Discussion :

[loupapet]

Bonjour à tous,

Je connaissais l'existence de Docker mais je n'avais pas encore franchi le pas de l'utiliser. Mais avant de me lancer, j'aurais souhaité savoir si Docker avec ses conteneurs pouvait répondre à ma question.

Principe : J'ai une application écrite en langage C et souhaiterais savoir s'il est possible de la télécharger à partir de mon site Internet sur le terminal distant de l'utilisateur et de lancer dans la foulée son exécution dans un conteneur Docker évitant ainsi une application propriétaire à mettre à jour régulièrement. Les CGI (Common Gateway Interface) ne répondent pas à ma question car ils s'exécutent sur le serveur et, de plus, ne sont pas du goût des fournisseurs d'accès pour des raisons compréhensibles de sécurité.

Si j'ai bien compris, la notion de conteneur m'est apparu comme un espace de confinement assurant toutes les sécurités protégeant le système distant de l'utilisateur.

J'avais tenté de réaliser ce type de traitement avec les applets Java que j'ai abandonnées sans regret à cause de l'environnement. Une appliquette Java, une fois signée (un délire !...), a accès à toutes les ressources du terminal distant ce que je ne voulais pas.

Après ce petit préambule, voici mes questions :

1. PHP fournit les outils pour télécharger un fichier et lancer l'exécution d'un exécutable, mais est-il possible de lancer cet exécutable dans un conteneur Docker sur le terminal distant ?...
   .
2. L'application en C est formée de plusieurs composants :
   
   1. Le maillon principal fédérant toutes les fonctions peut-il être téléchargé dans un conteneur principal ?...
   2. Chacune des fonctions peut-elle être téléchargée dans un conteneur secondaire dédié exécutable à partir du maillon principal dans son conteneur voire à partir d'un conteneur secondaire ?...
      .
3. le champ d'action d'une application s'exécutant dans un conteneur est-il bien limité à l'espace de confinement associé au conteneur sans possibilité d'accès aux ressources hors de son espace ?...

Je sais que la méthode est limitée, dans mon cas, à un système Windows distant et qu'il faudrait alors une application construite dans celui du terminal distant. Mais, pour le moment, je m'en tiens à Windows.

En vous remerciant par avance de votre éclairage.
Cordialement.
Jean-Pierre Rousset

[chrtophe]

un conteneur Docker s’exécute en général sur un serveur.

mais est-il possible de lancer cet exécutable dans un conteneur Docker sur le terminal distant ?

Pour cela, il faudrait que le "terminal distant" ai Docker à dispo et déclenche le téléchargement de ton conteneur.

Le maillon principal fédérant toutes les fonctions peut-il être téléchargé dans un conteneur principal ?

Chacune des fonctions peut-elle être téléchargée dans un conteneur secondaire dédié exécutable à partir du maillon principal dans son conteneur voire à partir d'un conteneur secondaire ?

oui, tu peux voir ton conteneur comme un système autonome, mais pouvant être construit et donc dépendre d'autres conteneurs.

Exemple, tu as un ton propre conteneur qui s"appuie sur un conteneur fournissant Nginx ou Apache, et un autre conteneur fournissant MySQL. Le conteneur Apache va dépendre d'un conteneur de base contenant un système de base. Ton conteneur va alors charger toutes les dépendances.

Le champ d'action d'une application s'exécutant dans un conteneur est-il bien limité à l'espace de confinement associé au conteneur sans possibilité d'accès aux ressources hors de son espace

Oui et non.
Cela dépend comment tu le construit. en général on lie un ou plusieurs dossier(s) de l'hôte au Docker pour contenir les datas, un conteneur Docker étant détruit lors de son arrêt, les modifs y ayant été apportée le sont également. (on peut comparer à la différence entre un fichier exécutable et un processus). On peut aussi créer un docker volume partagé ou non entre plusieurs Docker pour la persistance des données.
Au niveau réseau, par défaut tous les conteneurs d'un hôte sont dans un réseau isolé et se voient entre eux. tu peux aussi faire en sorte que ton conteneur docker utilise directement l’interface réseau de l'hôte et donc aura la même IP, par ce réglage, tu supprimes l'isolation réseau apportée par docker.

[loupapet]

Tout d'abord, un grand merci pour votre réponse et du temps que vous m'avez consacré.

un conteneur Docker s’exécute en général sur un serveur.

