Чому Docker Compose втрачає популярність серед ентузіастів домашніх серверів

Docker Compose тривалий час був одним із найпопулярніших інструментів для ентузіастів домашніх серверів завдяки своїй простоті запуску сервісів за допомогою одного YAML-файлу та команди docker compose up. Однак, існують вагомі причини, чому деякі користувачі віддають перевагу альтернативам.

Вразливість безпеки через root-доступ

Стандартний підхід Docker передбачає використання центрального демона, який працює з правами root. Кожен розгорнутий стек Compose покладається на цей процес. Це створює потенційний шлях для атаки: якщо контейнер скомпрометований і зловмисник може вийти за його межі, це становить більший ризик для системи, ніж якби контейнер працював без привілеїв. Для сервісів, що виходять в інтернет (наприклад, зворотні проксі, медіасервери), рекомендується розглянути модель Podman без root-прав та без демона. Podman запускає контейнери безпосередньо, і їм не потрібні root-привілеї для функціонування. Хоча існує rootless Docker, він може створювати проблеми з готовими файлами Compose. Потенційні недоліки Podman, такі як повільніша мережа або додаткова робота для деяких завдань, вважаються незначними порівняно з перевагами безпеки.

Складність усунення несправностей

При використанні Compose контейнери розташовані окремо від менеджера сервісів операційної системи (під демоном Docker). Це вимагає використання абсолютно іншого набору команд для керування ними, створюючи зайвий бар'єр для входу. Альтернативи, такі як Quadlet, що постачається з Podman, вирішують цю проблему. Quadlet обробляє кожен контейнер як звичайний сервіс systemd. Це означає, що замість одного великого YAML-файлу створюється кілька невеликих файлів контейнерів. Podman керує контейнером, а systemd може контролювати його, як будь-яку іншу програму чи сервіс у системі. Це забезпечує повну видимість за допомогою звичайних команд systemctl або journalctl для контейнерів, усуваючи додаткові кроки, необхідні для Docker.

Відсутність автоматичних оновлень

Своєчасні оновлення важливі для безпеки. Оновлення образів у Docker Compose вимагає ручного виконання команд compose down, завантаження нового образу, а потім знову compose up. Compose не має вбудованого способу планування або автоматизації оновлень. Історично ентузіасти використовували такі інструменти, як Watchtower, для вирішення цієї проблеми, але це додає ще один рухомий елемент, який може вийти з ладу. Podman, зокрема, має вбудовану можливість автоматичного оновлення, яка використовує таймер systemd замість окремого контейнера. Важливо, що автоматичне оновлення Podman також автоматично відкочується до попередньої робочої версії, якщо новий контейнер не запускається.

Переваги графічного інтерфейсу над YAML

YAML-файли Compose зручні, коли все працює правильно, перетворюючи тригодинний процес на п'ятихвилинний. Однак, якщо щось налаштовано неправильно, аудит YAML-файлу на наявність проблем може бути складним. Платформи, такі як CasaOS, Cosmos та Runtipi, пропонують GUI-орієнтований підхід замість ручного редагування YAML. Ці платформи часто включають магазин додатків, оновлювач і навіть зворотний проксі. Багато з них використовують Compose під капотом, але приховують рутинну частину, тому користувачам не потрібно вручну редагувати файли. Це зручно для тих, хто хоче швидко запустити сервіси, такі як Jellyfin або Immich, особливо якщо вони некомфортно почуваються з інтерфейсом командного рядка.

Що це означає для розробників

Для розробників та ентузіастів домашніх серверів це означає, що існують більш безпечні та інтегровані з системою альтернативи для керування контейнерами, ніж традиційний Docker Compose. Розгляд Podman з Quadlet може покращити безпеку та спростити усунення несправностей, тоді як GUI-платформи пропонують легший вхід для швидкого розгортання сервісів.

Ключові факти

• Стандартний Docker Compose використовує root-демон, що створює вразливість безпеки.

• Podman пропонує rootless та daemonless модель, що підвищує безпеку.

• Docker Compose ускладнює усунення несправностей через відокремлення контейнерів від менеджера сервісів ОС.

• Quadlet (з Podman) інтегрує контейнери як сервіси systemd, покращуючи видимість та керування.

• Docker Compose не має вбудованої автоматизації оновлень, вимагаючи ручних дій або сторонніх інструментів.

Джерела

• Docker is no longer the best choice for homelabbers