Jak zbudować odtwarzalny stos aplikacji z rozdzieleniem plików Compose, sekretów i trwałych danych

Eva Wong

IceWhale author

Eva Wong jest Technicznym pisarzem i stałym majsterkowiczem w ZimaSpace. Całe życie geek z pasją do homelabów i oprogramowania open-source, specjalizuje się w tłumaczeniu skomplikowanych koncepcji technicznych na przystępne, praktyczne przewodniki. Eva wierzy, że samodzielne hostowanie powinno być zabawą, a nie czymś onieśmielającym. Poprzez swoje samouczki umożliwia społeczności rozwiewanie tajemnic konfiguracji sprzętu, od budowy pierwszego NAS po opanowanie kontenerów Docker.

How to Build a Reproducible App Stack With Compose Files, Secrets, and Persistent Data Separated

Zbuduj stos w oparciu o trzy oddzielne zasoby: wersjonowane definicje Compose, chronione dane uwierzytelniające oraz trwałe dane z własną ścieżką tworzenia kopii zapasowych i przywracania.

W przypadku serwera domowego lub małego zespołu system operacyjny i kontenery powinny być wymienne. Projekt Compose opisuje wymagane usługi, system sekretów dostarcza dane uwierzytelniające podczas wdrażania, a nazwane ścieżki danych przechowują stan. Odzyskiwanie powiedzie się tylko wtedy, gdy te trzy role będzie można połączyć na czystym hoście na podstawie danych przechowywanych poza uszkodzoną maszyną.

Zdefiniuj granicę odbudowy przed napisaniem pliku Compose

Traktuj system operacyjny hosta, środowisko uruchomieniowe kontenerów i pobrane obrazy jako wymienne. Traktuj pliki Compose, niestandardową konfigurację, dane uwierzytelniające, bazy danych, przesłane pliki, certyfikaty i klucze szyfrujące zgodnie z ich rzeczywistą rolą w procesie odzyskiwania.

Utwórz jeden wiersz inwentaryzacji dla każdej usługi: obraz i wersję, porty, zależności, nazwy sekretów, trwałe ścieżki, metodę tworzenia kopii zapasowej oraz sposób weryfikacji przywracania. Inwentaryzacja ujawnia stan, który w przeciwnym razie pozostaje ukryty w systemie plików kontenera.

Zatrzymaj się, jeśli jakakolwiek aplikacja przechowuje nieodwracalne dane w zapisywalnej warstwie kontenera. Przenieś tę ścieżkę do jawnie określonego woluminu lub punktu montowania bind mount, zanim uznasz stos za odtwarzalny.

Wersjonuj definicje bez przechowywania sekretów

Przechowuj pliki Compose, konfigurację niezawierającą danych wrażliwych, testy kondycji i notatki dotyczące wdrażania w systemie kontroli wersji. Przypinaj wersje obrazów lub ich skróty zgodnie z zasadami aktualizacji, aby odbudowa nie wybrała po cichu innego wydania aplikacji.

Nie umieszczaj prawdziwych haseł, kluczy API ani prywatnych certyfikatów w pliku Compose lub repozytorium. Praktyczne omówienie przechowywania sekretów Dockera poza źródłem wyjaśnia, dlaczego dane uwierzytelniające wymagają oddzielnej ścieżki dostarczania.

Zatwierdź manifest nazw sekretów z placeholderami, a następnie przechowuj ich wartości w zaszyfrowanym menedżerze haseł, zaszyfrowanym pliku lub usłudze sekretów, którą można niezależnie przywrócić.

Przypisz trwałym danym jawnych właścicieli i ścieżki

Rozdziel bazę danych każdej aplikacji, przesłane przez użytkowników pliki, generowaną pamięć podręczną i możliwe do odtworzenia miniatury. Twórz kopie zapasowe trwałego stanu; udokumentuj, które pamięci podręczne można wygenerować ponownie, aby uniknąć przywracania niepotrzebnych dużych zbiorów danych.

Używaj stabilnych, czytelnych ścieżek na hoście lub starannie udokumentowanych nazwanych woluminów. Uprawnienia muszą być wyrażone za pomocą identyfikatorów numerycznych lub kroku inicjalizacji, aby czysty host nie zależał od starej lokalnej bazy użytkowników.

W przypadku baz danych wykonuj logiczne zrzuty lub spójne z aplikacją migawki zamiast bezmyślnie kopiować używane pliki. Przechowuj miejsce docelowe zrzutu poza woluminem aplikacji, aby uszkodzony stos nie mógł usunąć swojej jedynej kopii zapasowej.

Featured

ZimaCube 2 Osobisty domowy NAS w chmurze

ZimaCube2

Projektuj aktualizacje jako odwracalne wdrożenia

Przed aktualizacją zapisz bieżącą wersję Compose, identyfikatory obrazów, konfigurację oraz świeżą kopię zmienionego stanu, którą można przywrócić. Pobranie nowego obrazu nie jest planem wycofania zmian, gdy aplikacja migruje również bazę danych.

Poradnik dotyczący samodzielnego hostowania pokazuje, jak Compose centralizuje definicje wielu kontenerów i polecenia operacyjne. Stosuj ten wzorzec wdrażania oparty na Compose, przechowując stan i dane uwierzytelniające poza warstwą przeznaczoną do wymiany.

Aktualizuj jedną grupę zależności naraz, wykonuj testy kondycji i logowania, a następnie zapisuj wersję, która działa poprawnie. Jeśli wycofanie zmian wymagałoby starszego formatu bazy danych, przywróć dane do oddzielnej ścieżki i przeprowadź weryfikację przed przełączeniem klientów.

Sprawdź stos na czystym hoście odzyskiwania

Użyj tymczasowej maszyny wirtualnej lub zapasowej maszyny. Zainstaluj wyłącznie udokumentowane wymagania wstępne, sklonuj definicje, przywróć sekrety zatwierdzonym kanałem, przywróć dane jednej aplikacji i uruchom łańcuch zależności we właściwej kolejności.

Weryfikuj więcej niż tylko stan kontenerów: zaloguj się, odczytaj znany rekord, utwórz i usuń element testowy, uruchom ponownie hosta oraz potwierdź, że monitoring kopii zapasowych zgłasza nową lokalizację. Każdą nieudokumentowaną ręczną poprawkę zapisuj jako błąd w procesie budowania.

Skorzystaj z przewodnika ZimaSpace, aby oddzielić sekrety Dockera od plików Compose podczas wyboru mechanizmu dostarczania danych uwierzytelniających.

Końcowa zasada konfiguracji

Konfiguracja przechodzi test, gdy czysty host może odtworzyć definicje usług, otrzymać sekrety bez ujawniania repozytorium, przywrócić trwały stan i zakończyć walidację na poziomie aplikacji. Rozszerzaj rozwiązanie o orkiestrację dopiero wtedy, gdy kilka hostów potrzebuje tego samego kontrolowanego procesu.