Comprendre Docker

« Chez moi, ça marche. » Tous ceux qui ont installé un logiciel sur deux ordinateurs différents connaissent cette phrase. Une application dépend d’une version précise d’un langage, de bibliothèques, de réglages… et il suffit qu’un seul de ces éléments diffère pour qu’elle refuse de démarrer.

Docker règle ce problème en livrant l’application avec tout ce dont elle a besoin, dans un paquet standard qui s’exécute de la même façon partout. Cet épisode ne demande aucune installation : on pose le vocabulaire, et c’est lui qui rendra la suite facile.

Du registre au conteneur

Trois mots décrivent tout le trajet d’une application Docker.

• Le registre est un catalogue en ligne. Le plus connu, Docker Hub, héberge les images officielles de Nginx, PostgreSQL, Nextcloud et de milliers d’autres logiciels.
• L’image est le modèle, en lecture seule. Elle est faite de couches empilées — un petit système de base, le logiciel, ses réglages — et porte un nom suivi d’un tag : dans nginx:alpine, nginx est le logiciel et alpine la variante, construite sur Alpine Linux, un système minuscule.
• Le conteneur est une image en cours d’exécution. Docker y ajoute une fine couche d’écriture, qui disparaît quand on supprime le conteneur.

	Image	Conteneur
Nature	Un modèle figé	Une exécution de ce modèle
Modifiable ?	Non, lecture seule	Oui, mais seulement le temps de sa vie
Combien ?	Une seule suffit	Autant qu’on veut, depuis la même image
Exemple	nginx:alpine	web-demo, qui fait tourner Nginx

Un tag oublié vaut latest. Méfiez-vous de ce nom : ce n’est qu’une étiquette choisie par l’éditeur, pas une garantie d’avoir la dernière version.

Un conteneur n’est pas une machine virtuelle

C’est la confusion la plus fréquente, et elle a des conséquences sur la sécurité.

	Machine virtuelle	Conteneur
Démarrage	Souvent une minute	Une seconde ou moins
Taille	Plusieurs gigaoctets	Quelques dizaines de mégaoctets
Isolation	Un système entier séparé	Des processus isolés, sur le même noyau
Idéal pour	Faire tourner un autre système	Livrer et lancer des applications

Cette proximité dicte la première règle de sécurité de la formation : une image, c’est du code que vous exécutez sur votre machine. N’en lancez pas une dont vous ignorez l’origine, pas plus que vous n’installeriez un logiciel trouvé au hasard.

Ports et volumes : deux passages vers l’extérieur

Un conteneur vit dans sa bulle. Deux mécanismes la relient au reste de votre ordinateur, et ils s’écrivent de la même manière : à gauche, chez vous ; à droite, chez lui.

Écriture	Ce que ça fait
-p 8080:80	Le port 8080 de votre ordinateur mène au port 80 du conteneur
-p 127.0.0.1:8080:80	Pareil, mais seul votre ordinateur peut l’utiliser
-v mes-donnees:/data	Le volume mes-donnees apparaît dans le conteneur sous /data

Pourquoi un volume ? Parce que la couche d’écriture d’un conteneur disparaît avec lui. Une base de données rangée à l’intérieur serait effacée à la première mise à jour. Le volume vit à côté du conteneur : on peut supprimer et recréer celui-ci autant de fois qu’on veut, les données restent. L’épisode 5 y est consacré.

Lire une commande docker run

Voici la commande que vous lancerez pour de vrai à l’épisode 3. Pour l’instant, entraînez-vous seulement à la lire.

docker run -d --name web-demo -p 127.0.0.1:8080:80 nginx:alpine

Morceau	Rôle
docker run	Crée un conteneur à partir d’une image, puis le démarre
-d	Le lance en arrière-plan : le terminal vous est rendu aussitôt
--name web-demo	Lui donne un nom lisible, pour les commandes suivantes
-p 127.0.0.1:8080:80	Relie le port 8080 de ce PC au port 80 du conteneur
nginx:alpine	L’image à utiliser, avec son tag

Retenez surtout l’ordre : les options d’abord, l’image ensuite. Tout ce qui suit le nom de l’image n’est plus lu par Docker : c’est transmis au programme du conteneur. docker run nginx:alpine -p 8080:80 ne publie donc aucun port — et se termine sur une erreur incompréhensible pour qui ne connaît pas cette règle.

Rien à exécuter dans cet épisode. Quand vous pouvez expliquer le schéma du haut de page à quelqu’un d’autre, passez à l’installation.