orchestrating docker in production - tiad camp docker

Orchestrating Docker in Production

Maxime Rivals <[email protected]>

Programme

1. Rappel

2. Infrastructure immuable

3. Orchestrateurs de conteneurs

4. Contraintes à la production

Rappel

Recap Bootcamp

- Docker build (construire une nouvelle image)

- Docker push (pousser l’image sur un registry docker)

- Docker-compose up (Démarrer la nouvelle image )

- Déploiement sur d’un application sur Swarm & ECS

Ces trois étapes permettent de construire une nouvelle image à chaque mise à

jours, cette image reste inchangé tout au long du cycle de vie de cette version.

Infrastructure immuable


IntroductionÉviter des inconsistances de configuration

Configuration drift !!

Introduction

Modifications manuelles

Introduction

Échec partiel de mise à jour

Ansible Management

node

Component A

Component B

Component C

ssh

ssh

ssh

Introduction

Solutions - Simplifier les opérations

- Rendre les applications facilement scalables

- Rendre votre infrastructure facilement restaurable et reproductible

- Limiter les erreurs inattendus

- Plus besoin de raconter l’histoire de chaque composant

- Cloud reboot sans craintes

Introduction

Contraintes - Gestion d’images

- Sécurisation des images

- Demande plus de rigueure, plus de collaboration avec les équipes de développement

- Nécessite un un rebuild de l’image à chaque mise à jours

Introduction

Outils & automatisation

Introduction(Parallèle avec l’immutabilité)

Immuabilité avec les conteneurs

Orchestrateurs de conteneurs


L’orchestration

Qu’est-ce qu’un orchestrateur ?

L’orchestration

- Planifier (Scheduling) le placement des conteneurs.

- S'assurer du bon fonctionnement (self healing + scaling) des

conteneurs

- Gérer les mises à jours et le remplacement des conteneurs

Rôles dans le contexte des conteneurs

L’orchestration

Exemple de solutions disponibles

Kubernetes AWS Ecs Docker Swarm

L’orchestration

Kubernetes Ecs Swarm

Deployment Public clouds, Virtual infra, Physical Hardware Only available on AWS Public clouds, Virtual infra,

Physical Hardware

Rolling Update Support rolling update and recreate strategies

Support rolling update by minimum healthy percent

and maximum percent parameters

The swarm manager lets you control the delay

between service deployment to different set

of node

Autoscaling Application autoscaling Service autoscaling Manual

Fonctionnalités

L’orchestration


Service discovery ETCD v3Use application load balancers or install a Consul cluster

Swarm manager assigns each service a unique DNS.

Swarm supports several discovery backends

HealthCheck Liveness and readiness

Load balancer health check

Service running state

Service running state

HEALTHCHECK functionnality can be embedded into docker image

Logging ELK addons or others Install ELK or other solution can be installed ELK stack can be installed

Fonctionnalités

L’orchestration


High availability Supported in pod and masters nodes level

Cluster is fully managed by AWS

Tasks can be replicated among ec2 instances

Services replicated among swarm nodes

Odd number of manager is recommended

Networking Overlay networkVPCOverlay network (not built-in)

Overlay network

Performance Can handle 5000 nodes with up to 150,0000 pods

No stats available,but a 2015 blog by Werner Vogels, CTO - Amazon.com, that has some metrics on scaling v/s latency.

1000 nodes and up to30.000 containers with 1 swarm manager

Fonctionnalités

http://amazon.com/

L’orchestration


Key Concepts

PodsReplication controller

DeploymentService

Task definitionService

StackDocker compose

Fonctionnalités

Contraintes à la production



Sources principales de contraintes

Proviennent essentiellement des éléments suivant :

● Immuabilité

● Orchestration


Observabilité des containers

WebUI CLI

docker service lsID NAME MODE REPLICAS vpa4kuy119qv frontend replicated 1/1 xx3akdb6z3r9 backend replicated 1/1Ohf5wc147tqn proxy replicated 3/3


Observabilité des containers

Monitoring Alertes

orchestateurrolling-update


Déploiement continu

App v1.0

A AClient

Load Balancer

Rolling-update




App v1.0

A AClient

Load Balancer

Rolling-update

App v1.1




App v1.0

A AClient

Load Balancer

Rolling-update

App v1.1

A




App v1.0

A AClient

Load Balancer

Rolling-update

App v1.1

A A




Client

Load Balancer

Rolling-update

App v1.1

A A



Audit de sécuritéGestion des tags


Gestion des logs

CLI Centralisée


Gestion des logs

App v1.1

A

B

Indexeur

Outil de monitoring

forwarding parsing

Système centralisé


Découverte de services

Pattern orienté micro-service et “server-side”



Permet de connaître dynamiquement :

● Quelles sont les applications disponibles

● Comment y accéder (IP et Port via requête DNS)



Consul linkerd envoy

Swarm Zookeeper



Enregistrement

App v1.1

A

B

KV StoreMiddleware enregistre ip:port DNSauto-configuration

- A.service.domain- B.service.domain- ...



Vérification de la disponibilité

App v1.1

A

B

KV StoreMiddleware enregistre état DNSauto-configuration

- A.service.domain- B.service.domain- ...

curl http://ip:port



Répartition de charges

App v1.1

A

A DNS

- A.service.domain (Round-Robin)- ...

http://my.app.domainClients



Fail-over

App v1.1

A

A DNS

- A.service.domain (Round-Robin)- ...

http://my.app.domainClients



Point important

● La découverte de service exploite des entrées DNS de type SRV○ Permet de réunir ip + port au sein d’une même entrée○ Tous les clients ne le gèrent pas (i.e nginx)

● Nécessite d’être géré en amont (i.e Traefik ou Kong)


Sécurisation de l’environnement

Isolation du processusNe voit pas ceux de l’hôte ou d’autres conteneurs.

Isolation du réseauPas accès aux sockets ou interfaces réseau hôte.Possède ses propres interfaces.

Limitation des ressourcesContrôle possible de l’attribution CPU, mémoire et I/O disque.Ne peut excéder les limites du systèmes

Isolation du stockageN’a pas accès au système de fichier hôte.Possède son propre espace.

Linux kernel


Demo

DemoApplication

Load Balancer

Kong(RDS)

Route 53

Tiad (RDS)

Consul server (EC2 cluster)

Kong API(ECS cluster)

log forwarding

TIAD (ECS cluster)

ElasticSearch


Merci


Q & A

orchestrating docker in production - tiad camp docker

Technology