Je dois avouer que cela me surprend un peu !... Si moultes d'utilisateurs sont intéressés par une application qui fonctionne dans Docker sur le serveur, la surcharge CPU d'une part et l'explosion du volume de stockage de données d'autre part pourraient peut-être mettre en péril le serveur lui-même alors que cette surcharge et ce volume pourraient être diluées et assurées sur le terminal distant, sans parler le l'encombrement de la bande passante du réseau.

Pour cela, il faudrait que le "terminal distant" ai Docker à dispo et déclenche le téléchargement de ton conteneur.

Cela, je l'entends bien, un dialogue se fait à deux au moins dans deux environnements aux langages compatibles !...

oui, tu peux voir ton conteneur comme un système autonome, mais pouvant être construit et donc dépendre d'autres conteneurs.

Exemple, tu as un ton propre conteneur qui s"appuie sur un conteneur fournissant Nginx ou Apache, et un autre conteneur fournissant MySQL. Le conteneur Apache va dépendre d'un conteneur de base contenant un système de base. Ton conteneur va alors charger toutes les dépendances.

Dans mon cas, cela a l'air de coller car je voyais le serveur mettre à disposition, avec mises à jour sous-jacentes, une application sur le terminal distant avec un Docker autonome, ce dernier assurant simplement la sécurité du système distant sans aucune visibilité en dehors de celle du Docker. Bien sûr, l'utilisateur sur le terminal distant étant propriétaire de son installation, aurait tous les droits de visibilité sur l'espace de confinement du Docker de l'application.

Oui et non.
Cela dépend comment tu le construit. en général on lie un ou plusieurs dossier(s) de l'hôte au Docker pour contenir les datas, un conteneur Docker étant détruit lors de son arrêt, les modifs y ayant été apportée le sont également. (on peut comparer à la différence entre un fichier exécutable et un processus). On peut aussi créer un docker volume partagé ou non entre plusieurs Docker pour la persistance des données.
Au niveau réseau, par défaut tous les conteneurs d'un hôte sont dans un réseau isolé et se voient entre eux. tu peux aussi faire en sorte que ton conteneur docker utilise directement l’interface réseau de l'hôte et donc aura la même IP, par ce réglage, tu supprimes l'isolation réseau apportée par docker.

Le fait de lier à Docker un ou plusieurs dossier(s) du terminal distant pour contenir les datas implique-t-il l'impossibilité d'accéder indirectement (par programmation) à d'autres dossiers ?...
De même, je crois avoir compris que Docker utilisait le système d'exploitation dans son environnement propre. Docker contient-il alors l'exécution de l'application dans son propre environnement ?...

---

Dans une application multi conteneurs, y-a-t-il une possibilité de partager des données entre plusieurs conteneurs :

1. soit par partage de mémoire,
2. soit par des fonctions-système inter-communications,
3. soit par des fonction de type "m_map" Unix,
4. soit par d'autres choses.

J'ai installé Docker sur mon PC et malgré la lecture de la doc, je ne sais pas trop par quel bout le prendre !...
Bon, je sais qu'on ne se bonifie pas trop à partir d'un certain âge !!!....

[chrtophe]

la surcharge CPU d'une part et l'explosion du volume de stockage de données d'autre part pourraient peut-être mettre en péril le serveur lui-même alors que cette surcharge et ce volume pourraient être diluées et assurées sur le terminal distant

Sauf que dans ce cas, tu peux utiliser un cluster Kubernetes qui gèrera la montée en charge et la tolérance de panne.

Le fait de lier à Docker un ou plusieurs dossier(s) du terminal distant pour contenir les datas implique-t-il l'impossibilité d'accéder indirectement (par programmation) à d'autres dossiers ?

Les dossiers dont je parlais sont des dossiers de l'hôte du conteneur, pas un dossier d'un terminal accédant à distance à une machine. Je clarifie car tu utilises le terme terminal à mauvais escient. Par contre, tes conteneurs n'ont aucun accès aux autres dossiers de l'hôte. Ton docker sur un serveur ne sera pas lié à un dossier de l'utilisateur distant.
Par contre tu peux faire un dialogue client-serveur entre un docker exposé sur ton hôte/serveur et une machine distante, tout comme n'importe quelle appli peut le faire.

De même, je crois avoir compris que Docker utilisait le système d'exploitation dans son environnement propre. Docker contient-il alors l'exécution de l'application dans son propre environnement

oui, Docker utilise uniquement le noyau Linux de l'hôte, sauf pour Windows, dont d'ailleurs les premières versions s'appuyaient sur VirtualBox (le ou les conteneur(s) tournai(en)t donc dans une machine virtuelle).

