Wikipedia

Docker (Software)

virtualisierungssoftware, die Anwendungen in Container isoliert

Docker ist eine freie Software zur Isolierung von Anwendungen mit Hilfe von Containervirtualisierung.

Docker

Basisdaten

Entwickler Docker, Inc.
Erscheinungsjahr 13. März 2013[1]
Aktuelle Version 27.3.1[2]
(20. September 2024)
Betriebssystem Linux[3], Microsoft Windows[4], macOS[5], Unix-ähnliches System
Programmier­sprache Go[6]
Kategorie Sandboxing
Lizenz proprietäre Lizenz, Apache-Lizenz, Version 2.0[7][8]
www.docker.com

Docker vereinfacht die Bereitstellung von Anwendungen, weil sich Container, die alle nötigen Pakete enthalten, leicht als Dateien transportieren und installieren lassen. Container gewährleisten die Trennung und Verwaltung der auf einem Rechner genutzten Ressourcen. Das umfasst laut Aussage der Entwickler: Code, Laufzeitmodul, Systemwerkzeuge, Systembibliotheken – alles was auf einem Rechner installiert werden kann.[9]

Grundlagen

Bearbeiten
 
Docker kann verschiedene Schnittstellen verwenden, um auf Virtualisierungsfunktionen des Linux-Kernels zuzugreifen.

Docker basiert auf Linux-Techniken wie Cgroups und Namespaces, um Container zu realisieren. Während anfänglich noch die LXC-Schnittstelle des Linux-Kernels verwendet wurde, haben die Docker-Entwickler mittlerweile eine eigene Programmierschnittstelle namens libcontainer entwickelt, die auch anderen Projekten zur Verfügung steht. Als Speicher-Backend verwendet Docker das Overlay-Dateisystem aufs, ab Version 0.8 unterstützt die Software aber auch btrfs.[10]

Prinzipiell ist Docker auf die Virtualisierung mit Linux ausgerichtet. Da die Docker-Technologie einen Linux-Kernel benötigt, muss für die Nutzung unter Microsoft Windows die Virtualisierung genutzt werden. Docker kann dort mittels WSL 2 (Standard)[11], Hyper-V[12] oder VirtualBox verwendet werden. Auf macOS lässt sich HyperKit[13] oder VirtualBox nutzen. Da die Ressourcentrennung alleine mit den Docker zugrunde liegenden Techniken wie Namespaces und Cgroups nicht völlig sicher ist, hat das Unternehmen Red Hat Unterstützung für die sicherheitsrelevante Kernel-Erweiterung SELinux implementiert, welche die Container auf der Ebene des Host-Systems zusätzlich absichert.[14]

Begriffe

Bearbeiten
Image
ein Speicherabbild eines Containers. Das Image selbst besteht aus mehreren Layern, die schreibgeschützt sind und somit nicht verändert werden können. Ein Image ist portabel, kann in Repositories gespeichert und mit anderen Nutzern geteilt werden. Aus einem Image können immer mehrere Container gestartet werden.
Container
als Container wird die aktive Instanz eines Images bezeichnet. Der Container wird also gerade ausgeführt und ist beschäftigt. Sobald der Container kein Programm ausführt oder mit seinem Auftrag fertig ist, wird der Container automatisch beendet.
Layer
ein Layer ist Teil eines Images und enthält einen Befehl oder eine Datei, die dem Image hinzugefügt wurde. Anhand der Layer kann die ganze Historie des Images nachvollzogen werden.
Dockerfile
eine Textdatei, die mit verschiedenen Befehlen ein Image beschreibt. Diese werden bei der Ausführung abgearbeitet und für jeden Befehl wird ein einzelner Layer angelegt.
Repository
ein Repository ist ein Satz gleichnamiger Images mit verschiedenen Tags, zumeist Versionen.
Registry
eine Registry, wie zum Beispiel Docker Hub oder Artifactory, dient der Verwaltung von Repositories.
libcontainer
eine Schnittstelle zu den Grundfunktionen von Docker.
libswarm
eine Schnittstelle, um Docker-Container zu steuern.
libchan[15]
ermöglicht eine einfache („light weighted“) Kommunikation zwischen Prozessteilen und Prozessen.

