Klienti se nás často ptají, čím se naše nová služba Platform for Kubernetes liší od podobných produktů například od Amazonu, Googlu nebo Microsoftu. Rozdílů je poměrně hodně, proto jsme se je rozhodli do detailu popsat v tomto článku.

Individuální návrh infrastruktury

Většina tradičních cloud providerů poskytuje platformu pro infrastrukturu, ale návrh a samotná tvorba infrastruktury je na klientech – respektive na jejich vývojářích. Valná většina vývojářů Vám ovšem potvrdí, že by se mnohem raději věnovali vývoji než četbě 196-stranné příručky o tom, jak používat Amazon EKS. Příručku je navíc, narozdíl od většiny návodů, opravdu potřeba přečíst – nastavování Kubernetes u Amazonu totiž není zrovna intuitivní.

Ve vshosting~ víme, jak moc je tohle pro spoustu firem frustrující. Vývojový tým by se měl zabývat vývojem a neztrácet čas něčím, co ani nepatří do jeho specializace. Proto si zakládáme na tom, že narozdíl od tradičních cloudů, Kubernetes řešení šijeme každému klientovi na míru. Nemusíte si tedy u nás složitě vybírat z předdefinovaných balíčků, číst dlouhé návody ani vymýšlet, jaká infrastruktura bude pro Vaše potřeby nejlepší. Navrhneme infrastrukturu Kubernetes přesně pro potřeby Vaší aplikace, a to včetně load balancingu, networkingu, storage a dalších nezbytností.

Kromě toho Vám rádi pomůžeme s analýzou aplikace pro přechod do Kubernetes, pokud ho ještě nepoužíváte. Na základě Vašich požadavků také poradíme s výběrem těch nejvhodnějších technologií (konzultace je v ceně služby!), aby vše běželo, jak má a následné škálování bylo co možná nejjednodušší.

Když už jsme u škálování, to je u nás mimořádně snadné. Opět se nekoná žádné vybírání z balíčků výkonu atd., u vshosting~ prostě plynule škálujete dle aktuální potřeby. Nabízíme také možnost jemného škálování jen u potřebných prostředků. Potřebuje Vaše aplikace kvůli nárůstu klientů více RAM, nebo větší diskový prostor? Není problém.

Poté, co vytvoříme customizovaný návrh infrastruktury, provedeme individuální instalaci a nastavení Kubernetes i loadbalancerů před předáním do ostrého provozu. Jen pro představu, u Googlu, Amazonu nebo Microsoftu by všechny tyto úkony byly na Vás. U vshosting~ také vše ve spolupráci s Vámi pečlivě odladíme. Po spuštění poběží Kubernetes v našem cloudu nebo na špičkovém hardware v našem vlastním datacentru ServerPark.  

Možnost kombinace fyzických serverů a cloudu

Další výhodou Kubernetes od vshosting~ je možnost kombinovat fyzické servery s cloudem – ostatní Kubernetes poskytovatelé toto vůbec neumožňují. Díky tomu si například můžete začít testovat Kubernetes na Virtual Machine s nižším výkonem a teprve poté přejít s projektem do produkce přidáním fyzických serverů (to vše u nás jde za běhu) s případným zachováním stávajících VMs pro vývoj. 

Pro srovnání: třeba Google Vám sice nabídne buď možnost on-prem Google Kubernetes Engine nebo variantu v cloudu, ale musíte si vybrat jedno z toho. Navíc on-prem variantu si musíte spravovat „na vlastní triko“. Variantu kombinující fyzické servery a cloud nenajdete ani u Amazonu a Microsoftu.

U nás je možné fyzické servery s cloudem kombinovat dle libosti a navíc se Vám postaráme o kompletní správu – Vy už se můžete soustředit jen a jen na vývoj. Dohlédneme na správu operačních systémů všech Kubernetes nodů a loadbalancerů, zajistíme i průběžné upgrady operačních systémů, kernelu apod. (po domluvě i upgrade Kubernetes).

Vysoké SLA a senior support 24×7

Jedním z nejdůležitějších kritérií výběru dobré Kubernetes platformy je její dostupnost. Možná Vás proto překvapí, že Microsoft AKS ani Google GEK neposkytují SLA („financially-backed service level agreement“) a pouze tvrdí, že se „vynasnaží zajistit alespoň 99,5% dostupnost“. 

