריכים להחליף נתונים, בין אם שרת אינטרנט נושא שיחה עם מסד נתונים או שירותים קטנים מתקשרים זה עם זה.

Docker מספק מגוון אפשרויות רשת כדי להתאים עצמו למקרים שונים, מרשתות פנימיות מבודדות ועד הגדרות נגישות חיצוניות.

מוכן להעלות את הכישורים שלך ב-Docker? הרשם ל Docker בינוני כדי לחקור בנייה בשלבים מרובים, רשתות מתקדמות, ועוד!

מהו רשתות Docker?

רשתות Docker היא תכונה מובנית שמאפשרת למיכלים לתקשר זה עם זה, בין אם על אותו מארח או בין מארחים מרובים בסביבה מבוזרת. היא מספקת בידוד רשת, תילוק ואפשרויות קישוריות המתאימות לתרחישי הפצה שונים.

Docker תומך במספר סוגי רשתות, כל אחד מהם משרת מקרי שימוש שונים:

• גשר (ברירת מחדל): מיכלים באותו מארח מתקשרים דרך רשת וירטואלית פנימית. כל מיכל מקבל כתובת IP פרטית בתוך רשת הגשר, והם יכולים להגיע אחד אל השני דרך שמות המיכלים.
• דוגמה: docker network create my-bridge-network
• מושלם להפעלת מספר תוכניות במיכל אחד על מארח אחד שצריכות לתקשר באופן מאובטח מבלי לחשוף שירותים חיצוניים.
• מארח: המיכלים משתפים את רשת התקשורת של המארח ומשתמשים ישירות בכתובת ה-IP ובפורטים של המארח.
• דוגמה: docker run --network host nginx
• שימושי כאשר נדרש ביצועים גבוהים ואין צורך בבידוד רשת, כגון הפעלת סוכני מעקב או אפליקציות בהפרעה נמוכה.
• הרמסה: מאפשר תקשורת בין תכולה במארחים שונים על ידי יצירת רשת מבוזרת.
• דוגמה: docker network create --driver overlay my-overlay-network
• מיועד להתקנות שמופעלות כמאורכזות כמו Docker Swarm, בהן שירותים נמצאים במספר צמתים שונים.
• Macvlan: משייך כתובת MAC ייחודית לכל תוכנית, כך שהיא נראית כהתקן פיזי ברשת.
• דוגמה: docker network create -d macvlan --subnet=192.168.1.0/24 my-macvlan
• משמש כאשר התוכניות צריכות גישה ישירה לרשת, כגון כאשר משתלבים עם מערכות מורשות או מתקשרים עם רשתות פיזיות.

הפעלת תוכניות ברשתות מותאמות

בואו נתחיל עם איך להגדיר ולהשתמש ב-רשת גשר מותאמת אישית לתקשורת בין תוכניות.

שלב 1: יצירת רשת מותאמת אישית

לפני הפעלת התוכניות, עלינו ליצור רשת מוקצה:

docker network create my-custom-network

פקודה זו יוצרת רשת מבודדת שתיקומים יכולים להצטרף אליה לתקשורת בין התיקומים.

שלב 2: הפעלת תיקומים על הרשת

עכשיו, בואו נפעיל שני תיקומים ונחבר אותם לרשת שנוצרה כעת:

docker run -d --network my-custom-network --name app1 my-app
docker run -d --network my-custom-network --name app2 my-app

• הדגל --network my-custom-network מחבר את התיקום לרשת שצוינה.
• הדגל --name מעניק שם ייחודי לתיקום, מה שהופך את ההפנייה אליו לקלה יותר.

שני התיקומים, app11 וapp2, יכולים כעת לתקשר באמצעות שמות התיקומים שלהם. ניתן לבדוק את הקישוריות באמצעות פקודת ping` בתוך אחד מהתיקומים:

docker exec -it app1 ping app2

אם הכל מוגדר נכון, תראה תשובה מאשרת שהמיכלים יכולים לתקשר אחד עם השני.

בדיקת רשתות של Docker

כדי לאמת תצורת רשת ומיכלים המחוברים, יש להשתמש בפקודה:

docker network inspect my-custom-network

הפקודה מספקת פרטים על הרשת, כולל טווחי IP, מיכלים המחוברים והגדרות.

חשיפת ופרסום יציאות

כאשר מוריץ מיכלים שצריכים להיות נגישים מבחוץ, ניתן לחשוף יציאות ספציפיות.

לדוגמה, כדי להפעיל שרת אינג'ינקס ולחשוף אותו על יציאה 8080 של המחשב המקומי שלך, יש להשתמש ב:

docker run -d -p 8080:80 nginx

מפה זו מבצעת פורט 80 בתוך ה-container לפורט 8080 ב-host, מאפשרת גישה לשירות דרך http://localhost:8080.

Best practices for Docker networking

• השתמש ברשתות מותאמות: ניתן למנוע שימוש ברשת הגשר ברירת המחדל להטמעות בסביבת ייצור כדי להפחית גישה בלתי רצויה בין ה-containerים.
• השתמשו בגילוי על בסיס DNS: במקום לקבוע ידנית כתובות IP, השתמשו בשמות המיכלים כדי לאפשר גילוי שירותים דינמי.
• הגבילו את החשיפה החיצונית: השתמשו בגישה לגיליון אש, או מדיניות רשת כדי לשלוט בגישה לשירותים.
• נטרו את תעבורת הרשת: השתמשו בכלים כמו docker network inspect, Wireshark, או Prometheus כדי לנתח את תעבורת הרשת ולזהות חריגויות.
• למקסם רשתות חפצים: במיקום מבוזר, יש לכוון את רשתות החפצים להפחתת לטנציה על ידי השתמשות באפשרויות ניתוב מקומיות של המארח.

