搭建企业级Docker基础设施，要考虑哪些问题？

Ian Miell大学在牛津大学学习现代历史专业，后进入伯贝克学院拿到了计算机科学的硕士学位。Ian是Docker的早期实践者之一，从三年前就开始鼓捣Docker了，2015年还写了《Docker In Practice》一书。

（看我充满智慧的眼神）

Ian之前在一家叫OpenBet的游戏公司，公司技术环境相对宽松，在Docker上走了很多野路子，比如：自己搭了Registry，在开发服务器上安装Docker和Jenkins插件，把Docker容器应用到了CI流程中，甚至为了免受Dockerfile的限制自己写构建工具。后来Ian去了英国巴克莱银行，各种制度都非常严格，在那里他很长时间都在研究企业级Docker平台解决方案。

这样一个在互联网公司“百无禁忌”过，又在大企业经过了严格流程规范的Docker大牛，在他眼中企业在考虑搭建Docker基础设施时，重点应该考虑哪些问题呢？Ian以提问的方式带你一步步深入思考。本文的关注点在基础设施建设。

• 这个Registry和你的身份认证系统能很好地配合吗？
• 有没有推广镜像的机制？
• 有没有角色访问控制？
• 能不能和其它镜像市场资源互通？

• Dockerfile中有没有会造成安全漏洞的bash（shellshock）？
• 有没有过期的ssl库？
• 基础镜像是否安全？

• 你想要使用哪种CM工具？
• 你能在选择的配置管理中重用标准的管理流程吗？
• 任何人都能构建镜像吗？

• 有没有安全密钥的方式进行镜像签名？
• 有没有可以重用的密钥仓库？
• 这个密钥仓库是否可以集成你选择的产品？

供应商未来会通过Docker镜像交付产品。

• 对于供应商技术的采用，是否有一个管理流程？
• 是否能做成Docker镜像被重用？
• 是否要搭建特定的环境（比如DMZs）去运行它们？
• Docker在这些环境中是否可用？

• 如何处理补丁？
• 如何确定哪个镜像需要更新？
• 如何更新它们？
• 如何告知团队去更新？
• 如果镜像没有及时更新，如何去强制更新？

像数据库密码这种信息总是要以某种方式被发送到容器中，可以在构建的时候（可能不是个好主意）或运行的时候被发送过去。

• 容器内如何管理需要保密的信息？
• 这种信息的使用方式能否被审计/跟踪？是否真的安全？

• 这个基础镜像中应该有什么？
• 应该默认安装了哪些标准的工具？
• 谁负责这个镜像的管理和更新？

• 都有谁可以跑Docker的命令？
• 对于可以执行Docker命令的用户都有哪些限制？
• 对于容器内运行的服务有哪些限制？

解决方案是有的，但相对都较新。

• 如何检测在运行着什么服务？
• 这些内容能匹配上你的Registry吗？
• 正在运行的服务是最新的吗？
• 有没有容器在运行起来后改变了关键文件？

• 知道这个容器是谁启动的吗？
• 知道谁构建了这个容器吗？
• 你能确定一个容器停止后会做什么吗？
• 你能确定一个容器在停止前做了什么吗？

应用日志很可能是关键的管理或控制方式。

• 容器内运维需要的东西是否都记录下来了？
• 它们是否遵循了日志的标准？
• 日志存在哪里？

• 你的操作系统是否支持所有的最新特性？比如，一些编排工具和Docker需要的内核版本和包，比你的操作系统要新。
• 在你本地的包管理工具中，哪个版本的Docker可用？

• 你选择的编排工具是否能和你的Docker基础设施很好地配合？
• 你是要跟随主流，押宝在一个编排工具上，还是等到不得不做决定？

• 开发者都喜欢admin，你准备好给通过Docker给他们admin权限了吗？
• 他们的客户端会和部署环境一致吗？如果他们正在用docker-compose，可能不会希望在生产环境中用到pod（Kubernetes的部署调度单元）。

Jenkins是最受欢迎的CI工具，但对于企业来说也有其它的选择。

• 对于CI/CD插件你的政策是什么？
• 是否准备好了马上转换到新的插件？
• 你的CI流程是为了迎合暂时的Jenkins实例，还是永久的，亦或是两者兼顾？

• 容易提供共享存储吗？
• 共享存储能应对需求的增长吗？
• 共享存储有跨部署区域可用的需求吗？

企业通常都有更偏爱的SDN解决方案，比如Nuage，Calico等。

• 有没有规定的SDN解决方案？
• 容器会影响你选定的SDN解决方案吗？
• 容器和SDN的交互会制造不可忽略的开销吗？

• 你计划如何交付镜像？如何在云上运行容器？
• 你想要将自己绑定到他们的Docker解决方案，还是选择一种更通用的方式？

• 考虑过用aPaaS解决方案吗？
• 哪种方案解决了你的大部分问题？