Amazon EKS sice mluví o 99,9% SLA, ale vzhledem k jejich podmínkám vrácení kreditu jde ve skutečnosti pouze o garanci 95% dostupnosti – Amazon totiž vrací 100 % kreditu teprve při této úrovni dostupnosti. V případě pouze mírného poklesu pod 99,9 % dostupnosti Vám vrátí jen 10 % kreditu. 

Ve vshosting~ Vám smluvně garantujeme 99,97% dostupnost, tedy ještě více než poněkud teoretické SLA u Amazonu a výrazně více než negarantovaná dostupnost 99,5 % u Microsoftu a Googlu. Reálně se dostupnost u nás pohybuje dokonce na 99,99 %. Managed Kubernetes řešení u nás navíc funguje v režimu high-availability cluster, tudíž v případě poruchy jednoho serveru nebo části cloudu celé řešení ihned startuje na záložním serveru či v jiné části cloudu. 

Zaručujeme také vysokorychlostní konektivitu i neomezené datové toky do celého světa. Každému klientovi navíc garantujeme vyhrazenou šířku pásma do internetu. Naše síť má kapacitu až 1 Tbps a každá trasa je mnohonásobně zálohovaná.

Díky režimu high-availability cluster, vysoké kapacitě sítě a zálohovanému připojení je Kubernetes řešení od vshosting~ mimořádně odolné proti výpadku jakékoliv části clusteru. Kromě toho naše zkušené týmy Vaše řešení neustále monitorují a případné začínající problémy rychle identifikují, než se mohou projevit pro koncového uživatele. Máme také robustní AntiDDoS ochranu, která celý cluster efektivně chrání před kyberútoky.

Debugging a monitoring celé infrastruktury

Oproti tradičním cloud providerům, ve vshosting~ na Vaše řešení dohlížejí týmy senior administrátorů a techniků neustále 24/7, sedí přímo v našem datacentru a v případě problému reagují do 60 sekund – a to klidně v sobotu ve 2 ráno. Tito experti za Vás neustále monitorují desítky parametrů celého řešení (hardware, loadbalancery, Kubernetes) a díky tomu dokážou většině problémů zabránit předtím, než se pořádně projeví. Navíc garantujeme opravu nebo výměnu nefunkčního serveru do 60 minut.

Pro maximální zjednodušení od nás dostanete jeden servisní kontakt pro všechny služby: ať jde o Kubernetes jako takový, jeho správu nebo cokoliv ohledně infrastruktury. Vyřešíme běžnou údržbu i složitý debugging. V rámci ceny služby Platform for Kubernetes nabízíme také konzultace ohledně konkrétní podoby Dockerfiles (3 hodiny měsíčně).

Většina návodů pro dockerizaci aplikací, které naleznete na internetu, je určena pro specifický jazyk a prostředí. My se ale budeme věnovat obecným postupům určeným pro jakýkoliv typ aplikace a ukážeme vám, jak je možné dosáhnout jejich provozu v Docker kontejneru.

Výběr base image

Pro bezproblémový provoz a následné jednoduché úpravy a upgrady je vhodné vybrat co nejideálnější (a autorem dobře podporovaný) base image. Vzhledem k tomu, že na Docker Hub může nahrávat image naprosto kdokoliv, je dobré vybraný image důkladně prozkoumat a ověřit si, zda neobsahuje nějaký škodlivý software, nebo například staré verze knihoven s bezpečnostními problémy. 

Dobrou volbou pro začátek jsou image označené jako „Docker certified“, které poskytují určitou formu garance, že image je v pořádku a pravidelně aktualizovaný. Příkladem pro takový image je PHP nebo Node.js.

Dále můžeme také doporučit sbírku od firmy Bitnami, která obsahuje spoustu předpřipravených image aplikací a vývojových prostředí.

Doinstalování dalšího software

Podle toho, jaký image jsme si pro svůj projekt vybrali, můžeme provést instalaci dalšího software, tak, abychom splnili všechny předpoklady pro bezproblémový provoz aplikace.

