Docker — izolované kontajnery pre stabilné weby

Čo je kontajner — a prečo na ňom záleží pre váš web

Kontajner je štandardizovaný balík, ktorý obsahuje aplikáciu a úplne všetko, čo potrebuje na beh: runtime, knižnice, konfiguráciu. Kontajner beží izolovane od zvyšku servera, no priamo využíva linuxové jadro hostiteľa — bez samostatného operačného systému pre každú aplikáciu. Docker, uvedený v roku 2013, zmenil túto technológiu na dostupný štandard; formát image je dnes štandardizovaný ako OCI (Open Container Initiative) a beží rovnako na akomkoľvek linuxovom serveri alebo v cloude.

Klasickou analógiou je námorný kontajner: nech obsahuje akýkoľvek tovar, má rovnaký štandardný tvar a dá sa preložiť na akúkoľvek loď, vlak či nákladné auto. Rovnako sú služby 4buildsite, ktoré váš web budujú a doručujú — editor, API FastAPI, renderovací engine — zabalené v štandardných images, ktoré bežia rovnako na testovacom aj produkčnom serveri. Pre vás ako majiteľa webu alebo e-shopu to znamená predvídateľnosť: to, čo ste videli v preview, je presne to, čo dostanú návštevníci.

• Kontajner = aplikácia + jej závislosti, v jedinom izolovanom balíku
• Štandardný formát OCI — ten istý image beží na akomkoľvek serveri alebo v cloude
• Bez samostatného operačného systému pre každú službu — štart v sekundách, nie minútach
• Na 4buildsite kontajnerizáciu spravuje platforma — vy iba publikujete

Izolácia: váš web nezávisí od susedov

Na klasickom zdieľanom hostingu zdieľajú stovky webov ten istý server, tie isté procesy a často aj tú istú inštaláciu PHP. Ak sused dostane nápor návštevnosti alebo zle napísaný skript spotrebuje celý procesor, váš web sa spomalí — fenomén „hlučného suseda“. 4buildsite rieši problém z dvoch strán. Prvá: publikované weby sa renderujú staticky — na serveroch, ktoré ich doručujú, nebeží kód pre jednotlivé weby (PHP, pluginy, skripty), takže neexistuje zle napísaný skript suseda, ktorý by spotreboval procesor. Druhá: služby platformy bežia každá vo vlastnom kontajneri, s oddelenými procesmi a súbormi (cez namespaces) a s možnosťou limitov CPU a pamäte (cez cgroups, mechanizmy z linuxového jadra).

Izolácia je rovnako dôležitá aj pre bezpečnosť. Na zdieľanom hostingu sa napadnutý web môže stať bránou k susedným webom na tom istom serveri. Na 4buildsite je publikovaný web súborom statických súborov — nebeží kód, ktorý by sa dal napadnúť cez pluginy či témy — a služby platformy, ktoré spracúvajú dáta (objednávky, platby, editor), sú v samostatných kontajneroch: súborový systém je izolovaný a prípadný incident zostáva uzavretý v príslušnom kontajneri.

• Publikovaný web = statické súbory — žiadny kód pre jednotlivý web, ktorý by sa dal napadnúť
• Služby platformy: oddelený súborový systém a procesy pre každý kontajner
• Predvídateľné doručovanie: statické súbory, bez kódu vykonávaného pri každej návšteve

Rovnaká verzia všade: žiadne „funguje u mňa, naživo nie“

Najčastejším zdrojom chýb v klasickom webe je rozdiel medzi prostredím, v ktorom sa web testoval, a serverom, na ktorom beží naživo: iná verzia jazyka, chýbajúce rozšírenie, iná konfigurácia. Image Dockeru túto celú kategóriu problémov odstraňuje: image sa zostaví raz, so všetkými pripnutými závislosťami, a presne ten istý artefakt beží v teste aj v produkcii. Neexistuje „manuálne nakonfigurované na serveri“.

Pre vás sa to priamo premieta do stability. Keď upravíte web vo vizuálnom editore na panel.4buildsite.net a stlačíte publikovať, verzia, ktorá sa dostane k návštevníkom, prešla vždy tými istými krokmi, tými istými kontajnerizovanými službami. Menej prekvapení po publikácii znamená menej nocí s padnutým e-shopom — a pre online obchod každá hodina výpadku znamená stratené objednávky.

Publikácie s atómovým prepnutím a rollback

Na 4buildsite publikácia neznamená „vypneme web, skopírujeme súbory, dúfame“. Každá publikácia vygeneruje novú, kompletnú verziu vášho webu — renderovanú staticky, oddelene od tej, ktorá je naživo — a prepnutie na ňu je atómové: jedinou operáciou začne doručovacia služba servírovať novú verziu. Rovnaký princíp platí pre služby platformy: nová verzia kontajnera sa spustí vedľa starej a prevezme prevádzku až po kontrolách zdravia.

Rovnako dôležitá je cesta späť. Každá publikovaná verzia webu sa uchováva nedotknutá, takže návrat k predchádzajúcej verzii znamená jednoducho prepnutie späť — jednoduchá operácia, nie obnova zo zálohy trvajúca hodiny. Ak publikácia prinesie problém, váš e-shop nezostane uviaznutý na chybnej verzii. Jediný čestný dodatok: dáta (objednávky, produkty, obsah) žijú v databáze, oddelene od publikovaných verzií — preto sú spravované na perzistentných zväzkoch, oddelene od súborov webu.

• Každá publikácia = nová, kompletná verzia, prepnutá atómovo v jednej operácii
• Rollback = prepnutie späť na predchádzajúcu verziu
• Zmeny publikujete kedykoľvek, aj v plnej predajnej sezóne

Efektivita a náklady: vyšší výkon za rovnaké peniaze

Klasický virtuálny stroj spúšťa pre každú aplikáciu kompletný operačný systém — gigabajty pamäte a minúty štartu spotrebované len na „obal“. Kontajnery zdieľajú jadro hostiteľa, takže na tom istom serveri sa zmestí omnoho viac webov, každý s vlastnou izoláciou. Táto hustota je dôvodom, prečo 4buildsite môže zahrnúť hosting a SSL do predplatného, bez samostatných nákladov na infraštruktúru pre každý web.

Pre váš publikovaný web je škálovanie pri návštevnosti ešte jednoduchšie: keďže ide o statické súbory, ich servírovanie je mimoriadne lacné — špička návštevníkov znamená viac doručených súborov, nie ďalšie procesy, ktoré si vzájomne zavadzajú. A služby platformy, keďže ide o kontajnery štartujúce v sekundách, môžu v prípade potreby dostať ďalšie inštancie. Platíte predvídateľné predplatné, nie infraštruktúru trvale dimenzovanú na najrušnejší deň v roku. O tom, ako tieto kontajnery reálne prevádzkujeme — orchestrácia, proxy, CI/CD, monitoring — si prečítajte stránku Cloud a DevOps.