Geschichte

Bearbeiten

Docker wurde im März 2013 von dotCloud veröffentlicht.[16] Der initiale Commit auf dem Git-Repository stammt allerdings vom 19. Januar 2013 und umfasste 1146 Zeilen Code.[17]

Am 29. Oktober 2013 kündigte dotCloud an, sich in Docker Inc. umzubenennen.[18] Anfang August 2014 verkaufte Docker dann seinen Platform-as-a-Service-Dienst dotCloud an die Berliner Firma cloudControl.[19]

Im Laufe des Jahres 2014 gewann Docker so weit an Bekanntheit und Popularität, dass es Bestandteil des Red Hat Enterprise Linux 7.0 wurde.[20] Außerdem wurde es von openSUSE in das Software-Repertoire aufgenommen.[21] Im Juli 2014 schlossen sich die Firmen Microsoft, Red Hat, IBM, Docker, Mesosphere, Core OS und Saltstack dem Kubernetes-Projekt an, das von Google initiiert worden war. Ziel der Kooperation war es, mit Kubernetes Docker-Container auf sämtlichen privaten, öffentlichen und Hybrid-Cloud-Umgebungen bereitstellen zu können.[22] Ab Version 1.0 verwendet Docker die beiden offiziellen von der IANA zugewiesenen Portnummern 2375 für HTTP- und 2376 für HTTPS-Kommunikation.[23]

Das Unternehmen hinter Docker erhielt im Januar 2014 von mehreren Geldgebern zusammen 15 Millionen US-Dollar an Investitionen.[24] Im April 2015 folgten Investitionen in Höhe von 95 Millionen US-Dollar.[25] Insgesamt belaufen sich die Investitionen in die ursprünglich unter dem Namen dotCloud gegründete Firma damit auf gut 110 Millionen US-Dollar.

2015 entstand die Open Container Initiative (OCI). Neben u. a. CoreOS ist Docker eines der Gründungsmitglieder. Das Ziel der OCI besteht darin, einen offenen Standard für eine komplette Container-Umgebung zu schaffen. Dies schließt beispielsweise die Laufzeitumgebung und Spezifikationen für die Images ein. Dockers eigene Werkzeuge wie etwa runc halten sich an diesen Standard. Für die Nutzer schafft dies Diversität und es besteht keine große Abhängigkeit zum Unternehmen Docker: Jeder kann auf Basis der Spezifikation eine Container-Plattform entwickeln. Es gibt daher bereits verschiedene Alternativen, die nur leichte oder gar keine Anpassungen gegenüber einer Docker-Umgebung erfordern.[26][27]

Red Hat Enterprise Linux 8, das 2019 erschienen ist, enthält Docker nicht mehr, da Red Hat und andere Distributoren wie z. B. Suse sich wegen Sicherheitsrisiken und Problemen mit Docker Inc. entschieden haben, Docker durch Podman (für: pod manager) zu ersetzen.[28][29]

Docker Enterprise wurde 2019 für rund 35 Millionen Dollar an Mirantis verkauft. Das Unternehmen gab darauffolgend bekannt, dass der Support für Docker Swarm nach zwei Jahren eingestellt werde;[30] dies wurde jedoch 2020 in einem Blogpost, nach Diskussionen mit der Community, zurückgezogen, und man versprach weiteren Support ohne Enddatum.[31]

Funktionen

Bearbeiten

Neben der grundsätzlichen Funktionalität, Container mit virtuellen Betriebssystemen zu erstellen, bietet Docker noch weitere Werkzeuge, um die Arbeit mit Containern zu vereinfachen.