Nejlepším řešením je použít balíčkovací systém distribuce, na které je image založen (obvykle Ubuntu/Debian, Alpine Linux nebo CentOS). Je také velmi důležité udržovat seznam nainstalovaného softwaru co nejužší, například neinstalovat do kontejneru textové editory, kompilátory a jiné nástroje pro vývoj.

Vlastní soubory v Docker image

Do výsledného image budeme také chtít přidat vlastní soubory. Ať už konfigurace, přímo zdrojové kódy nebo binární soubory z aplikace. V Dockerfile se k tomu používají příkazy ADD nebo COPY, který je transparentnější, ale neumožňuje některé pokročilejší funkce, jako je například rozbalení archivu do image.

Definice oprávnění

Ačkoliv je to ta nejjednodušší cesta, vyhněte se spouštění aplikace v kontejneru za uživatele root, přináší to mnohá bezpečnostní rizika a zesiluje možnost úniku z kontejneru v případě kompromitace aplikace nebo po využití nějaké bezpečnostní chyby v softwaru třetích stran, které využíváte.

Definice portů služby

Pokud vaše aplikace nepoužívá uživatele root, případně nemá zvýšené capabilities (CAP_NET_ADMIN), není možné používat tzv. privileged ports. (1-1024). To však v Dockeru není nutné. Použijte jakýkoliv vyšší port (např. 8080 a 8443 místo 80/443 u webserveru) a proveďte mapování portu prostřednictvím parametrů Dockeru.

Spuštění aplikace v kontejneru

Jakkoliv je jednoduché spouštět přímo binární soubor vaší aplikace (nebo web serveru, Node.js, apod.), mnohem sofistikovanější cestou je vytvořit si vlastní tzv. entrypoint – tedy skript, který provede úvodní konfiguraci aplikace, může reagovat na proměnné prostředí apod. Dobrý příklad tohoto řešení můžeme najít například v oficiálním image PostgreSQL.

Metody konfigurace

Velká většina aplikaci vyžaduje pro správné spuštění správnou konfiguraci. Je samozřejmě možné použít přímo konfigurační soubor (například v mountovaném adresáři zvenku kontejneru), ale ve spoustě případů je lepší použít předem připravený entrypoint skript, který nám vhodnou konfiguraci při spuštění připraví pomocí template a proměnných prostředí kontejneru.

Aplikační data

Vyhněte se ukládání dat na filesystém kontejneru, ve standardní konfiguraci dojde po restartu kontejneru k jejich smazání. Využijte bind mounts (adresář vně kontejneru), nebo mounted volume.

Stejně tak je nutné vyřešit ukládání/odesílání logů. Nejvhodnější je samozřejmě použití centralizovaného logování pro všechny vaše aplikace (ELK stack), dobrou službu však odvede i obyčejný remote syslog.

Co dál?

Vždy je co zlepšovat. Nad rámec tohoto článku je možné se zamyslet nad různými možnosti configuration managementu, ELK stacku pro logování, sbírání aplikačních a systémových metrik přes Prometheus a možnosti dosažení load balancingu a high-availability pro naši aplikaci s použitím Kubernetes – které vám ve vshosting~ rádi postavíme přímo na míru vašemu projektu 🙂

Docker v poslední době nabývá na popularitě. O Dockeru můžeme mluvit jako o kontejnerové virtualizaci, což je správně, ale určitě to plně nevystihuje jeho účel. Možná je přesnější hovořit o izolaci procesů. Ani to ale nevyjádří přesnou podstatu.

O Dockeru lze uvažovat i jako o virtualizaci, která nemá žádný overhead. Start kontejneru je okamžitý, kernel se sdílí s podkladovým OS a ani nedochází k žádnému zpomalení při vlastním běhu programu, resp. jde vlastně o fork systemd procesu. Nejlepší tedy bude mluvit o Dockeru jako o Dockeru.

Výhody používání Docker

Docker, stejně jako jiné kontejnerové virtualizace, odstraňuje jeden z velkých problémů samotné virtualizace – nároky na hardware. Některé virtualizace mohou spotřebovat až 1/5 výkonu. Klasická virtualizace, jak ji zná dnes asi už každý, pracuje s modelem hardware – hostitelský OS – hypervisor – klientský OS – aplikace.

