Cos'è la containerizzazione e Docker per l'hosting

Introduzione alla containerizzazione

La containerizzazione è una tecnologia che impacchetta un'applicazione insieme a tutte le sue dipendenze, librerie e configurazioni in un pacchetto isolato chiamato container. Un container contiene tutto il necessario affinché l'applicazione funzioni in modo identico su qualsiasi sistema, indipendentemente dal sistema operativo o dall'ambiente in cui viene avviata. Questa tecnologia ha rivoluzionato il modo in cui il software viene sviluppato, testato e distribuito perché elimina il famoso problema del "funziona sul mio computer ma non sul server".

Il concetto di containerizzazione esiste dai primi anni 2000 con tecnologie come FreeBSD Jails e Linux Containers, ma è stato Docker a rendere la containerizzazione accessibile alla più ampia comunità di sviluppatori nel 2013. Oggi la containerizzazione è lo standard del settore, utilizzato da aziende di ogni dimensione, dalle startup alle grandi corporation come Google, Amazon e Netflix, per eseguire quotidianamente milioni di container.

Container contro macchine virtuali

Come funzionano le macchine virtuali

Le macchine virtuali, o VM, simulano un ambiente di calcolo completo che include hardware, sistema operativo, kernel e tutte le librerie di sistema. Ogni VM esegue una propria copia del sistema operativo al di sopra di un hypervisor come VMware, Hyper-V o KVM, che gestisce la condivisione delle risorse fisiche. Questo significa che una VM con Ubuntu su un server che esegue CentOS deve caricare un intero kernel e sistema operativo Ubuntu, occupando notevoli risorse di RAM e spazio su disco.

Come funzionano i container

I container condividono il kernel del sistema operativo host e isolano soltanto il livello dell'applicazione. Invece di eseguire un proprio sistema operativo, i container utilizzano i meccanismi dei namespace del kernel Linux e dei cgroups per isolare processi, accesso alla rete, file system e risorse. Un container con un'applicazione Node.js contiene solo il runtime di Node.js, i pacchetti npm e il codice dell'applicazione, ma non un intero sistema operativo. Ecco perché i container occupano solo megabyte invece di gigabyte di spazio e si avviano in pochi secondi anziché in minuti come le VM.

Confronto delle prestazioni

I container sono notevolmente più efficienti delle macchine virtuali su tutte le metriche principali. Una VM tipica occupa da 1 a 20 gigabyte di spazio, mentre un container occupa di solito da 10 a 500 megabyte. Il tempo di avvio di una VM va da 30 secondi a diversi minuti, mentre un container si avvia in meno di un secondo. Su un singolo server fisico puoi eseguire decine di VM oppure centinaia, persino migliaia di container. Tuttavia, le VM offrono un isolamento più forte perché ogni VM possiede il proprio kernel, quindi le implicazioni di sicurezza di una violazione dell'isolamento sono meno gravi con le VM rispetto ai container che condividono un kernel.

Le basi di Docker

Cos'è Docker

Docker è una piattaforma open source per creare, distribuire ed eseguire container. L'ecosistema Docker è composto da Docker Engine, ovvero il runtime per l'esecuzione dei container; Docker CLI, l'interfaccia a riga di comando per gestire i container; Docker Hub, un registry pubblico con migliaia di immagini di container precompilate; e Docker Compose, uno strumento per definire ed eseguire applicazioni multi-container. Docker è diventato lo standard de facto della containerizzazione e, quando si parla di container, di solito ci si riferisce ai container Docker.

Immagini e container Docker

Un'immagine Docker è un template che contiene tutto il necessario per eseguire un'applicazione. L'immagine è immutabile, il che significa che una volta creata non può essere modificata: viene solo creata una nuova versione. Un container è un'istanza in esecuzione di un'immagine, allo stesso modo in cui un processo è un'istanza in esecuzione di un programma. Da una sola immagine puoi avviare un numero illimitato di container, ognuno con il proprio file system, accesso alla rete e risorse. Le immagini sono memorizzate a livelli, dove ogni livello rappresenta un'istruzione del Dockerfile, consentendo una memorizzazione nella cache efficiente e la condivisione dei livelli comuni tra immagini diverse.

Dockerfile

Un Dockerfile è un file di testo con le istruzioni per creare un'immagine Docker. Un tipico Dockerfile per un'applicazione Node.js inizia con FROM node:20-alpine che specifica l'immagine di base, poi WORKDIR /app imposta la directory di lavoro, COPY package*.json ./ copia i file delle dipendenze, RUN npm ci installa le dipendenze, COPY . . copia il codice dell'applicazione e CMD node server.js definisce il comando di avvio. Ogni istruzione crea un nuovo livello nell'immagine e Docker memorizza nella cache i livelli che non sono cambiati, accelerando le build successive.