Docker Hub

Bearbeiten

Docker Hub ist ein Onlinedienst, der eine Registry für Docker-Images und Repositories beinhaltet. Die Registry teilt sich in einen öffentlichen und einen privaten Teil auf. Im öffentlichen Teil kann jeder Nutzer seine selbst erstellten Images hochladen und damit anderen Nutzern zur Verfügung stellen. Außerdem gibt es mittlerweile offizielle Images, z. B. von Linux-Distributoren. Im privaten Teil von Docker Hub können Benutzer ihre Docker-Images hochladen und dadurch einfach z. B. firmenintern verteilen, ohne dass diese damit öffentlich auffindbar sind.[32]

Die Registry-Software wurde von Docker Inc. als Open-Source-Software veröffentlicht, sodass man die Vorteile dieser nun auch nutzen kann, ohne die eigenen Images auf die Server von Docker laden zu müssen.[33]

Mittels von Docker bereitgestellter APIs lassen sich Images auch automatisch aus Repositories von GitHub oder Bitbucket erstellen.[34]

Missbrauch von Docker-Images

Bearbeiten

Im Sommer 2018 wurde bekannt, dass es Unbekannten gelungen war, Docker-Container mit einer Hintertür zu versehen, die es ihnen ermöglichte, die Kryptowährung Monero zu schürfen. Die 17 infizierten Pakete wurden alle vom Benutzer docker123321 hochgeladen und insgesamt 5 Millionen Mal heruntergeladen. Insgesamt wurden so von den Nutzern 58.000 Euro geschürft.[35]

Erste Meldungen von infizierten Images gab es bereits im Juli 2017,[36] jedoch gab es von Seiten des Docker Hubs keine Reaktion und die Images wurden erst entfernt, als die Sicherheitsfirma Kromtech einen Bericht dazu veröffentlichte.[37]

Im Sommer 2020 wurde ein weiterer Fall bekannt, bei dem Unbekannte infizierte Pakete hochluden. Diese wurden 2 Millionen Mal heruntergeladen und es wurden etwa 36.000 US-Dollar der Kryptowährung Monero geschürft.[38]

Datenleck

Bearbeiten

Wie am 27. April 2019 bekannt wurde, sollen Unbekannte Zugriff auf eine interne Datenbank des Dockerhubs mit vertraulichen Informationen gehabt haben. Betroffen seien rund 190.000 Konten. Neben Usernamen und gehashten Passwörtern waren unter den betroffenen Daten auch Github- und Bitbucket-Tokens für Autobuilds, diese seien bei betroffenen Usern zurückgezogen worden.[39]

Versionsverwaltung

Bearbeiten

Docker bietet eine eingebaute Versionsverwaltung. Diese erlaubt es, den aktuellen Stand des Containers in ein Image zu sichern, dieses auf das Docker Hub zu laden, die Unterschiede zwischen dem aktuellen Zustand des Containers und dem ursprünglichen Image sowie die sehr grobe Historie eines Images anzuzeigen.[40] Ein Image selbst wird in Schichten eingeteilt, die als Layer bezeichnet werden. Jeder Layer beschreibt einen Unterschied zu dem vorherigen Layer und zeigt so, welche Programme oder Daten in dem Image hinzugefügt oder entfernt wurden.[41] Die einzelnen Layer sind schreibgeschützt und können nicht manipuliert werden. Der Container selbst schreibt in einem Writeable-Layer und ermöglicht es, dass mehrere Container auf einem Image basieren und sich lediglich der Writeable-Layer unterscheidet.

Auch wenn diese Versionsverwaltung von der Syntax her an Git angelehnt ist und auch mit diesem verglichen wird, unterscheidet sie sich stark von ihrem Vorbild.

Sicherheitsaspekte

Bearbeiten

Docker-Container werden durch einen Daemon erzeugt, der in der Vergangenheit zwingend root-Rechte haben musste, ab Version 19.03[42] unter bestimmten Umständen aber auch unprivilegiert sein kann. Läuft der Daemon mit root-Rechten, bedient man sich oft einer eigenen Nutzergruppe, um auch unprivilegierten Nutzern die Erzeugung neuer Docker-Container zu erlauben.[43] Ein möglicher Fallstrick besteht darin, dass alle unprivilegierten Nutzer, die Mitglied einer solchen Nutzergruppe sind, indirekt über volle root-Rechte auf dem Host-System verfügen.[44][45] Die alternative Software für Containervirtualisierung Podman verzichtet auf dieses Sicherheitsrisiko, ist zu Docker kompatibel und angepasst auf Kubernetes.[29]

