L’écosystème Docker : aperçu de l’outil

Depuis la publication de v1.12, Docker est également disponible pour les dernières versions de macOS et Windows en tant qu’application de bureau native. Les utilisateurs de systèmes plus anciens devront, eux, s’appuyer sur la boîte à outils de Docker pour installer la plateforme de conteneurs sur leur ordinateur.

La boîte à outils Docker est un driver qui automatise l’installation d’un environnement Docker sur les anciens systèmes d’exploitation macOS et Windows. Le programme contient les composants suivants :

• Le moteur Docker

• La machine Docker

• Docker Compose

• Oracle VirtualBox

• Le Kitematic Docker-GUI

• Une interface de ligne de commande configurée pour Docker

Le cœur de la boîte à outils Docker est le programme open-source Kitematic. Il s’intègre à la machine Docker pour fournir une machine virtuelle basée sur l’Oracle VirtualBox, afin d’installer la plateforme sur Windows et Mac. Les utilisateurs de Docker ont accès à une interface graphique permettant de créer, démarrer et arrêter des conteneurs en quelques clics. Le docker hub est également pourvu d’une interface permettant de rechercher des registres directement depuis l’application de bureau et de télécharger des images.

En plus du GUI, il existe une interface de ligne de commande préconfigurée. Tous les changements effectués par les utilisateurs via des saisies sont également appliqués sur les autres modes. Par ailleurs, les utilisateurs peuvent facilement passer de GUI à CLI pour exploiter et contrôler les conteneurs. Kitematic fournit enfin des fonctionnalités permettant d’assigner des ports, de définir des environnements variables et de configurer des lecteurs (volumes).

Même s’il est indiqué dans la documentation Docker que la boîte à outils Docker est désuète (legacy), elle est encore compatible avec le logiciel. L’équipe de développeurs recommande toutefois d’utiliser les applications de bureau natives Docker for Windows ou Docker for Mac, lorsqu’ils sont déjà installés sur votre système d’exploitation.

Outre les propres extensions de Docker Inc., il existe de nombreux programmes et plateformes de fournisseurs extérieurs, disponibles pour les interfaces des moteurs Docker ou développés spécifiquement pour la plateforme de conteneurs. Parmi les projets open-source les plus populaires de l’écosystème Docker, on compte l’outil d’orchestration Kubernetes, l’outil de gestion des clusters Shipyard, la solution d’envoi multi-conteneurs Panamax, la plateforme d’intégration continue Drone, le système d’exploitation basé sur le cloud OpenStack, et le système d’exploitation Mesosphere DC/OS basé sur le gestionnaire de clusters Mesos.

Docker n’a pas toujours disposé de ses propres outils d’orchestration tels que Swarm et Compose. Pour cette raison, de nombreuses entreprises ont investi depuis plusieurs années dans des outils de développement conçus sur mesure pour faciliter l’exploitation de la plateforme de conteneurs sur de grandes infrastructures distribuées. L’une des solutions de ce type les plus célèbres, en plus de la plateforme d’orchestration open-source de Spotify, Helios, est le projet open-source Kubernetes.

Kubernetes est un gestionnaire de cluster pour les applications basées sur conteneurs, dont la majeure partie a été développée par Google, et qui est aujourd’hui sous la houlette de la Cloud Native Computing Foundation (CNCF).

Shipyard est une solution de gestion basée sur Swarm et développée par la communauté d’utilisateurs de Docker. Grâce à une interface utilisateur graphique, elle permet aux utilisateurs de gérer les ressources de Docker, comme les conteneurs, les images, les hôtes, et les registres privés. Cet outil est disponible en tant qu’application Web dans un navigateur, et diffère en ce sens de l’application de bureau Kitematic.

Le programme est entièrement compatible avec Docker à distance, API, et utilise la base de données open-source NoSQL RethinkDB pour le stockage des données des comptes utilisateurs, les adresses et les évènements.