Docker nella pratica per l'hosting

Esempi di casi d'uso

Docker viene utilizzato nell'hosting in molti modi. L'isolamento delle applicazioni consente di eseguire più applicazioni con versioni diverse dello stesso software su un singolo VPS o server dedicato, ad esempio un'applicazione che richiede PHP 7.4 e un'altra che richiede PHP 8.3 senza conflitti. L'ambiente coerente garantisce che l'applicazione funzioni in modo identico sul computer di sviluppo, sul server di staging e in produzione, perché l'ambiente è definito nel Dockerfile. Il deploy semplice si riduce a scaricare una nuova versione dell'immagine e riavviare il container invece di configurare manualmente il server. Lo scaling è banale perché l'avvio di istanze aggiuntive richiede un solo comando.

Docker Compose per le applicazioni web

Docker Compose consente di definire uno stack applicativo completo in un unico file YAML. Una tipica applicazione web è composta da un web server come Nginx, un application server come PHP-FPM o Node.js, un database come MySQL o PostgreSQL e un sistema di cache come Redis. Ognuno di questi servizi è definito come un container separato nel file docker-compose.yml con connessioni di rete, volumi per i dati persistenti e variabili d'ambiente per la configurazione. Un singolo comando docker compose up avvia tutti i servizi con la configurazione corretta e la comunicazione reciproca.

Persistenza dei dati

I container sono effimeri per natura, il che significa che tutti i dati all'interno del container vanno persi quando il container viene eliminato. Per i dati che devono sopravvivere a un riavvio o all'eliminazione del container si utilizzano i volumi Docker, che mappano una directory del sistema host all'interno del container. Il database memorizza i file su un volume che esiste indipendentemente dal container, la directory degli upload dell'applicazione web viene mappata sul file system dell'host e i file di log vengono inviati a un servizio di logging centralizzato. Una corretta gestione dei volumi è fondamentale per l'hosting in produzione, perché la perdita dei dati degli utenti è inaccettabile.

Introduzione a Kubernetes

Cos'è Kubernetes

Kubernetes, abbreviato in K8s, è una piattaforma open source per la gestione, lo scaling e il deploy automatizzati delle applicazioni containerizzate. Mentre Docker gestisce i singoli container, Kubernetes gestisce cluster di centinaia o migliaia di container distribuiti su più server. Google ha sviluppato Kubernetes basandosi sul sistema interno Borg utilizzato per gestire la propria infrastruttura e lo ha rilasciato come progetto open source nel 2014.

Concetti chiave

Kubernetes organizza i container in pod, che sono l'unità di deploy più piccola e possono contenere uno o più container che condividono le risorse. Un Deployment definisce lo stato desiderato dell'applicazione, incluso il numero di repliche e la strategia di aggiornamento. Un Service fornisce un indirizzo di rete stabile per accedere ai pod, che possono essere creati e distrutti dinamicamente. Ingress gestisce l'accesso esterno ai servizi, in genere tramite HTTP e HTTPS. I Namespace consentono la separazione logica delle risorse all'interno di un cluster, ad esempio per ambienti o team diversi.

Kubernetes per l'hosting

Kubernetes è eccessivamente complesso per i siti di piccole dimensioni, ma è ideale per applicazioni scalabili con requisiti di alta disponibilità. L'autoscaling aumenta o diminuisce il numero di container in base al carico, il self-healing riavvia automaticamente i container che si sono bloccati o che non superano i controlli di integrità, il rolling update aggiorna l'applicazione senza downtime sostituendo i container uno alla volta e il rollback ripristina una versione precedente in caso di problemi. Per i provider di hosting, Kubernetes consente un utilizzo efficiente delle risorse perché i container vengono distribuiti dinamicamente sui server con risorse libere sufficienti.

Sicurezza dei container

Buone pratiche

La sicurezza dei container richiede attenzione su più livelli. Utilizza immagini di base minimali come Alpine Linux invece delle distribuzioni complete, perché una superficie di attacco più ridotta significa meno vulnerabilità. Scansiona le immagini alla ricerca di vulnerabilità note con strumenti come Trivy o Snyk prima del deploy. Non eseguire i container come utente root, ma crea un utente senza privilegi nel Dockerfile. Aggiorna regolarmente le immagini di base, perché le nuove versioni contengono patch di sicurezza. Utilizza file system in sola lettura dove possibile e limita le risorse dei container con i limiti dei cgroups per CPU e memoria.

Isolamento di rete

Le reti Docker isolano la comunicazione tra i container. Crea reti separate per i container frontend e backend, in modo che i container accessibili pubblicamente non abbiano accesso diretto al database. Utilizza le network policy in Kubernetes per un controllo granulare dell'accesso alla rete. Non esporre le porte del database verso la rete internet pubblica, ma mantienile accessibili solo all'interno della rete Docker. Cifra la comunicazione tra i container con TLS, soprattutto negli ambienti di produzione.

Conclusione

La containerizzazione e Docker hanno trasformato il modo in cui le applicazioni web vengono sviluppate e distribuite. I container offrono isolamento, coerenza, efficienza nelle risorse e facilità di scaling che l'hosting tradizionale non può garantire. Per i progetti più piccoli, Docker Compose è uno strumento sufficientemente potente, mentre Kubernetes diventa essenziale per i grandi sistemi distribuiti. Sui nostri piani di web hosting utilizziamo la tecnologia dei container per l'isolamento dell'ambiente di hosting, garantendo stabilità, sicurezza e prestazioni ottimali per ogni sito sui nostri server.