Seite 17 - Docker

Wer in einem Monorepo fünf, zehn oder zwanzig Images pflegt, kennt das Problem: eine wachsende Liste einzelner docker build-Aufrufe in einem Shell-Skript, die nacheinander laufen und bei jedem neuen Image manuell ergänzt werden müssen. docker buildx bake ersetzt diese Skripte durch eine deklarative Datei und baut alle Images parallel.

Dockerfiles, die nie statisch geprüft werden, akkumulieren stille Fehler: veraltete Basis-Images mit kritischen CVEs, ungültige Compose-Konfigurationen und strukturelle Probleme, die erst im Produktionsbetrieb sichtbar werden. Automatisches Linten und Testen schließt diese Lücke direkt in der CI-Pipeline.

Wer in GitLab mehr als eine Handvoll Projekte betreut, merkt schnell: Variablen und Runner pro Projekt einzeln zu pflegen, wird zum Vollzeitjob. Gruppenweite Konfiguration loest genau dieses Problem.

GitLab Protected und Masked Variables sind der Standardweg, um Secrets in einer Pipeline zu verwenden, bleiben aber statische, langlebige Werte, die im schlimmsten Fall monatelang unveraendert im Umlauf sind. HashiCorp Vault geht ueber die native GitLab-CI-Integration einen anderen Weg: Credentials werden erst beim Pipeline-Lauf ausgestellt, sind kurzlebig und laufen automatisch ab. Dieser Artikel zeigt, wie die Integration technisch funktioniert, was sie gegenueber reinen Protected Variables gewinnt und wann sich der zusaetzliche Betriebsaufwand fuer ein Magento-Projekt tatsaechlich lohnt.

Ein Container, der als root läuft, mit allen Linux-Capabilities und beschreibbarem Filesystem, ist technisch gesehen ein privilegierter Prozess mit einem dünnen Namespace-Vorhang. Docker bietet mehrere Sicherheitsschichten, die sich ergänzen: Non-root USER, minimale Capabilities, Read-Only-Filesystem und Seccomp-Profile. Dieser Artikel zeigt, wie diese Schichten funktionieren und wie sie sich in realen Dockerfiles und Compose-Konfigurationen implementieren lassen.

Container laufen standardmaessig in UTC ohne installierte Zeitzonendaten, was bei PHP- und Node-Anwendungen mit lokalisierten Datumsformaten schnell zu falschen Ausgaben fuehrt, wenn TZ, tzdata und Locale nicht bewusst konfiguriert werden.

Magento Cron und Message Queue Consumer laufen in Containern anders als auf einem klassischen Server mit Host-Crontab. Ohne dedizierte Container, klares Locking und sauberes Signal Handling entstehen doppelte Jobs, hängende Consumer und verlorene Nachrichten. Dieser Artikel zeigt, wie Magento Cron und Consumer als eigenständige, überwachte Container zuverlässig betrieben werden.

Ein mehrstufiges Dockerfile trennt Build-Umgebung und Runtime konsequent. Builder-Stages mit Composer, npm und Build-Tools liefern ihr Ergebnis weiter – ohne selbst im finalen Image zu landen. Das Resultat: kleinere Images, weniger Angriffsfläche und reproduzierbare Builds für PHP- und Node-Projekte.

LXC bietet echte Systemcontainer mit vollständigem Userspace, eigenem Init-System und mehreren parallelen Diensten, während Docker einen einzelnen Anwendungsprozess kapselt. Für Admins, die eine leichtgewichtige Alternative zu virtuellen Maschinen suchen, liefert der LXD-Workflow von Installation über Netzwerk und Storage bis zu Snapshots eine praxisnahe Grundlage für produktive Umgebungen, in denen ein vollwertiges Betriebssystem statt eines einzelnen Prozesses benötigt wird.

Image Scanning prüft jede Ebene eines Docker-Images gegen Datenbanken bekannter Schwachstellen, bevor ein Container überhaupt startet. Trivy und Grype sind die beiden am weitesten verbreiteten Open-Source-Scanner dafür, unterscheiden sich aber in Datenbankquellen, Geschwindigkeit und Zusatzfunktionen wie SBOM-Erzeugung und IaC-Prüfung deutlich genug, um die Wahl bewusst zu treffen.