U Dockeru je to jinak. Kontejnery totiž sdílí jednu linuxovou instanci, nad kterou se pak jednotlivé izolované procesy spouští. Pracuje tedy s modelem hardware – OS – docker engine – a pak už rovnou aplikace.

Technologie Docker není náhradou za LXC. „LXC“ se odkazuje na jádro Linuxu (jmenovitě jmenných prostorů a řídících skupin), které umožňuje navzájem vytvářet procesy mezi jednotlivými oblastmi a řídit přidělování prostředků. Na vrcholu této nízké úrovně funkcí jádra nabízí Docker nástroj na vysoké úrovni s mnoha výkonnými funkcemi.

Docker je (narozdíl od strojů) optimalizován pro nasazení aplikací. To se odráží v jeho rozhraní API, uživatelském rozhraní, filozofii návrhu a dokumentaci. Naproti tomu skripty LXC se zaměřují na kontejnery jako lehké stroje – v podstatě na servery, které se bootují rychleji a potřebují méně paměti.

Nejzajímavějši funkce Docker

Přenosné nasazení mezi stroji

Docker definuje formát pro zabalení aplikace a všech jejích závislostí do jednoho objektu nazvaného kontejner. Docker jako kontejner lze v přeneseném smyslu slova skutečně s kontejnerem srovnávat. Cokoliv, myšleno aplikace a její prostředí, do něj uzavřete, můžete snadno přenést kamkoliv. Kdekoliv ho použijete bude fungovat stále stejně.

Automatický build

Docker obsahuje nástroj pro vývojáře k automatickému sestavení kontejneru ze zdrojového kódu s plnou kontrolou závislostí aplikací, vytvářením nástrojů, balením, apod. Volně jsou k použití make, maven, chef, puppet, salt, balíčky Debian, RPM, zdroj tarballs nebo jakékoli kombinace výše uvedených, bez ohledu na konfiguraci strojů.

Verze

Docker obsahuje funkce typu git pro sledování následných verzí kontejneru, kontrolu rozdílu mezi verzemi, zavádění nových verzí, rollback atd. Historie také zahrnuje, jak byl kontejner sestaven a kým. Získáte tak sledovatelnost celé cesty z produkčního serveru až k vývojáři. Docker také provádí inkrementální nahrávání a stahování, podobně jako git pull, takže nové verze kontejneru mohou být přenášeny pouze odesláním diffs.

Klony

Každý kontejner může být použit jako “rodičovský obraz” pro vytvoření více specializovaných komponent. To lze provést ručně nebo jako součást automatizovaného buildu. 

I když ve způsobu používání Dockeru nikomu nic nebrání, měly by se v rámci udržitelnosti vytvářet pouze kontejnery obsahující jednu aplikaci. Pokud použijete aplikací více, vzniká riziko konfliktních závislostí, a to jde přímo proti filosofii Dockeru, kterou je snadná přenositelnost. Proto jsou od více-aplikačních kontejnerů vývojáři samotným Dockerem odrazováni.

Při definování docker image je především nutné dodržet alespoň tato pravidla:

• mít explicitně deklarované a izolované závislosti
• konfiguraci mít uloženou do prostředí
• počítat s možností neomezeného škálování aplikace nahoru i dolů

Bezstavové vs. stavové aplikace

Obecně se pak dá říct, že je Docker nejsilnější v provozu bezstavových aplikací. U aplikací stavových, jako jsou typicky databázové servery, dává jeho použití smysl pouze v určitých případech. U jednoinstančních instalací Dockeru může být smysl v provozování stavových aplikací pouze pro účely nějakých development nebo testing verzí.

Pokud se ale budeme bavit o provozování Dockeru na nějaké větší platformě s množstvím fyzických serverů, tak mohou být škálovatelné stavové aplikace zajímavou možností, jak v závislosti na vytížení aplikace upravovat její výkon. Typicky Docker Mysql Cluster.

Na závěr lze říci, že se jedná o velmi sofistikovaný a výkonný nástroj pro development a testing aplikací. Pro jeho použití v produkčním prostředí je ale nutné projít trošku delší cestu.

Pokud hledáte prostředí pro větší projekty, které je postavené na Dockeru, mrkněte na naší službu Managed Platform for Kubernetes. Ta nabízí plně automatizovanou infrastrukturu pro Docker aplikace.