Outre la gestion du cluster grâce à son interface centrale, Shipyard offre aux utilisateurs la possibilité de s’identifier ainsi qu’un accès de contrôle basé sur la distribution des rôles.

Le programme est basé sur l’outil de gestion des clusters Citadel, et il est formé de trois composants essentiels : Controller, API et UI.

• Shipyard Controller : le contrôleur est le composant-clé de l’outil de gestion Shipyard. Il interagit avec le Rethink DB dans le cadre de la sauvegarde des données, et permet d’être en contact avec chaque hôte et de contrôler les actions.

• Shipyard API : l’API Shipyard est un API basé sur REST. Toutes les fonctionnalités de l’outil de gestion sont contrôlées depuis l’API Shipyard.

• Shipyard User Interface (UI) : l’interface utilisateur UI Shipyard est une application AngularJS. Elle offre aux utilisateurs une interface graphique pour gérer les clusters Docker dans un navigateur Web. Toutes les interactions avec l’interface sont conduites par l’API Shipyard.

Plus d’informations sont disponibles sur le site officiel du projet open-source.

Les développeurs du programme open-source Panamax se sont fixés pour objectif de simplifier la mise à disposition des applications multi-conteneurs. L’outil gratuit comprend une interface utilisateur graphique, grâce à laquelle des applications complexes basées sur Docker peuvent être développées, déployées et distribuées par un simple glisser-déposer.

Panamax permet de sauvegarder des applications multi-conteneurs complexes grâce à des templates d’application, et de les distribuer dans les architectures clusters d’un simple clic. Avec une application marketplace intégrée et hébergée sur GitHub, il est possible de sauvegarder dans Git des templates pour des applications personnalisées, qui peuvent ensuite être disponibles pour d’autres utilisateurs. L’animation suivante illustre bien le concept de Panamax, qui se base sur la devise Docker Management for Humans : 

Drone est intégré à Docker et compatible avec plusieurs langages de programmation tels que PHP, Node.js, Ruby, Go ou Python. La plateforme de conteneurs est conçue pour être la seule dépendance. Avec Drone, vous pouvez installer votre propre plateforme d’intégration continue sur n’importe quel système compatible avec Docker. Drone est compatible avec plusieurs registres de contrôle de version. Vous trouverez un guide pour une installation standard et l’intégration GitHub dans la documentation du projet open-source readme.drone.io.

La plateforme d’intégration continue est contrôlée grâce à une interface Web, à partir de laquelle il est possible de télécharger les builds depuis n’importe quel registre Git, d’ajouter des applications et d’effectuer des tests dans un environnement de test défini au préalable. Pour ce faire, un fichier .drone.yml est défini pour chaque test de programme, et indique comment créer et exécuter l’application.

Dans la vidéo suivante, Brad Rydzewski, co-auteur de Drone, donne un bon aperçu de la plateforme d’intégration continue :

Selon le développeur, Drone offre aux utilisateurs une solution CI open-source qui combine les avantages de produits tels que de Travis et Jenkins dans une interface utilisateur conviviale.

Outre ses six composants de base, l’architecture OpenStack peut être complétée par différents modules et extensions :

• Horizon (tableau de bord): Horizon, le tableau de bord d’OpenStack, propose aux utilisateurs une interface graphique basée sur le Web, grâce à laquelle ils peuvent contrôler les autres composants tels que Nova ou Neutron.

• Heat (orchestration) : le module optionnel Heat fournit un service permettant d’orchestrer des applications cloud via des templates. Il propose par défaut un API REST natif et un format HOT pour les templates. Il est également compatible avec des formats alternatifs tels qu’AWS Cloud Formation et Query API.

• Ceilometer (service de télémetrie) : Ceilometer est un service de télémétrie centralisé pour OpenStack, qui collecte des données pour des études statistiques dans le cadre de la comptabilité et des analyses comparatives.

• Trove (base de données en tant que service) : Trove est un composant base de données en tant que service, qui fournit des bases de données relationnelles ou non.

