Kontejneri
Docker: kontejnerski motor koji svi ostali kopiraju
Docker je kontejnere pretvorio u opći jezik: slike, registri i CLI koji su „radi na mom računalu“ pretvorili u pitanje pakiranja. Ostaje zadani motor u većini hosting okruženja, a njegova operativna površina, higijena slika, sigurnost daemona i Compose tijekovi rada, odlučuje smanjuju li kontejneri operativni rizik ili ga samo preoblikuju.
Ključne točke
- Model su slike i slojevi: svaka slika je stog predmemoriranih slojeva, svaka Dockerfile instrukcija stvara jedan, a redoslijed gradnje upravlja pogodcima predmemorije; višestupanjski buildovi drže konačne slike malima (alati za gradnju nikad ne idu u produkciju), a predmemorija slojeva vaš je proračun za brzinu gradnje.
- Daemon je privilegirana površina: Dockerov root daemon s API socketom ekvivalentan je rootu na hostu; izložite socket kontejneru (klasično povezivanje -v /var/run/docker.sock) i predali ste stroj; stav za 2026. je rootless način rada, korisnički namespaceovi i revizija socketa, a ne navika.
- Compose je standard za mala okruženja: deklarirani višeservisni stogovi s volumes, networks i healthchecks kao kod; većina hosting radnih opterećenja nikad ne treba orkestratornu mašineriju, a disciplina Composea (deklarirane ovisnosti, provjere zdravlja, pravila ponovnog pokretanja) ono je što mala okruženja čini stabilnima.
- Upravljanje resursima seli se u cgroups: ograničenja memorije i gornje granice CPU-a po kontejneru obavezna su na dijeljenim hostovima (inače jedna build koja curi ili odbjegli cron pojede host); zapisi zadano postaju ogromne JSON datoteke bez konfiguracije rotacije, otuda klasični incidenti s punim diskom.
- Higijena slika je higijena lanca dobave: skeniranje CVE-a (klase Trivy, naš ga posvećeni članak pokriva), prikvačivanje po digestu umjesto promjenjivih oznaka, tajne nikad pečene u slojevima (build args cure, mounts ne), i privatni registar s provjerom potpisa gdje nabava to traži.
- Iskrene granice: Docker Swarm postoji, ali industrijski zamah stoji iza Kubernetes (vidi naš posvećeni članak), a registri, storage driveri i mrežni modeli svaki dodaju površinu za učenje; slatka točka za hosting posao ostaje Composeom upravljani stogovi na nekoliko dobro nadziranih hostova.
Terenska bilješka
Incident na Docker hostu koji nas je natjerao da napišemo pravilo o gornjim granicama resursa: jedan neograničen build kontejner pojeo je memoriju hosta i srušio baze parkirane pokraj njega. Sve je tog tjedna dobilo ograničenja, a disciplina je od tada preživjela još tri odbjegla builda bez stranice.
Često postavljana pitanja
Je li Docker mrtav sad kad postoji Podman?
Ne: Docker ostaje zadani motor koji gotovo svi podržavaju, a Podman izričito cilja na kompatibilnost s CLI-jem. Izbor je između sigurnosne posture s daemonom i bez njega te između OS okruženja (RHEL isporučuje Podman; Ubuntu ekosustavi često ostaju na Dockeru). Oba su pokrivena u našem članku Docker protiv Podmana.
Kojih je prvih pet sigurnosnih poteza na Docker hostu?
Rootless ili userns-remap način rada, bez povezivanja socketa u kontejnere, gornje granice resursa posvuda, automatsko skeniranje slika u CI-ju i rotacija zapisa konfigurirana prije prvog incidenta s punim diskom.
Uklanjaju li kontejneri potrebu za zakrpama hosta?
Apsurdno je da ne: kernel hosta, motor i stog pohrane i dalje se krpaju; kontejneri prebacuju ritam krpanja aplikacijskog sloja na ponovne gradnje slika, što je dobitak za disciplinu samo ako nešto doista pokreće ponovne gradnje (naša navika CI vrata za kontejnere).
Kada je Docker pretjeran?
Za strojeve s jednim servisom i jednim runtimeom (jedan PostgreSQL poslužitelj, jedan glavni WordPress host) dobro zakrpan nativni setup ima manju površinu i lakši je za nadzor; kontejneri se isplate kad prenosivost slika ili izolacija više servisa nosi radno opterećenje.
Kako Kinetikatech pomaže kod kontejneri
Ovo smo rješavali stotine puta: Upravljanje, orkestracija i sigurnost kontejnera u produkcijskim okruženjima. S Upravljanje serverima i Sigurnost Linux servera dobivate puni krug: procjenjujemo, implementiramo, nadziremo bez prestanka i interveniramo u 30 minuta kad je potrebno.