Tag: Docker

1. Container Escape Prävention: Checkliste gegen Ausbruch

   30.04.2025

   Ein Container ist keine virtuelle Maschine, sondern ein isolierter Prozess, der sich denselben Kernel mit dem Host teilt. Container Escape Prävention bedeutet, genau diese Grenze konsequent zu härten: keine unnötigen Privilegien, keine gemounteten Sockets, aktive Seccomp- und AppArmor-Profile und ein aktueller Kernel, damit ein kompromittierter Container niemals zum Sprungbrett auf den Host wird.

   Read more

2. Docker Container Checkliste für produktive Shops und APIs

   28.04.2025

   Ein Container, der lokal funktioniert, ist noch kein produktionsreifer Container. Health-Checks, Restart-Policies, Secrets-Management, Ressourcenlimits und sauberes Logging sind die Punkte, die zwischen einem stabilen Produktionsbetrieb und nächtlichen Ausfällen entscheiden.

   Read more

3. One Process per Container: wann die Regel hilft und wann nicht

   27.04.2025

   „Ein Prozess pro Container" ist eines der meistzitierten Docker-Prinzipien – und eines der am häufigsten falsch angewendeten. Was das Prinzip wirklich bedeutet, wo es Sinn macht und wann Supervisor, s6-overlay oder dumb-init die bessere Entscheidung sind.

   Read more

4. Docker Compose Secrets statt Environment Variablen nutzen

   25.04.2025

   Zugangsdaten in der environment Sektion einer compose.yaml landen in docker inspect, in Prozesslisten und oft versehentlich in Log-Ausgaben. Der secrets Block in Docker Compose loest dieses Problem, indem Zugangsdaten als Dateien im Container bereitgestellt werden, statt als sichtbare Umgebungsvariablen, und schafft damit einen deutlich saubereren Umgang mit Passwoertern und API-Schluesseln.

   Read more

5. Docker Compose sauber strukturieren: Services, Profiles, Overrides und .env-Dateien

   15.04.2025

   Wer alle Umgebungen in eine einzige docker-compose.yml presst, kämpft bald mit Konfigurations-Drift, hart kodierten Passwörtern und Deploys, die lokal anders verhalten als in der CI. Profiles, Overrides und sauber getrennte .env-Dateien lösen genau diese Probleme – ohne dass das Compose-Projekt unverständlich wächst.

   Read more

6. Docker und Xdebug: sauberes Setup ohne jeden Schmerz

   14.04.2025

   Xdebug in Docker-Containern funktioniert nur dann zuverlässig, wenn man die drei häufigsten Fallstricke kennt: falsche Host-Erkennung, fehlendes Path-Mapping und Xdebug-Overhead im normalen Betrieb. Wer diese Punkte einmal sauber löst, debuggt danach in Docker genauso komfortabel wie lokal.

   Read more

7. Docker Desktop Alternativen: Colima und Podman im Vergleich

   12.04.2025

   Wer aus Lizenzgründen oder wegen des Ressourcenverbrauchs eine Docker Desktop Alternative sucht, landet fast immer bei Colima oder Podman. Beide ersetzen den kommerziellen Docker Desktop Daemon durch schlankere, offene Lösungen, unterscheiden sich aber deutlich in Architektur, Kompatibilität und Alltagstauglichkeit für Entwicklerteams.

   Read more

8. Hot Reload für PHP und Node in Containern einrichten

   11.04.2025

   Hot Reload in Containern verhält sich anders als auf dem nackten Host, weil Bind Mounts, Dateisystem-Events und OPcache-Validierung zusätzliche Schichten zwischen Editor und laufendem Prozess einziehen. Wer diese Schichten versteht, bekommt PHP- und Node-Änderungen genauso schnell sichtbar wie ohne Container, ohne bei jeder Codeänderung neu zu bauen.

   Read more

9. Alerting für Container-Ressourcen mit Alertmanager einrichten

   10.04.2025

   Ein Dashboard, das niemand nachts ansieht, hilft im Ernstfall nichts. Alerting für Container-Ressourcen mit Prometheus-Regeln und Alertmanager meldet CPU-Engpässe, Memory-Druck und Restart-Schleifen automatisch, gruppiert verwandte Alarme und verhindert mit Silencing und Inhibition, dass ein einzelner Vorfall die Mannschaft mit Dutzenden Benachrichtigungen überflutet.

   Read more

10. Laufzeit-Bedrohungserkennung in Containern mit Falco

    08.04.2025

    Image-Scanning findet bekannte Schwachstellen vor dem Start, doch sobald ein Container läuft, bleibt vieles unsichtbar. Falco beobachtet Systemaufrufe direkt im Kernel und erkennt in Echtzeit, wenn sich ein Prozess in einem Container anders verhält als erwartet, etwa durch eine unerwartete Shell, einen Schreibzugriff auf sensible Pfade oder einen Ausbruchsversuch.

    Read more