Servicios de Docker

Una imagen Docker es una plantilla de solo lectura que contiene el codigo de la aplicacion, el runtime, las librerias y las dependencias necesarias para ejecutar una aplicacion. Se construye a partir de un Dockerfile y se almacena en un registro como Docker Hub. Un contenedor es una instancia en ejecucion de una imagen con su propia capa de escritura, interfaz de red y espacio de procesos. Se pueden crear multiples contenedores a partir de la misma imagen, cada uno ejecutandose de forma independiente.

Utilice compilaciones multi-etapa para separar el entorno de construccion del de ejecucion, copiando solo los artefactos necesarios a la imagen final. Parta de imagenes base minimas como Alpine Linux o imagenes distroless en lugar de Ubuntu o Debian completos. Combine comandos RUN para reducir capas y use .dockerignore para excluir ficheros innecesarios. Ordene las instrucciones del Dockerfile de menos a mas frecuentemente cambiadas para maximizar la cache de capas.

Docker Compose es ideal para desarrollo local, pruebas y despliegues de produccion pequenos donde se valora la simplicidad. Define aplicaciones multi-contenedor en un unico fichero YAML y las ejecuta con un solo comando. Kubernetes esta disenado para orquestacion a escala de produccion con funcionalidades como auto-escalado, actualizaciones progresivas, auto-recuperacion y gestion de clusters multi-nodo. La mayoria de los equipos usan Docker Compose para desarrollo y Kubernetes para produccion.

Nunca incorpore secretos en imagenes Docker ni los pase como argumentos de construccion, ya que persisten en las capas de la imagen. Use Docker secrets en modo Swarm o variables de entorno inyectadas en tiempo de ejecucion desde un gestor de secretos como HashiCorp Vault o AWS Secrets Manager. Para desarrollo, use Docker Compose con una directiva env_file que apunte a un fichero .env excluido del control de versiones. Docker BuildKit soporta montajes de secretos durante la construccion que no se almacenan en la imagen final.

Los contenedores Docker comparten el kernel del sistema operativo del host y aislan la aplicacion en espacio de usuario, haciendolos ligeros y rapidos de iniciar (segundos vs. minutos). Las maquinas virtuales ejecutan un sistema operativo invitado completo sobre un hipervisor, proporcionando mayor aislamiento pero consumiendo mas recursos. Los contenedores son tipicamente 10-100 veces mas pequenos que las VMs y arrancan casi instantaneamente. Las VMs son mejores cuando se necesitan diferentes sistemas operativos o aislamiento a nivel de hardware para cumplimiento de seguridad.

Use una compilacion multi-etapa con una etapa de construccion para la compilacion y una etapa de ejecucion minima. Parta de una imagen base con etiqueta especifica y fijada en lugar de latest. Ejecute la aplicacion como usuario no-root por seguridad. Incluya una instruccion de health check para la monitorizacion del contenedor. Copie los ficheros de dependencias e instale dependencias antes de copiar el codigo de la aplicacion para optimizar la cache de capas. Use COPY en lugar de ADD salvo que necesite especificamente la descarga de URLs o extraccion de tar.