• Zaqar (messagerie) : le module optionnel Zagar (anciennement Marconi) est une extension d’OpenStack qui fournit aux développeurs une messagerie multi-clients basée dans le cloud. Le programme propose un API REST, grâce auquel les développeurs peuvent envoyer des messages entre différents composants d’un SaaS ou d’une application mobile.

• Designate (service DNS) : Designate propose un service DNS pour OpenStack. Les données de domaines sont gérées grâce à un API REST. Le module est multi-clients et utilise des fonctions d’authentification via une intégration Keystone.

• Barbican (outil de gestion): le module Barbican apporte à OpenStack un API REST grâce auquel il est possible de créer, gérer et sauvegarder des mots de passe, des clés et des certificats de façon sécurisée.

• Sahara (Map reduce élastique) : le composant optionnel Sahara permet aux utilisateurs de créer et de gérer un cluster Hadoop à partir d’OpenStack.

• Ironic (driver bare metal) : le module additionnel Ironic est une branche de l’installateur bare metal du composant de calcul Nova. Il offre aux utilisateurs d’OpenStack la possibilité de créer des machines bare metal au lieu de machines virtuelles.

• Murano (catalogue d’applications) : Murano offre aux développeurs et aux administrateurs du Cloud la possibilité de rechercher des applications classées par catégories dans un catalogue. 

• Manila (système de fichiers partagés) : Manila est un module complémentaire pour OpenStack, qui permet d’étendre l’architecture du système d’exploitation basé sur le cloud par un système de fichiers commun et distribué.

• Magnum (service de conteneur API) : Magnum est un plugin important, qui permet d’utiliser des outils d’orchestration de conteneurs tels que Docker Swarm, Kubernetes ou Apache Mesos en tant que composants OpenStack.

Grâce à son évolutivité modulaire, OpenStack est devenu l’un des systèmes d’exploitation les plus appréciés pour la construction et l’exploitation de structures open-source basées dans le cloud. Pour les utilisateurs de Docker, le driver docker Nova est une plateforme puissante qui permet de gérer à la fois les conteneurs et les systèmes distribués complexes.

DC/OS utilise le système distribué de la plateforme Mesos. Ceci permet de regrouper les ressources d’un centre de données entier en paquets, et de les gérer en système agrégé de la même façon qu’un unique système logique. C’est ce qui permet de contrôler des clusters entiers de machines physiques ou virtuelles aussi simplement que si vous opériez sur un seul ordinateur.

Le programme facilite l’installation et l’administration d’applications distribuées et de tâches automatisées telles que la gestion des ressources, l’organisation et la communication entre processus. L’administration d’un cluster basé sur Mesosphere DC/OS  ainsi que l’exploitation de tous les services sont gérés de façon centralisée grâce à un programme de ligne de commande (CLI) ou une interface Web (GUI).

DC/OS abstrait les ressources du cluster et fournit des services partagés comme un service de découverte ou une fonctionnalité de gestion des paquets. Les composants-clés du programme s’exécutent dans un espace protégé, l’espace noyau. Dans cet espace on trouve également les programmes maîtres et agents de la plateforme Mesos, qui sont en charge d’organiser les ressources, d’isoler les processus et d’assurer les fonctions de sécurité.

• Le maître Mesos : le maître Mesos est un processus maître qui s’exécute sur un nœud maître dans le cluster. La tâche du maître Mesos est de contrôler la gestion des ressources et d’orchestrer les tâches (unités de travail abstraites) qui sont exécutées sur un nœud agent. Le maître Mesos distribue les ressources aux services DC/OS enregistrés, et accepte les rapports de ressources des agents Mesos.

