Discussion :

[Bill Fassinou]

Docker abandonne son offre Free Team et de nombreux projets open source pourraient être supprimés
ils ont un mois pour passer à un abonnement payant au risque de perdre l'accès à leurs données

Docker a mis en colère les utilisateurs de l'offre Free Team après avoir annoncé mercredi qu'il abandonnait ce plan gratuit. Les organisations et les développeurs utilisant Free Team ont été informés par courriel qu'ils disposaient d'un mois pour passer à une offre payante, sous peine de voir leur compte suspendu et leurs images supprimées. La colère est plus intense dans la communauté des logiciels open source, car cela risque d'interrompre les automatismes de construction pour de nombreux projets open source. Les critiques affirment que cela pourrait avoir un impact sur les images utilisées dans les scripts de construction d'intégration continue.

Docker est une plateforme open source pour le développement, l'expédition et l'exécution d'applications. Il permet aux développeurs et aux organisations de séparer leurs applications de leurs infrastructures afin de pouvoir livrer rapidement des logiciels et de gérer leurs infrastructures de la même manière qu'ils gèrent leurs applications. Et Docker Hub est la plus grande bibliothèque et communauté au monde pour les images de conteneurs. Une image Docker est un moyen pratique d'empaqueter des applications et des environnements de serveur préconfigurés, que vous pouvez utiliser pour votre usage privé ou partager avec d'autres utilisateurs de Docker.

Docker a une offre gratuite et propose également des plans d'abonnement payants. Et avec son service Free Team, l'entreprise donnait la possibilité aux utilisateurs de Docker Hub de créer des équipes et donner aux membres l'accès à des référentiels d'images partagés. Ce service serait majoritairement utilisé par les mainteneurs de projets open source. Mais mercredi, les utilisateurs de Docker disposant d'un compte Free Team ont commencé à signaler avoir reçu un email de Docker les informant qu'ils ne pourront bientôt plus utiliser le service et qu'ils devront passer à un abonnement payant dans 30 jours sous peine de perdre l'accès à leurs données.

Is Docker saying that the OSS openfaas organisation on Docker Hub will get deleted if we don't sign up for a paid plan?

What about Prometheus, and all the other numerous OSS orgs on the Docker Hub?

cc @justincormack pic.twitter.com/FUCZPxHz1x

— Alex Ellis (@alexellisuk) March 14, 2023

Selon un rapport publié par Alex Ellis d'OpenFAAS, le courriel de Docker indique ceci : « ce niveau comprenait un grand nombre des mêmes caractéristiques, tarifs et fonctionnalités qu'un abonnement payant à Docker Team et l'accès aux fonctionnalités payantes - y compris les référentiels privés - sera suspendu le 14 avril 2023 si vous ne passez pas à une offre payante. Docker conservera les données de votre organisation pendant 30 jours après quoi, elles seront soumises à la suppression ». Alors que Free Team a été largement utilisé par les projets open source, les experts indiquent que le problème n'est pas seulement le retrait du service gratuit.

Mais il faut également prendre en compte l'impact de la suppression des images utilisées dans les scripts de construction d'intégration continue. Des projets open source comme Egeria (standard de métadonnées ouvert) et Kind (test de Kubernetes avec des conteneurs) ont été contraints de réagir rapidement après l'annonce mercredi. « Si aucune mesure n'est prise, cela brisera les pipelines de CI des gens, car les anciennes images ne seront plus disponibles sur Docker Hub (du moins pas au même endroit). Le coût d'un abonnement payant est de 300 dollars par an », a déclaré un responsable du gestionnaire de paquets open source Mamba, sur GitHub.

« Nous dépendons principalement d'images provenant d'organisations relativement importantes (alpine, node, golang, etc), donc on pourrait croire que tout ira bien. Ils sont tous soit dans le programme open source, soit en train de payer. Mais je ne peux pas me fier à cela. Si ces images disparaissent, nous perdons la possibilité de publier et ce n'est pas acceptable. Nous n'avons aucun moyen de savoir quelles organisations ont payé et lesquelles n'ont pas payé. Lesquelles sont membres du programme open source et lesquelles ne le sont pas. Je ne peux même pas savoir quelles images sont susceptibles d'être menacées », a écrit un autre développeur.

