Serviços de Docker

Uma imagem Docker e um modelo de apenas leitura que contem o codigo da aplicacao, o runtime, as bibliotecas e as dependencias necessarias para executar uma aplicacao. E construida a partir de um Dockerfile e armazenada num registo como o Docker Hub. Um contentor e uma instancia em execucao de uma imagem com a sua propria camada de escrita, interface de rede e espaco de processos. E possivel criar multiplos contentores a partir da mesma imagem, cada um a executar-se de forma independente.

Utilize compilacoes multi-etapa para separar o ambiente de construcao do de execucao, copiando apenas os artefactos necessarios para a imagem final. Parta de imagens base minimas como Alpine Linux ou imagens distroless em vez de Ubuntu ou Debian completos. Combine comandos RUN para reduzir camadas e use o .dockerignore para excluir ficheiros desnecessarios. Ordene as instrucoes do Dockerfile das menos para as mais frequentemente alteradas para maximizar a cache de camadas.

O Docker Compose e ideal para desenvolvimento local, testes e implementacoes de producao pequenas onde se valoriza a simplicidade. Define aplicacoes multi-contentor num unico ficheiro YAML e executa-as com um so comando. O Kubernetes foi concebido para orquestracao a escala de producao com funcionalidades como auto-escalonamento, atualizacoes progressivas, auto-recuperacao e gestao de clusters multi-no. A maioria das equipas utiliza Docker Compose para desenvolvimento e Kubernetes para producao.

Nunca incorpore segredos em imagens Docker nem os passe como argumentos de construcao, pois persistem nas camadas da imagem. Utilize Docker secrets em modo Swarm ou variaveis de ambiente injetadas em tempo de execucao a partir de um gestor de segredos como o HashiCorp Vault ou o AWS Secrets Manager. Para desenvolvimento, use o Docker Compose com uma diretiva env_file que aponte para um ficheiro .env excluido do controlo de versoes. O Docker BuildKit suporta montagens de segredos durante a construcao que nao sao armazenadas na imagem final.

Os contentores Docker partilham o kernel do sistema operativo do anfitriao e isolam a aplicacao no espaco do utilizador, tornando-os leves e rapidos a iniciar (segundos vs. minutos). As maquinas virtuais executam um sistema operativo convidado completo sobre um hipervisor, proporcionando maior isolamento mas consumindo mais recursos. Os contentores sao tipicamente 10 a 100 vezes mais pequenos do que as VMs e arrancam quase instantaneamente. As VMs sao melhores quando se necessita de sistemas operativos diferentes ou de isolamento ao nivel do hardware para conformidade de seguranca.

Utilize uma compilacao multi-etapa com uma etapa de construcao para a compilacao e uma etapa de execucao minima. Parta de uma imagem base com etiqueta especifica e fixa em vez de latest. Execute a aplicacao como utilizador nao-root por seguranca. Inclua uma instrucao de health check para a monitorizacao do contentor. Copie os ficheiros de dependencias e instale as dependencias antes de copiar o codigo da aplicacao para otimizar a cache de camadas. Utilize COPY em vez de ADD salvo se necessitar especificamente da descarga de URLs ou extracao de ficheiros tar.