• Les agents Mesos : les agents Mesos sont des processus esclaves qui s’exécutent sur les comptes agents et sont responsables de l’exécution des tâches distribuées par le maître. Ils fournissent au maître des rapports réguliers sur les ressources disponibles dans le cluster. Ces rapports sont ensuite transférés par le maître à un organisateur (par exemple Marathon, Chronos ou Cassandra), qui décide quelle tâche est exécutée sur quel nœud. Pour réaliser une tâche, les agents Mesos démarrent un processus d’exécution, géré de façon isolée dans un conteneur. La séparation des processus se fait soit via la mémoire d’exécution de Mesos soit par la plateforme de conteneurs Docker.

Tous les autres composants et applications du système fonctionnent grâce à des agents Mesos via Executor dans l’espace utilisateur. Les composants de base d’une installation standard DC/OS sont un routeur administrateur, le DNS Mesos, un DNS proxy distribué, l’équilibreur de charge Minuteman, l’organisateur Marathon, Apache ZooKeeper, et Exhibitor.

• Le routeur administrateur : il s’agit d’un serveur Web spécialement configuré et basé sur NGINX, qui fournit des services DC/OS tels qu’une authentification centralisée et des fonctionnalités proxy.

• Le DNS Mesos : le DNS Mesos est un composant du système qui propose des fonctionnalités de découverte de service, ce qui permet à chacun des services et des applications du cluster de s’identifier respectivement grâce à un nom de domaine centralisé (DNS).

• Le DNS Proxy distribué : il s’agit un DNS distributeur (dispatcher) interne.

• Minuteman : le composant système Minuteman fonctionne comme un équilibreur de charge interne, qui travaille sur les transports de couche selon le modèle OSI (couche 4).

• DC/OS Marathon:  Marathon est un composant central de la plateforme Mesos, qui fonctionne dans Mesosphere DC/OS en tant que système init (similaire à systemd). Marathon démarre et contrôle les services et applications DC/OS dans un environnement cluster. De plus, le programme fournit des caractéristiques en haute disponibilité, des services de découverte, un équilibrage des charges, des rapports d’état et une interface Web graphique.

• Apache ZooKeeper: Apache ZooKeeper est un composant open-source qui offre des fonctionnalités de coordination pour le contrôle et l’exploitation des applications dans les systèmes distribués. Dans le cadre de Mesosphere DC/OS, ZooKeeper est utilisé pour coordonner tous les services installés sur le système.

• Exhibitor: Exhibitor est un composant du système permettant d’installer et de configurer automatiquement ZooKeeper sur chaque nœud maître du cluster. De plus, Exhibitor fournit une interface graphique aux utilisateurs de ZooKeeper.

Grâce à DC/OS, plusieurs charges de travail peuvent être exécutées simultanément sur les ressources du cluster. Par exemple, le système d’exploitation du cluster permet des opérations parallèles relatives aux systèmes de données, aux micro-services ou aux plateformes de conteneurs telles que Hadoop, Spark et Docker.

Mesosphere Universe met à disposition un catalogue d’applications en libre accès pour DC/OS. C’est grâce à lui que les utilisateurs peuvent installer des applications telles que Spark, Cassandra, Chronos, Jenkins ou Kafka, de façon simple et confortable sur l’interface utilisateur graphique.

De plus, l’utilisation d’une plateforme de conteneurs telle que Docker permet d’optimiser ses applications en ce qui concerne la vitesse, la performance et le changement de gestion. Les incertitudes qui demeurent sont celles concernant la sécurité des technologies de conteneurs.

Une fois que vous avez installé un moteur de conteneur, vous pouvez exécuter des applications basées sur des conteneurs depuis n’importe quel système. Outre le code correspondant à l’application, les conteneurs comportent tous les fichiers binaires et les librairies nécessaires pour exécuter l’application. Ceci permet de simplifier le déploiement, c’est-à-dire la distribution du programme sur différents systèmes, et pas uniquement pour les applications nouvellement créées. En effet la technologie de conteneurs peut aussi être utilisée efficacement pour transférer dans le cloud des applications anciennes ou désuètes mais indispensables au quotidien.