En contrepartie, Docker propose le programme "Docker Sponsored Open Source" (DSOS) par lequel les projets appropriés peuvent obtenir des abonnements gratuits à Team, et dans le cas de Mamba, cela a été rapidement arrangé. Le programme DSOS comporte toutefois quelques restrictions. Docker indique : « le projet ne doit pas avoir de voie vers la commercialisation. Votre organisation ne doit pas chercher à faire des profits par le biais de services ou en faisant payer les niveaux supérieurs. Vous pouvez toutefois accepter des dons pour soutenir vos efforts ». Mais cette proposition a également été dénoncée par les développeurs de projets open source.

Dans son rapport, Alex Ellis dénonce l'attitude de Docker : « Docker nous tient en otage ici, si nous ne payons pas, les systèmes vont s'effondrer pour de nombreux utilisateurs. Docker a une définition hostile et déconnectée de ce qui est autorisé dans son programme open source. Il exclut tout ce qui n'est pas des projets de temps libre, ou des projets qui ont été entièrement donnés à une fondation open source. L'open source a un problème de financement, et Docker est né dans l'open source. Nous, la communauté, avons été les faiseurs de roi, et maintenant qu'ils génèrent des revenus importants, ils ne sont que trop prêts à oublier leurs racines ».

There is an open-source exemption, but it's very strict (absolutely no "pathway to commercialization" - no services, no sponsors, no paid addons, and no pathway to ever do so later) and they're apparently taking >1 year to process applications anyway.

— Tim Perry (@pimterry) March 14, 2023

Tim Perry, créateur d'un projet appelé "httptoolkit", a également commenté : « je dirige un minuscule projet open source, mais avec quelques revenus (juste assez pour rendre le développement viable avec un seul développeur), ce qui signifie qu'il semble que je ne sois pas non plus autorisé à participer au programme open source. Les images impactées sont largement utilisées par d'autres, référencées dans toutes sortes de documents et de constructions CI, et intégrées dans des logiciels fonctionnant un peu partout, donc laisser entendre que toutes ces images cesseront d'être accessibles dans 30 jours est un énorme problème ».

Une plainte fréquente est que Docker semble être inflexible quant aux solutions autres que la conversion à une équipe payante ou DSOS. « Pouvoir convertir le compte de mon organisation en un compte personnel gratuit à utilisateur unique avec le même nom et les mêmes images serait une solution raisonnable, tout comme autoriser les redirections afin que les images puissent être hébergées ailleurs. Héberger les images ailleurs est facile, mais "faire cela maintenant ne résout pas mon problème parce que les URL existantes du hub Docker sont déjà largement utilisées partout », a déclaré Perry dans un commentaire publié sur GitHub.

Certains candidats, comme Neil Hanlon du projet Rocky Linux, n'ont toujours pas reçu de réponse de Docker concernant leurs candidatures à DSOS. Beaucoup de ceux qui se plaignent de ce changement gèrent des projets open source avec des dépendances de construction qui pourraient se briser. Certains projets, comme Livebook, prévoient déjà de déplacer tous les conteneurs de Docker vers le GitHub Container Registry, mais devront migrer leurs anciennes images manuellement. Le projet Kubernetes Kind réfléchit également à d'autres options, qui risquent toutes d'interrompre les flux de travail et de nécessiter une reconstruction.

Les développeurs craignaient également que leur espace de noms soit détourné par d'autres après la suppression, ce qui le rendrait vulnérable à la distribution de logiciels malveillants, mais Docker a déclaré que "toute organisation suspectée ou supprimée ne libérera pas l'espace de noms, de sorte qu'il ne sera pas possible de squatter les espaces de noms précédents." Docker a également promis de ne pas suspendre une organisation lorsqu'une demande de DSOS est en cours d'examen.

