2

Estoy tratando de entender el funcionamiento de esta herramienta de contenedores ya que no me queda muy claro

Por lo que entiendo

Cuando hablamos de maquinas virtuales, es básicamente el instalar un Sistema Operativo por enzima de otro para correr nuestras aplicaciones (imagino un videojuego de los viejos que al instalarse y correr corrían bajo su propio entorno y era super pesado para la pc y el disco al grado que contenía su propia resolución de pantalla)

A qui entran los contenedores que aprovechan los recursos ya existentes de el sistema operativo (en mi caso windows) y en el ejemplo de de los videojuegos pero mas modernos cuando cambias de pantalla de windows no parece que cambio la resolución ni que reseteo la imagen de video de pantalla
Por que esta compartiendo los mismos recursos de video y procesador (estoy bien?)

Docker comprendo que funciona algo similar, carga una imagen (elementos básicos de un programa).

$ docker run "name" 
o
$ docker run -it "name" bash

y al iniciar el contenedor (yo uso play directamente en Docker ) entramos a localhost/ luego de crear los volúmenes o directorios donde se alojan documentos y elementos para trabajar independientes al contenedor para visualizar en el navegador

docker volume create nameVolume

aun no entiendo muy bien como funciona el concepto pero es básicamente lo que estoy entendiendo

estoy bien en mi idea?

1

3 respuestas 3

1

la forma mas simple de verlo seria cuando tu montas el OS en una VM todo el OS esta a dispocion de la App, cuando la montas en un container, no montas toda la app, sino que "virtualizas el OS" y tu App no esta full pero es otro tema, aca el tema principal es que pasa con el OS en el caso del container esta aislado es un subproceso que cree ser el root y tan esta ailsado que cuenta con su propio stack de networking por ejemplo, entonces usando un sistema de archivos especifico UFS escribe y operas sobre una capa specifica de ese proceso que se cree que es el root, y como manejas windows lo vas a entender mejor con esta analogia, imaginate que cuanto instalas una app la que sea en un windows se incrusta en el registry , y cuando la montas en el container solo usas unas ramitas del regitry que necesitas,para el caso de tus direcotrios locales en tu host tienes que mapearsealos al contenerdor de otra manera como esta aislado el no los puede ver.

1

Si bien para entenderlo se podría decir que Docker es como si virtualizara un sistema operativo, Docker realmente no virtualiza el sistema operativo. La virtualización de un sistema operativo en verdad incluye muchas mas cosas de las que hace Docker. Por ejemplo, En una máquina virtual podemos crear discos como si existieran fisicamente, en docker no. El kernel que utiliza docker es el mismo kernel que el sistema operativo. Los procesos que ejecuta un contenedor están a la par de los procesos del sistema operativo. Todo esto es una gran ventaja en performance, si queremos correr un MySQL, para que querríamos virtualizar discos por ejemplo, o la placa de video, solo basta con que corra separado de todo el resto del sistema operativo.

El concepto fundamental para entender el funcionamiento es el de "aislamiento".

Las imagenes podríamos entender que son archivos, los contenedores serían la ejecución de esos archivos "aisladamente". Una imágen puede contener varias imágenes "apiladas" porque muchas se pueden reutilizar.

Por todo esto es que todo lo que rompa de alguna manera el aislamiento hay que aclararlo especificamente, si queremos "romper" el aislamiento de archivos y/o carpetas utilizamos -v en el run, si queremos "romper" el aislamiento de la red a veces se usa --network host para usar la red del host. Es decir, por defecto va a estar todo aislado.

En cuanto a los detalles técnicos de como se logra este aslamiento, es necesario saber que hay algunas cosas tan simples como el uso de espacios de nombres. Dentro de un espacio de nombre un contenedor tiene total dominio, es como si fuera root en ese conjunto de archivos, tal como dice @RayEscobar, es exactamente lo mismo que sucede con los usuarios y sus archivos en un sistema operativo, cada usuario es dueño de sus archivos.

1

Adicionando a lo que comentan Ray Escobar y Emeeus en sus respuestas, en una máquina virtual (VM) se utilizan instrucciones y hardware especiales de la CPU para crear un sistema virtual completo. Es como si tuvieras un ordenador independiente, pero que no es real, sino virtual, porque los HDD, pantalla, etc no son reales, son simulados. Por eso en una VM se instala todo el sistema operativo (OS) y todo el conjunto de aplicaciones.

En un contenedor Docker es diferente, se utilizan el OS y los recursos subyacentes. La imagen (o container, porque algunos gurús terminan utilizando los dos términos indistintamente aunque no sean lo mismo) no es una imagen de HDD completa como en una VM, sino un empaquetado de aplicaciones que se van adicionando por capas, unas tras otras. Una imagen puede estar preparada para operar similar a un Linux o a un Windows, es Docker quien se encarga de hacer que los containers "vean" un OS Linux o Windows.

Una aplicación que está "Dockerizada" es, al final de todo, un proceso más que se ejecuta sobre el OS real. Pero es un proceso aislado tanto del resto de procesos del ordenador como del resto de aplicaciones dockerizadas. Esa es una ventaja esencial en términos de seguridad y de fiabilidad.

Creo haber leído hace un tiempo descubrieron un CVE en Docker que permitía escapar de la containerización, pero el criterio generalizado es que su seguridad de aislamiento es muy buena.

Cuando utilizas $ docker run estás ejecutando la imagen, creando el contenedor, y puedes crear tantos contenedores como necesites a partir de una misma imagen. Si utilizas el modo interactivo -it lo que haces es decir a Docker que quieres una línea de comando con la cual interactuar con el contenedor en ejecución. Dependerá de cómo configures tu imagen con quién dialogarás en ese modo interactivo, o de si especificas qué aplicación deberá ejecutar Docker en el contenedor para darte acceso a sus interfaces estándar de E/S de consola.

Por diseño, el sistema de archivos de un contenedor Docker es volátil. Esto quiere decir que si tu almacenas datos o haces cambios en ese sistema de archivos todos esos cambios se perderán cuando pares y vuelvas a ejecutar el contenedor.

Para hacer que haya cambios que puedan persistir entre una ejecución y otra es que se utilizan los volúmenes. Son simplemente "mapeos" de partes o parte del sistema de archivos interno del container a carpetas en el ordenador local.

Docker en Windows funciona bastante bien, pero si te planteas utilizarlo en producción, quizás te sea conveniente plantearte utilizarlo sobre Linux, te facilitará bastante el proceso de aplicar seguridad a los archivos que compartas en forma de volúmenes con el container. Al menos en mi caso me ha ayudado hacerlo así.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.