Les composants de softwares anciens sont souvent difficiles à intégrer dans le cloud car ils dépendent de systèmes d’exploitation, de frameworks ou de classes. C’est ici qu’intervient un moteur léger tel que Docker, qui fournit une couche d’abstraction afin de compenser les dépendances du code, sans pour autant forcer un système d’exploitation virtuel.

Lorsque l’on compare une technologie de conteneurs comprenant la plateforme Docker avec du matériel classique de virtualisation via VM, il en ressort des différences claires concernant la vitesse et la performance. 

Puisque les applications encapsulées ont un accès direct au noyau du système hôte, il n’est pas nécessaire de démarrer un système invité pour ce type de virtualisation. Docker utilise un moteur de conteneur léger à la place d’un hyperviseur. De cette façon, on supprime non seulement le temps nécessaire au démarrage de la machine virtuelle, mais on réduit également la consommation de ressources d’un second système d’exploitation. Les applications de conteneurs peuvent être déployées plus rapidement et plus efficacement que des applications basées sur des machines virtuelles. Ceci permet aux administrateurs de démarrer considérablement plus de conteneurs sur un système d’hébergement qu’en hébergeant des systèmes invités sur une plateforme matérielle comparable. Par exemple, si un serveur peut héberger 10 à 100 machines virtuelles, il est possible de faire démarrer plus de 1000 conteneurs.

Par ailleurs, les conteneurs comprenant seulement des fichiers binaires et des librairies en plus du code d’application ont besoin de beaucoup moins d’espace qu’une machine virtuelle, qui inclut l’application et le système d’exploitation.

Même si les processus encapsulés s’exécutent sur le même noyau, Docker utilise toute une gamme de techniques d’isolation pour les protéger les uns des autres. L’accent est mis sur des fonctions du noyau Linux, tel que Cgroups et Namespaces. Chaque conteneur dispose de son propre nom, ses propres identifiants de processus, et sa propre interface réseau. De plus, chaque conteneur voit seulement la partie du fichier qui lui est assignée. Les ressources système telles que la mémoire, le processeur et la bande passante sont distribués grâce à un mécanisme Cgroup. Celui-ci s’assure que chaque conteneur puisse seulement prétendre à la partie qui lui est due.

Toutefois, les conteneurs n’offrent pas le même niveau d’isolation que les machines virtuelles. Si un attaquant rencontre une machine virtuelle, il a peu de chance d’interagir avec le noyau du système d’hébergement sous-jacent. Les conteneurs, en tant qu’unités encapsulées d’un noyau hébergeur commun, laissent beaucoup plus de liberté aux attaquants.

En dépit des techniques d’isolation décrites, d’importants sous-systèmes de noyaux, tels que les Cgroups et les interfaces de noyaux en /sys et /proc dans les registres peuvent être obtenus à partir des conteneurs. Ceci permet aux attaquants de surmonter les barrières de sécurité de l’hébergeur. De plus, tous les conteneurs tournent sur un système d‘hébergement dans le même espace de nom. Par conséquent, un conteneur qui bénéficie de privilèges root les retient même lorsqu’il interagit avec le noyau hébergeur.

Le démon Docker, qui est responsable de la gestion des conteneurs sur le système d’hébergement, dispose également de privilèges root. Un utilisateur qui a accès au démon Docker accède automatiquement à tous les registres accessibles par ce démon, et est également capable de communiquer en HTTP via un API REST. Par conséquent, la documentation Docker recommande d’autoriser uniquement les utilisateurs de confiance à accéder au démon. 

L’équipe de développement de Docker a admis que ces failles de sécurité constituent un frein à l’établissement des technologies de conteneurs sur les systèmes de production. Outre les techniques d’isolation basiques du noyau Linux, les nouvelles versions du moteur Docker sont donc compatibles avec les frameworks AppArmor, SELinux et Seccomp, qui agissent comme une sorte de pare-feu pour les ressources du noyau. 

• AppArmor : AppArmor peut être utilisé pour réguler les droits d‘accès des conteneurs au fichier système.