Sources : Docker (1, 2, 3), Docker Hub Feedback, Billet de blogue

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez de la décision de Docker d'abandonner le service Free Team ?
Selon vous, quels impacts cela pourrait avoir sur la communauté des logiciels open source ?
Êtes-vous impacté par cette décision ? Si oui, comment comptez-vous procéder pour la suite ?
Selon vous, cette décision va-t-elle impacter sur la croissance de Docker ? Pourquoi ?

Voir aussi

51 % des 4 millions d'images Docker analysées présentent des vulnérabilités critiques, et certaines d'entre elles peuvent être considérées comme malveillantes, selon une étude de Prevasio

Mirantis acquiert Docker Enterprise et Docker lève 35 millions dollars, mais le service restera une entreprise indépendante, d'après Mirantis

Les conteneurs constituent l'ultime cheval de Troie, leurs avantages ne passant pas inaperçus aux yeux des attaquants, qui en tirent parti pour intensifier leurs propres opérations

Une mauvaise configuration Cloud rend 90 % des entreprises qui passent à des environnements multi-clouds vulnérables, selon un nouveau rapport d'Aqua Security

[walfrat]

Dans son rapport Alex Ellis dénonce l'attitude de Docker : « Docker nous tient en otage ici, si nous ne payons pas, les systèmes vont s'effondrer pour de nombreux utilisateurs. Docker a une définition hostile et déconnectée de ce qui est autorisé dans son programme open source. Il exclut tout ce qui n'est pas des projets de temps libre, ou des projets qui ont été entièrement donnés à une fondation open source. L'open source a un problème de financement, et Docker est né dans l'open source. Nous, la communauté, avons été les faiseurs de roi, et maintenant qu'ils génèrent des revenus importants, ils ne sont que trop prêts à oublier leurs racines ».

En supposant que la société ne soit pas purement à la recherche de profits faciles on pourrait aussi lire ça de la façon suivante : notre version gratuite à tellement de succès avec d'images qu'on héberge directement et utilisés par des milliers de pipelines que ça comment à couter sérieusement cher.

Cependant si c'était le cas, ils auraient pu restreindre davantage l'offre gratuite.

[Bill Fassinou]

« Nous nous excusons. Nous avons fait un mauvais travail en annonçant la fin de Docker Free Teams »
Docker revient sur sa décision de supprimer les images publiques de Docker Hub après le tollé

Docker a présenté jeudi ses excuses aux utilisateurs, en particulier à la communauté open source, pour la manière dont elle a annoncé l'abandon du service Free Teams. Après le tollé suscité par l'annonce du mardi, Docker s'est dite prête à faire quelques concessions. L'entreprise maintient sa décision de supprimer Free Teams dans un mois, mais renonce à supprimer de Docker Hub les images publiques des organisations qui seront affectées. Docker a précisé que les images publiques demeureront sur Docker Hub jusqu'à ce que leurs responsables décident de les supprimer. Toutefois, le communiqué ne répond pas à toutes les préoccupations des utilisateurs.

À travers son offre Free Team, Docker donnait la possibilité aux utilisateurs de Docker Hub de créer des équipes et donner aux membres l'accès à des référentiels d'images partagés. Ce service est majoritairement utilisé par les mainteneurs de projets open source. Cependant, ce 14 mars 2023, les utilisateurs de Docker disposant d'un compte Free Team ont commencé à signaler avoir reçu un email de Docker les informant qu'ils ne pourront bientôt plus utiliser le service et qu'ils devront passer à un abonnement payant dans 30 jours sous peine de perdre l'accès à leurs données et de voir leurs images supprimées. Le courriel a suscité un tollé sur la toile.