Die Open Container Initiative spezifiziert ein Format zur Containervirtualisierung. Da es sich um eine internationale und offene Spezifikation handelt, kann prinzipiell jeder diese implementieren. So sind sicherere Alternativen zu Docker entstanden, zu denen man vorhandene Images oder Container migrieren kann – etwa containerd oder Podman. Trotz Standardisierung gibt es kleinere Unterschiede, etwa im Speicherort von Container und Images.[46]

Im Unterschied zu einer Virtuellen Maschine teilen sich Container und Host einen gemeinsamen Betriebssystem-Kernel. Dies verbessert einerseits die Leistung erheblich, vergrößert andererseits aber auch das Risiko, dass erfolgreiche Angriffe gegen den Kernel auch den Host kompromittieren.

Bei richtiger Konfiguration sind selbst root-Rechte innerhalb eines Docker-Containers nicht dazu geeignet, um den Host anzugreifen. Insbesondere sollte dazu ein neuer User Namespace erzeugt und der root-Benutzer des Containers auf einen unprivilegierten Benutzer des Hosts abgebildet werden.[47]

Siehe auch

Bearbeiten
Bearbeiten

Einzelnachweise

Bearbeiten
  1. ↑ Julia Schmidt: Docker bekommt 15 Millionen Risikokapital. heise online, 23. Januar 2014 (abgerufen am 13. Januar 2017).
  2. ↑ v27.3.1. 20. September 2024 (abgerufen am 20. September 2024).
  3. ↑ docs.docker.com. (abgerufen am 19. August 2016).
  4. ↑ docs.docker.com. (abgerufen am 19. August 2016).
  5. ↑ docs.docker.com. (abgerufen am 19. August 2016).
  6. ↑ thenewstack.io. (abgerufen am 19. August 2016).
  7. ↑ github.com.
  8. ↑ LICENSE. (englisch).
  9. ↑ What is Docker? Abgerufen am 28. Februar 2017 (englisch).
  10. ↑ Docker Blog – Docker. 23. September 2021, abgerufen am 8. Oktober 2022 (amerikanisches Englisch).
  11. ↑ Install Docker Desktop on Windows. Abgerufen am 13. Juni 2023 (englisch).
  12. ↑ Microsoft Hyper-V. Abgerufen am 30. Januar 2017 (englisch).
  13. ↑ A toolkit for embedding hypervisor capabilities in your application: moby/hyperkit. Moby, 8. November 2019, abgerufen am 8. November 2019.
  14. ↑ Oliver Frommel: Docker unterstützt SELinux. In: ADMIN-Magazin. Abgerufen am 8. Oktober 2022.
  15. ↑ Michael Unke: Devops-Trend: Docker-Container. Linux Magazin, 1. September 2014, abgerufen am 6. Februar 2018.
  16. ↑ About Us | Docker. Docker Inc., archiviert vom Original (nicht mehr online verfügbar) am 18. Juli 2014; abgerufen am 6. September 2014.
  17. ↑ Initial commit. aluzzardi, abgerufen am 24. August 2016.
  18. ↑ dotCloud, Inc. is becoming Docker, Inc. dotCloud Inc., abgerufen am 6. September 2014 (englisch).
  19. ↑ Julia Schmidt: Platform as a Service: cloudControl übernimmt dotCloud-Geschäft von Docker. Heise Zeitschriften Verlag GmbH & Co. KG, 5. August 2014, abgerufen am 6. September 2014.
  20. ↑ Oliver Frommel: Red Hat Enterprise Linux 7 veröffentlicht. In: ADMIN-Magazin. Abgerufen am 8. Oktober 2022.
  21. ↑ Docker-Container für Opensuse 13.1 verfügbar. Abgerufen am 8. Oktober 2022.
  22. ↑ Oliver Frommel: Kubernetes für Docker: Alle machen mit. In: ADMIN-Magazin. Abgerufen am 8. Oktober 2022.
  23. ↑ Service Name and Transport Protocol Port Number Registry. Abgerufen am 8. Oktober 2022.