[loupapet]

Tout d'abord, une petite précision pour éviter toute confusion :

1. J'appelle TERMINAL de l'utilisateur le moyen physique permettant d'accéder à un site Internet (PC, téléphone mobile, tablette ou autre),
2. J'appelle SERVEUR, le site Internet sur lequel se trouve les exécutables de l'application que l'utilisateur veut utiliser.

Sincèrement désolé, je crois que, au départ, j'ai très mal posé ma question et que j'ai très mal formulé ce que j'imaginais pouvoir faire avec Docker. Je vais donc essayer de me reprendre dans le but suivant :

• exécuter une application toujours "up to date",
• sans intervention de l'utilisateur, donc à son insu,
• sur le terminal distant,
• écrite dans n'importe quel langage,
• tout en assurant la sécurité du système (plantage, opération inappropriée, violation, etc...) comme le ferait une machine virtuelle.

J'imaginais donc utiliser Docker comme un gestionnaire d'espace de confinement pour assurer justement la sécurité du système du terminal-utilisateur. Docker serait donc bien évidemment installé sur le terminal.

Pour moi, en général, une application se compose d'un maillon-maitre qui fédère ses différentes fonctions dans des maillons-esclaves. Elle peut être monolithique ou distribuée. C'est sur cette dernière que je vais m'appuyer.

Donc, dans mon esprit, je ne voyais pas du tout Docker sur le serveur, simplement une application PHP qui remplisse les fonctions ci-après :

1. demander la date de création et la version du maillon-maitre de l'application,
2. envoyer vers le terminal l'exécutable du maillon-maitre de l'application dans le conteneur dit maitre s'il n'a jamais été chargé ou si sa date et/ou sa version ne sont pas les mêmes,
3. envoyer une commande d'exécution de ce maillon-maitre,
4. à chaque première exécution d'une fonction dans son conteneur-esclave, renvoyer à l'application PHP sur le serveur sa date de modification et sa version,
5. charger l'exécutable dans le conteneur-esclave si c'est la première fois et si la date de modification et/ou la version sont différentes,
6. envoyer la commande d'exécution de l'exécutable dans le conteneur-esclave.

Par la suite, l'application tournerait toute seule sur le terminal avec le minimum d'intervention du serveur.
L'avantage permettrait à l'utilisateur d'avoir une application toujours à jour sans qu'il s'en préoccupe et ne seraient chargés que les exécutables effectivement utilisés pendant la session en cours.

Par ailleurs, si l'application était infectées ou avait des dysfonctionnements, il n'y aurait des conséquences que sur les ressources Docker affectées à l'application concernée sans danger pour le système du terminal.

L'utilisateur sur son terminal étant le propriétaire de toutes les ressources de son ordinateur, il a donc accès à toutes les ressources Docker affectées à son application.

Maintenant, je ne sais pas si ce que je vois est possible avec Docker et si ce n'est pas trop farfelu. Si c'est possible, reste à savoir par quel bout il serait possible de prendre un éventuel projet de ce type après un apprentissage de Docker.

[chrtophe]

Donc, vu que tu parles de PHP, en gros ton conteneur fournirait un serveur web local ? au moins son interface de commande se ferait par le navigateur ?
Docker sur tablette ou tél mobile, tu peux oublier.

Si c'est juste pour vérifier que le poste client à la dernière MàJ, toute application peut le faire en se connectant au serveur pour voir si une version plus récente existe.

[loupapet]

Merci chrtophe pour vos réponses.

Je me rends compte que ce que j'imaginais n'est peut-être pas très réaliste ni très digne d'intérêt. Je laisse donc tomber.
Pour tout vous dire, je pensais éventuellement appliquer cette méthode à une application expérimentale d'éditeur graphique 2D écrite en langage C Windows 10 avec ma conception un peu personnelle de l'interactivité et de l'intuitivité, composée d'un maillon maître fédérant multiples fonctions que je voyais gérée chacune dans un conteneur esclave sous Docker. Mais bon !....

Je réponds toutefois à votre dernière intervention et merci encore.

Donc, vu que tu parles de PHP, en gros ton conteneur fournirait un serveur web local ? .........

Je ne le voyais pas comme cela. Le programme tournerait en autonome dans un environnement sécurisé comme le permettrait une machine virtuelle, sous VirtualBox par exemple que j'utilise mais avec le regret qu'il ne soit pas natif sur mon PC (performances discutables surtout sous Ubuntu).

...... au moins son interface de commande se ferait par le navigateur ? ......