Selon un rapport d'Alex Ellis d'OpenFAAS, le courriel de Docker indique : « ce niveau comprenait un grand nombre des mêmes caractéristiques, tarifs et fonctionnalités qu'un abonnement payant à Docker Team et l'accès aux fonctionnalités payantes - y compris les référentiels privés - sera suspendu le 14 avril 2023 si vous ne passez pas à un abonnement payant. Docker conservera les données de votre organisation pendant 30 jours après quoi, elles seront soumises à la suppression ». L'entreprise n'avait fait aucune autre communication publique en dehors du courriel de mardi, ébranlant la communauté open source et la laissant dans un grand flou.

We apologize. We did a terrible job announcing the end of Docker Free Teams. https://t.co/kzoVKk6TIX

— Docker (@Docker) March 16, 2023

Jeudi, la société a publié une note sur son site Web dans laquelle elle s'excuse de la mauvaise communication autour de cette décision. La déclaration officielle indique que le contenu du courriel n'exprimait pas correctement les intentions de Docker. L'entreprise indique que les données auxquelles elle faisait allusion dans son courriel ne concernaient pas les images. « Ce n'était pas clair ce que nous allions faire avec les images. Il est important de conserver les images publiques, car de nombreuses autres images se construisent au-dessus d'elles », a déclaré un représentant de Docker. Voici un extrait du message adressé par Docker à la communauté :

Nous nous excusons pour la manière dont nous avons communiqué et exécuté la suppression des abonnements Docker "Free Team", qui a alarmé la communauté open source.

Pour ceux d'entre vous qui rattrapent leur retard, nous avons récemment envoyé un email aux comptes membres d'organisations Free Team pour les informer qu'ils perdront des fonctionnalités à moins qu'ils ne passent à l'une de nos offres gratuites ou payantes prises en charge. Cela a affecté moins de 2% de nos utilisateurs. Notez que ce changement n'affecte pas les comptes Docker Personal, Docker Pro, Docker Team ou Docker Business, les membres Open Source sponsorisés par Docker, les éditeurs vérifiés par Docker ou les images officielles de Docker.

L'abonnement Docker Free Team a été supprimé en partie parce qu'il était mal ciblé. En particulier, il ne répondait pas aux besoins du public open source aussi bien que notre programme Docker-Sponsored Open Source récemment mis à jour, ce dernier offrant des avantages qui dépassent ceux du plan Free Team supprimé. Nous souhaitons également préciser que les images publiques ne seront supprimées de Docker Hub que si leur responsable décide de les supprimer. Nous sommes désolés que nos communications initiales n'aient pas été claires à ce sujet.

Nous nous excusons à nouveau pour la mauvaise communication et l'exécution entourant cette dépréciation et nous promettons de continuer à écouter les commentaires de la communauté.

En gros, Docker s'en tient toujours à son plan visant à supprimer l'offre Free Team dans un mois. Mais l'entreprise affirme que, contrairement à ce que disait son email en début de semaine, elle ne supprimera pas les images. Les images publiques ne disparaîtront que si les responsables des images décident de les supprimer de Docker Hub. Si le responsable d'une image ne prend aucune mesure, nous continuerons à distribuer ses images publiques. (Bien entendu, si le responsable migre vers le programme Open Source sponsorisé par Docker ou vers un abonnement payant à Docker, nous continuerons également à distribuer ses images publiques.)

Selon l'entreprise, le changement affecte moins de 2 % des utilisateurs de Docker. Docker recommande aux utilisateurs de migrer vers le programme Docker-Sponsored Open Source (DSOS) qui, selon elle, est mieux adapté pour les projets open source. « Le programme DSOS n'est pas affecté par la suppression des organisations Free Team. Pour les nouveaux utilisateurs souhaitant rejoindre le programme DSOS à partir d'une ancienne organisation Free Team, nous différerons toute suspension ou suppression d'organisation pendant que la demande de DSOS est en cours d'examen », explique Tim Anglade de Docker dans le billet de blogue.

Does distribute/serve mean that these images are frozen, and will never be updated again on Docker Hub?