Docker Best Practices and Next Steps

עכשיו שלמדתם את היסודות של Docker, הגיע הזמן לשדרג את הכישורים שלכם ולאמץ את הפרקטיקות הטובות שיעזרו לכם לבנות אפליקציות ממוחשבות בצורה מאובטחת, יעילה וניתנת לתחזוקה.

הפרקטיקות הטובות הבאות יעזרו לכם לזרז את תהליכי העבודה שלכם עם Docker ולהימנע מתהליכי נפילה נפוצים.

• השתמשו בתמונות בסיס רשמיות: תמיד עדיפות לתמונות בסיס רשמיות ומתוחזקות היטב כדי להבטיח אבטחה ויציבות. תמונות רשמיות מותאמות, מתעדכנות באופן קבוע, ופחות סבירות להכיל חולשות אבטחה.
• שמרו על גודל קטן של תמונות: צמצמו את גודל התמונה על ידי בחירת תמונת בסיס מינימלית (לדוגמה, python:3.9-slim במקום python:3.9). הסירו תלויות וקבצים מיותרים על מנת לאופטימז את שטח האחסון ואת זמני ההורדה.
• השתמשו בבנייה רב-שלבית: אופטימיזו את קבצי ה-Docker על ידי פיצול התלויות בנייה וריצה. בנייה רב-שלבית מבטיחה כי רק הארטיפקטים הנחוצים יכללו בתמונה הסופית, צמצום גודל ושטח התקפה.
• תייג תמונות באופן תקין: תמיד עשה שימוש בתגי גרסה (לדוגמה, my-app:v1.0.0) במקום latest כדי למנוע עדכונים בלתי צפויים בעת משיכת תמונות.
• סרוק תמונות לאי-אבטחות: השתמש בכלים לסריקת אבטחה כגון docker scan, Trivy, או Clair כדי לזהות ולתקן אי-אבטחות בתמונות שלך לפני ההטבעה.
• נהל משתני סביבה בצורה מאובטחת: תמנע מאחסון שם משתמש וסיסמא בתוך התמונות. השתמש בסודות של Docker, משתני סביבה, או כלים חיצוניים לניהול סודות כמו AWS Secrets Manager או HashiCorp Vault.
• השתמש בקבצי .dockerignore: השל בקבצים מיותרים (למשל, .git, node_modules, venv) כדי להפחית את גודל ההקשר לבנייה ולמנוע הכלה בטעות של קבצים רגישים בתמונות.
• אפשר רישום וניטור: השתמש בכלים כמו Prometheus, Grafana, ו- Fluentd עבור רישום וניטור של לוגים של הקונטיינרים. בדוק לוגים באמצעות docker logs ואפשר רישום מובנה עבור תצפית טובה יותר.

כשתלמד את היסודות של Docker, ישנם הרבה נושאים מתקדמים לחקור. הנה מספר תחומים שכדאי לחקור לאחר מכן:

• דוקר סווארם ו־קוברנטיס: עיין ב־דוקר סווארם (אשר מבוסס על אשפוז פורצן) ו־קוברנטיס (פתרון לאורכסטרציה ברמה עסקית עם התרגשות אוטומטית וגילוי שירות) לאורכסטרציה ברמה עסקית.
• פרקטיקות אבטחת מיכלים: כדי לאבטח אפליקציות במיכלים, יש לעקוב אחר ההנחיות של CIS Docker Benchmark וליישם בקרת גישה בהתבסס על תפקידים (RBAC).
• צינורות CI/CD עם Docker: אוטומציה של בניית תמונות, סריקות אבטחה והפצות באמצעות GitHub Actions, GitLab CI או Jenkins.
• פיתוח נייטיבי לענן: לנצל את Docker עם פלטפורמות ענן כמו AWS ECS, Azure Container Instances ו-Google Cloud Run להפצות קלות וניהול רב-רמתי.
• אסטרטגיות עמידת נתונים: לניהול אופטימלי של אחסון, יש להבין את ההבדלים בין כריים של Docker, חיבורי קישור חיצוני ו-tmpfs.

מסקנה

דוקר שינתה איך מפתחים בונים, משלחים ומריצים אפליקציות, הופכת אותו לכלי חיוני לפיתוח תוכנה מודרני.

במדריך זה כיסינו:

• מה זה Docker ולמה זה חשוב
• כיצד להתקין ולהריץ תוך-קיינר ראשון שלך
• מושגים מרכזיים כמו תמונות, תוך-קיינרים ורשתות
• אחסון קבוע עם כריות Docker
• יישומים רבי-תכליתיים עם Docker Compose
• שיטות מובילות לאבטחה, ביצועים וקידוח יכולת

אבל זה רק ההתחלה! אם ברצונך להעמיק בידע שלך ב-Docker, תוכל לקחת קורס מתחיל הקדמה ל-Docker. למידע עמוק יותר, תוכל לקחת קורס Docker בינוני שמכסה בניית שלבים מרובים, כלי רשת של Docker ו-Docker Compose. לבסוף, תוכל גם לשקול לקחת תעודת הסמכה ב-Docker, ניתן לבדוק את מדריך הסמכת Docker המלא (DCA) לשנת 2025 אם יש עניין!