• SELinux : SELinux propose un système de règles complexe, pouvant être utilisé pour l’implémentation des contrôles d’accès aux ressources du noyau.

• Seccomp : Seccomp (Secure Computing Mode) permet d’activer et de contrôler Systemcalls.

Docker utilise en outre les capacités de Linux, qui peuvent servir à restreindre les privilèges root avec lesquels le moteur Docker démarre les conteneurs.

Il existe d’autres problèmes de sécurité, relatifs à la vulnérabilité de l’application dans le cadre de la distribution des composants à travers le registre Docker. Puisqu’en principe chacun peut créer des images Docker et les rendre accessibles à la communauté grâce au Docker hub, il existe un danger d’intégrer, à travers ces images, du code malveillant qui endommagerait le système. Les utilisateurs de Docker doivent donc s’assurer, avant de déployer une application, que l’intégralité du code fourni avec une image provient d’une source sûre. Avec son édition d’entreprise (EE), Docker offre depuis début 2017 un programme de certification, grâce à laquelle les fournisseurs d’infrastructures, de conteneurs et de plugins peuvent tester et récompenser votre application. Pour obtenir le certificat, il faut remplir les conditions suivantes : 

• Certification d’infrastructure : les développeurs d’applications qui souhaitent fournir des composants d’infrastructure certifiés pour l’écosystème Docker doivent prouver, grâce aux tests adaptés, que leur produit est optimisé pour un travail en équipe sur la plateforme Docker.

• Certification de conteneur : un conteneur reçoit la certification officielle de Docker uniquement s’il a été conçu selon les meilleures méthodes et a réussi tous les tests de vulnérabilité et de sécurité.

• Plugins : un plugin pour Docker EE n’est éligible au certificat Docker que s’il a été développé selon les meilleurs pratiques et a réussi les tests de conformité API et de vulnérabilité.

Les certificats Docker sont conçus pour renforcer la sécurité des utilisateurs, et offrent aux développeurs la possibilité de faire remarquer leur projet parmi la multitude de ressources disponibles sur le marché.

La technologie de conteneurs est une alternative à la virtualisation matérielle traditionnelle, qui permet d’économiser des ressources. Elle est particulièrement adaptée à des entreprises qui ont besoin de créer des applications Web interactives ou de gérer un grand nombre de données. Une augmentation de la demande est prévue pour les prochaines années, en particulier dans le domaine du commerce en ligne. Si les leaders du secteur, tels qu’eBay et Amazon, ont déjà adopté la technologie de conteneurs qui fait maintenant partie de leur équipement standard, les plus petites entreprises de commerce en ligne vont progressivement devoir s’aligner.

Pour l’heure, l’entreprise Docker est encore jeune mais s’est déjà fait une réputation de choix dans le secteur des systèmes de virtualisation. Ce succès s’explique par ses concepts open-source et ses efforts pour standardiser ses offres en l’espace de seulement quelques années. Toutefois, il existe déjà une forte concurrence dans le secteur des technologies de conteneurs. La compétition qui s’intensifie entraîne une innovation rapide et permet aux utilisateurs de bénéficier de solutions et d’outils performants.

Par le passé, les questions de sécurité ont constitué un obstacle majeur au développement des technologies de conteneurs. Le défi majeur pour les développeurs de techniques de virtualisation basées sur les conteneurs consiste à améliorer les procédés d’isolation du noyau Linux. Ce domaine a connu plusieurs progrès ces dernières années, notamment grâce à des projets comme SELinux, AppArmor ou Seccomp.

En observant le taux d’assimilation élevé des conteneurs, il semble probable que la virtualisation basée sur les systèmes d’exploitation va s’imposer comme une alternative aux machines virtuelles à long terme. Le projet Docker et son écosystème en pleine croissance offrent aux entreprises une solution particulièrement sûre pour développer et gérer leurs activités grâce aux technologies de conteneurs.