Le PHP ne servirait qu'à répondre à la demande d'utilisation d'une application :

• pour vérifier que les exécutables déjà téléchargés sont "up to date",
• pour ne télécharger que les exécutables uniquement nécessaires au travail courant sur le terminal.

......, toute application peut le faire en se connectant au serveur pour voir si une version plus récente existe.

Effectivement, toute application peut le faire mais j'ai constaté qu'aucune ne le fait jusqu'à présent. L'utilisateur distant doit demander lui-même à effectuer une mise à jour global de l'application même si seule une "virgule" a été changée !...

[loupapet]

J'ai continué à lire de la doc mais je n'arrive toujours pas à voir, comme je l'ai déjà dit, par quel bout je peux prendre Docker pour arriver à faire quelque chose. Les tutos partent dans tous les sens avec des applications tierces sans bien comprendre les enchaînements logiques.
Je regrette seulement de ne pas voir un tuto à mini avec un exemple trivial comme point de passage initial presqu'obligé, par exemple, comme les deux structures suivantes de mes deux applications faisant l'objet de ma demande :

1. Soit une application exécutable monolithique :
   
   C'est, à priori, le cas le plus simple utilisant ou écrit dans n'importe quel langage (.batch, .cmd, .exe).
   
   Quelle est la séquence des opérations pour permettre une exécution dans un conteneur unique ?...
   .
2. Soit une application exécutable modulaire :

C'est le cas un peu plus compliqué utilisant ou écrit aussi dans n'importe quel langage comme suit :

1. un module-maître (.batch, .cmd, .exe),
2. divers modules-esclave (.batch, .cmd, .exe) fédérés par le maillon-maître pour remplir diverses fonctions appellées, par exemple, par les services CALL de batch, CMD, ou system("..." ), execl(...) du C ou autres.

Quelle est la séquence des opérations pour permettre une exécution dans un conteneur-maitre et dans ses conteneurs-esclave ?...

Une pensée me vient subitement d'un coup. Si on utilise Docker sur le serveur, cela ne doit pas être évidant d'exécuter des applications graphiques !... L'accès à la fenêtre graphique du serveur n'est-elle pas alors problématique ?...

[chrtophe]

Docker n'est pas adapté à l’exécution d'applications graphiques. La carte graphique n'est pas exposé comme avec la virtualisation. Tu pourrais à la rigueur utiliser un serveur X, mais du coup c'est le client qui fait les traitements graphiques, il faut alors installer un client X-Window. Il est beaucoup plus simple d'exposer un serveur web et de gérer l'aspect graphique via le navigateur.

Pour installer une application dans un conteneur, on utilise en général un dockerfile qui est comme un script de déploiement. Tu peux aussi entrer dans un docker de base, y faire ton installation, et le transformer en docker-image. Un conteneur docker est détruit lors de son arrêt, quand tu démarre sun conteneur, celui-ci sera un cliché d'un docker image. Un docker volume te servira pour la persistance des données et donc dans le quel peut être stocké des fichiers de configuration.

Même principe en cas de plusieurs Docker, de leur point de vue tu peux les voir comme des machines normales. comment communiquent plusieurs machines interconnectés ? Essentiellement via le réseau. Avec Docker ce sera le même principe, à la différence que tu peux faire un réseau isolé entre tes docker (par défaut, tous les dockers utilisent une interface docker0, isolé de celle de l'hôte).

si tu mets à jour ton ou tes images docker, le fait de démarrer ton appli en latest depuis le client mettra à jour les conteneurs sur le client, à ta charge d'avoir uploadé tes nouvelles images sur le docker hub.
Encore une fois, pour utiliser des conteneurs Docker, tes utilisateurs doivent avoir Docker d'installé

[loupapet]

Docker n'est pas adapté à l’exécution d'applications graphiques. La carte graphique n'est pas exposé comme avec la virtualisation. Tu pourrais à la rigueur utiliser un serveur X, mais du coup c'est le client qui fait les traitements graphiques, il faut alors installer un client X-Window. Il est beaucoup plus simple d'exposer un serveur web et de gérer l'aspect graphique via le navigateur.

Ce que j'ai mis en gras, finalement, c'est ce que je retiens de la conversation. Pour du graphique, vous confirmez que Docker n'est pas adapté sur le serveur, je m'en doutais mais sur le client, je crois comprendre que c'est toujours possible avec X_Window.

Bien merci pour votre éclairage. Ma curiosité est satisfaite. Je continuerai donc mes deux applications en propriétaire.

Cordialement. Je clos la conversation !...