Not sure if the security nightmare with stale container images is a better choice, than a deletion wakeup call to replace the container registry & images.

— Michael Friedrich 👀 (@dnsmichi) March 16, 2023

« Cela donne aux organisations au moins 30 jours avant que nous ne les suspendions si la demande est finalement rejetée. Nous sommes à l'écoute des commentaires et pourrons proposer des programmes ou des plans supplémentaires en fonction de vos suggestions. Nous encourageons tous les projets open source à postuler, même si leur candidature n'a pas été acceptée lors d'une précédente demande, car nous avons mis à jour le programme et élargi les critères d'éligibilité en septembre 2022. Nous avons affecté plus de personnel à l'examen rapide de toutes les demandes », a-t-il ajouté. Le plan Free Team prend fin le 13 avril 2023.

Et avant cette date, Docker indique que vous pouvez extraire des images de vos référentiels privés sur le registre Docker et pousser ces images vers un autre registre de votre choix. En outre, l'entreprise affirme que même si votre organisation est suspendue, supprimée ou si vous décidez de quitter Docker volontairement, l'espace de noms de votre organisation ne sera pas libéré, de sorte que d'autres utilisateurs ne peuvent pas "squatter" vos images. Si Docker suspend les organisations, mais conserve les images publiques, ces dernières ne pourraient ne plus être mises à jour et deviendraient donc obsolètes. Docker ne s'est pas exprimée sur ce point.

« Est-ce que distribuer signifie que ces images sont gelées et ne seront plus jamais mises à jour sur Docker Hub ? Je ne suis pas sûr que le cauchemar de la sécurité avec des images de conteneurs périmées soit un meilleur choix qu'un appel à la suppression pour remplacer le registre de conteneurs et les images », peut-on lire dans les commentaires. Il suggère qu'il ne servira pas à grand-chose de conserver les images si elles ne peuvent pas être mises à jour. Docker n'a pas non plus expliqué comment les responsables concernés pourront supprimer leurs images publiques désormais obsolètes après la date limite du 14 avril 2023.

Certains développeurs ont toujours l'impression d'être tenus en otage. Et d'autres, comme Neil Hanlon du projet Rocky Linux, affirment n'avoir toujours pas reçu de réponse de Docker concernant leurs candidatures au programme DSOS. Beaucoup de ceux qui se plaignent de ce changement gèrent des projets open source avec des dépendances de construction qui pourraient se briser. Certains projets, comme Livebook, prévoient déjà de déplacer tous les conteneurs de Docker vers le GitHub Container Registry, mais devront migrer leurs anciennes images manuellement. Le projet Kubernetes Kind réfléchit également à d'autres options.

Source : Docker

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez de la décision de Docker d'abandonner le programme Free Team ?
Que pensez-vous des préoccupations soulevées par la communauté open source ?
Que pensez-vous du programme Docker-Sponsored Open Source ? Est-il mieux que Free Team ?
Selon vous, quels impacts la suppression de Free Team pourrait avoir sur les images publiques de Docker Hub ?

Voir aussi

Docker abandonne son offre Free Team et de nombreux projets open source pourraient être supprimés, ils ont un mois pour passer à un abonnement payant au risque de perdre l'accès à leurs données

51 % des 4 millions d'images Docker analysées présentent des vulnérabilités critiques, et certaines d'entre elles peuvent être considérées comme malveillantes, selon une étude de Prevasio

Les conteneurs constituent l'ultime cheval de Troie, leurs avantages ne passant pas inaperçus aux yeux des attaquants, qui en tirent parti pour intensifier leurs propres opérations

Une mauvaise configuration Cloud rend 90 % des entreprises qui passent à des environnements multi-clouds vulnérables, selon un nouveau rapport d'Aqua Security

[fodger]

"Nous nous excusons"

[troll]
On ne s'excuse pas, on présente ses excuses :p.
Libre à l'intéressé de les accepter ou pas.
[/troll]