  24. ↑ Docker Blog – Docker. 23. September 2021, abgerufen am 8. Oktober 2022 (amerikanisches Englisch).
  25. ↑ Markus Heinemann: 95 Millionen neue US-Dollar für Docker. In: ADMIN-Magazin. Abgerufen am 8. Oktober 2022.
  26. ↑ About the Open Container Initiative – Open Container Initiative. Abgerufen am 4. April 2023.
  27. ↑ Demystifying the Open Container Initiative (OCI) Specifications | Docker. 19. Juli 2017, abgerufen am 4. April 2023 (amerikanisches Englisch).
  28. ↑ Red Hat Enterprise Linux 8 freigegeben: Mehr Flexibilität bei Software-Versionen. Heise Zeitschriften Verlag GmbH & Co. KG, 7. Juli 2019, abgerufen am 12. November 2019.
  29. ↑ a b Podman: Linux-Container einfach gemacht, Teil 1. Heise Zeitschriften Verlag GmbH & Co. KG, 22. März 2019, abgerufen am 19. Oktober 2023: „Der Name Podman ist ein Kürzel für Pod Manager. Die Container-Orchestrierung Kubernetes hat den Begriff Pod geprägt. Er beschreibt eine Gruppe von Containern, die sich bestimmte Ressourcen teilen und nicht völlig isoliert voneinander laufen. Während Docker Pods nur indirekt über Kubernetes unterstützt, sind sie ein integraler Bestandteil von Podman.“
  30. ↑ heise online: Container: Docker verkauft Enterprise-Geschäft und bekommt neuen CEO. Abgerufen am 13. Februar 2020.
  31. ↑ Rick Pugh: Mirantis will continue to support and develop Docker Swarm. Abgerufen am 20. März 2023 (englisch).
  32. ↑ docs.docker.com
  33. ↑ registry.hub.docker.com
  34. ↑ docs.docker.com
  35. ↑ 5 Millionen Mal heruntergeladen: Bösartige Docker-Container schürfen Monero. 15. Juni 2018, abgerufen am 27. April 2019.
  36. ↑ [dockmylife/memorytest] Report malicious image #1121. 7. August 2017, abgerufen am 27. April 2019 (englisch).
  37. ↑ Cryptojacking invades cloud. How modern containerization trend is exploited by attackers. 12. Juni 2018, abgerufen am 27. April 2019 (englisch).
  38. ↑ Ashutosh Chitwadgi, Rahul Rajewar: Attackers Cryptojacking Docker Images to Mine for Monero. In: paloaltonetworks. 25. Juni 2020, abgerufen am 28. Juni 2020.
  39. ↑ Docker Hub gehackt: 190.000 Nutzerkonten betroffen. 27. April 2019, abgerufen am 27. April 2019.
  40. ↑ What is Docker and when to use it. CenturyLink Innovations Lab, abgerufen am 28. Februar 2017.
  41. ↑ About images, containers, and storage drivers. Docker Docs, abgerufen am 8. Januar 2018 (englisch).
  42. ↑ Run the Docker daemon as a non-root user (Rootless mode). 15. Oktober 2021, abgerufen am 20. Oktober 2021 (englisch).
  43. ↑ Post-installation steps for Linux. 15. Oktober 2021, abgerufen am 20. Oktober 2021 (englisch).
  44. ↑ Docker security. 15. Oktober 2021, abgerufen am 20. Oktober 2021 (englisch).
  45. ↑ Docker-Security. In: Linux-Magazin. Abgerufen am 20. Oktober 2021.
  46. ↑ Podman vs. Docker – wo liegt die Zukunft der Container-Welt? In: IONOS. Abgerufen am 5. Oktober 2022.
  47. ↑ Runtimes And the Curse of the Privileged Container | brauner’s blog. 6. Dezember 2019, archiviert vom Original (nicht mehr online verfügbar) am 6. Dezember 2019; abgerufen am 8. Oktober 2022.
Abgerufen von „https://de.wikipedia.org/w/index.php?title=Docker_(Software)&oldid=250355478“