Seite 12 - Docker

docker stop schickt ein SIGTERM und wartet, doch viele Anwendungen reagieren gar nicht darauf und werden nach Ablauf der Frist hart gekillt. Wer versteht, wie Signal-Weiterleitung, PID 1 und Grace Period zusammenspielen, kann Verbindungsabbrüche und Datenverlust beim Deployment zuverlässig vermeiden.

Wer Logs mit docker logs auf jedem Host einzeln durchsucht, verliert bei einem Ausfall wertvolle Minuten. Zentrales Logging mit Loki und Promtail sammelt jede Container-Ausgabe strukturiert ein, indexiert nur Labels statt des vollen Textes und macht Fehlersuche über die gesamte Docker-Flotte mit einer einzigen LogQL-Abfrage möglich.

Eine unkontrollierte Flut aus latest-Tags und anonymen Docker-Hub-Pulls gefährdet jede Produktionsumgebung. Wer eine private Docker Registry betreibt, sinnvolle Image-Versionen einführt und Retention-Policies definiert, schafft nachvollziehbare, reproduzierbare Builds und reduziert Ausfallrisiken erheblich.

Ein Config Generator ersetzt handgepflegte Kopien von .env-Dateien und Server-Konfigurationen durch ein einziges Template pro Format, kombiniert mit klar getrennten Variablen je Umgebung. Dieser Artikel zeigt, wie ein solcher Config Generator mit envsubst, strikter Secrets-Trennung und einer Validierungsstufe in Bash entsteht, sodass Entwicklung, Staging und Produktion nie wieder aus dem Ruder laufen.

Wer für jede Umgebung ein eigenes Docker Image baut, verliert genau die Garantie, die Container eigentlich versprechen. Build once, deploy many trennt den Build-Schritt von der Konfiguration und sorgt dafür, dass in Produktion exakt das Artefakt läuft, das zuvor in Staging getestet wurde, ohne einen einzigen Rebuild dazwischen.

Produktionsprobleme in Docker-Containern erfordern präzises Werkzeug, nicht Raten. Mit exec, inspect, stats, top und events lassen sich Prozesse, Konfiguration, Speicher und Ereignisse eines laufenden Containers vollständig untersuchen – ohne Neustart, ohne Datenverlust.

Rootless Docker lässt den Docker-Daemon und alle Container als normaler Benutzer laufen – ohne Root-Rechte. Das reduziert die Angriffsfläche erheblich, hat aber konkrete Einschränkungen bei privilegierten Ports, Volume-Rechten und bestimmten Netzwerk-Features. Hier erfährst du, wann der Wechsel sinnvoll ist und wann er mehr Probleme schafft als löst.

Ein Macvlan-Netzwerk gibt Containern eine eigene, im physischen Netz sichtbare IP-Adresse, ganz ohne Port-Mapping über den Docker-Host. Das löst reale Probleme bei Legacy-Anwendungen und Monitoring-Systemen, bringt aber eine bekannte Einschränkung bei der Kommunikation zwischen Host und Container mit sich, die vor dem produktiven Einsatz verstanden sein muss.

Ein Scan-Report, den niemand liest, schuetzt kein System. Ein echtes Vulnerability Policy Gate stoppt den Build-Prozess aktiv, sobald ein Container-Image kritische Schwachstellen enthaelt, mit klaren Schwellenwerten und einem definierten Umgang mit False Positives, statt Sicherheitswarnungen als optionale Fussnote im CI-Log zu behandeln.

Ein falsch konfigurierter Health Check ist gefährlicher als gar keiner. Kubernetes startet gesunde Pods neu, weil eine Liveness Probe zu streng geschrieben wurde, oder schickt Traffic an einen Pod, dessen Datenbankverbindung längst abgebrochen ist. Dieser Artikel zeigt, wie ein Health Check für Symfony in Kubernetes wirklich zuverlässig wird, mit Liveness, Readiness und Startup Probe im Zusammenspiel.