11.1. Принципы production

Изменяемая инфраструктура        Неизменяемая
─────────────────────────        ────────────
  сервер                           образ v1 ──► container
    │ apt upgrade                     │
    │ правка конфига                  │ новый образ v2
    │ hotfix                          ▼
    ▼                               образ v2 ──► новый container
  состояние неизвестно                          старый удалён

mkdir -p /tmp/immut && cd /tmp/immut

cat > compose.yaml <<'EOF'
name: immut

services:
  app:
    image: python:3.13-slim
    command: ["sh", "-c", "cat /etc/app.conf 2>/dev/null || echo 'конфиг из образа: version=1'; sleep 300"]
EOF

docker compose up -d > /dev/null 2>&1
sleep 2

echo "═══ исходное состояние ═══"
docker compose logs app --no-log-prefix 2>/dev/null | tail -1 | sed 's/^/  /'

echo "═══ «исправляем» через exec ═══"
docker compose exec -T app sh -c 'echo "конфиг ИСПРАВЛЕН вручную: version=2" > /etc/app.conf'
docker compose exec -T app cat /etc/app.conf | sed 's/^/  /'

echo "═══ что видит docker diff ═══"
docker diff "$(docker compose ps -q app)" | grep etc/app | sed 's/^/  /'

echo "═══ обновляем стек (обычная операция) ═══"
docker compose up -d --force-recreate > /dev/null 2>&1
sleep 2
docker compose logs app --no-log-prefix 2>/dev/null | tail -1 | sed 's/^/  /'
docker compose exec -T app cat /etc/app.conf 2>&1 | tail -1 | sed 's/^/  /'

═══ исходное состояние ═══
  конфиг из образа: version=1
═══ «исправляем» через exec ═══
  конфиг ИСПРАВЛЕН вручную: version=2
═══ что видит docker diff ═══
  A /etc/app.conf
═══ обновляем стек (обычная операция) ═══
  конфиг из образа: version=1
  cat: /etc/app.conf: No such file or directory

cd /tmp/immut
docker compose up -d --scale app=3 > /dev/null 2>&1
sleep 2

echo "═══ исправляем одну реплику ═══"
first="$(docker compose ps -q app | head -1)"
docker exec "$first" sh -c 'echo "исправлено" > /etc/patch.txt'

echo "═══ состояние трёх реплик ═══"
for cid in $(docker compose ps -q app); do
    name="$(docker inspect "$cid" --format '{{.Name}}' | tr -d '/')"
    patched="$(docker exec "$cid" sh -c 'cat /etc/patch.txt 2>/dev/null || echo НЕТ')"
    printf '  %-16s %s\n' "$name" "$patched"
done

docker compose down > /dev/null 2>&1

═══ исправляем одну реплику ═══
═══ состояние трёх реплик ═══
  immut-app-1      исправлено
  immut-app-2      НЕТ
  immut-app-3      НЕТ

cd /tmp/immut
cat > bad-entry.sh <<'EOF'
#!/bin/sh
# АНТИПАТТЕРН: скрипт запускает приложение в фоне и живёт сам по себе
python3 -c "
import time, sys
print('приложение запущено', flush=True)
time.sleep(3)
print('приложение УПАЛО', flush=True)
sys.exit(1)
" &
APP_PID=$!
echo "скрипт-обёртка работает, PID приложения: $APP_PID"
# Скрипт продолжает жить независимо от приложения
while true; do sleep 1; done
EOF
chmod +x bad-entry.sh

cat > good-entry.sh <<'EOF'
#!/bin/sh
# ПРАВИЛЬНО: exec заменяет процесс скрипта процессом приложения
exec python3 -c "
import time, sys
print('приложение запущено', flush=True)
time.sleep(3)
print('приложение УПАЛО', flush=True)
sys.exit(1)
"
EOF
chmod +x good-entry.sh

for variant in bad good; do
    echo "═══ вариант $variant ═══"
    docker run -d --name "entry-$variant" \
        -v "$PWD/$variant-entry.sh:/entry.sh:ro" \
        python:3.13-slim /entry.sh > /dev/null
    sleep 6
    printf '  статус container: %s\n' "$(docker inspect "entry-$variant" --format '{{.State.Status}}')"
    printf '  код выхода:       %s\n' "$(docker inspect "entry-$variant" --format '{{.State.ExitCode}}')"
    printf '  PID 1:            %s\n' \
        "$(docker inspect "entry-$variant" --format '{{.State.Status}}' | grep -q running \
           && docker exec "entry-$variant" cat /proc/1/comm 2>/dev/null || echo '(завершён)')"
    docker logs "entry-$variant" 2>&1 | tail -2 | sed 's/^/  лог: /'
    docker rm -f "entry-$variant" > /dev/null
done

═══ вариант bad ═══
  статус container: running
  код выхода:       0
  PID 1:            sh
  лог: приложение запущено
  лог: приложение УПАЛО
═══ вариант good ═══
  статус container: exited
  код выхода:       1
  PID 1:            (завершён)
  лог: приложение запущено
  лог: приложение УПАЛО

cd /tmp/immut
cat > compose.workers.yaml <<'EOF'
name: immut-w

services:
  app:
    image: python:3.13-slim
    command:
      - sh
      - -c
      - |
        pip install -q gunicorn==26.0.0 2>/dev/null
        cat > /app.py <<'PY'
        def app(environ, start_response):
            start_response("200 OK", [("Content-Type", "text/plain")])
            return [b"ok\n"]
        PY
        exec gunicorn -w 3 -b 0.0.0.0:8000 --chdir / app:app
EOF

docker compose -f compose.workers.yaml up -d > /dev/null 2>&1
sleep 12

echo "═══ процессов в container ═══"
docker compose -f compose.workers.yaml exec -T app sh -c 'ps -o pid,ppid,args' 2>/dev/null | head -6 | sed 's/^/  /'

echo "═══ убиваем один worker ═══"
wpid="$(docker compose -f compose.workers.yaml exec -T app sh -c \
    "ps -o pid,args | awk '/[g]unicorn/ && \$1 != 1 {print \$1; exit}'" | tr -d '\r')"
printf '  убиваем PID %s\n' "$wpid"
docker compose -f compose.workers.yaml exec -T app kill -9 "$wpid" 2>/dev/null
sleep 4

echo "═══ master восстановил worker ═══"
docker compose -f compose.workers.yaml exec -T app sh -c 'ps -o pid,args | grep -c "[g]unicorn"' \
    | xargs printf '  процессов gunicorn: %s\n'
printf '  статус container: %s\n' \
    "$(docker compose -f compose.workers.yaml ps --format '{{.Status}}' app)"

echo "═══ а падение master роняет container ═══"
docker compose -f compose.workers.yaml exec -T app kill -9 1 2>/dev/null || true
sleep 3
printf '  статус: %s, код: %s\n' \
    "$(docker inspect "$(docker compose -f compose.workers.yaml ps -aq app)" --format '{{.State.Status}}')" \
    "$(docker inspect "$(docker compose -f compose.workers.yaml ps -aq app)" --format '{{.State.ExitCode}}')"

docker compose -f compose.workers.yaml down > /dev/null 2>&1

═══ процессов в container ═══
  PID   PPID  COMMAND
      1     0 /usr/local/bin/python /usr/local/bin/gunicorn -w 3 -b 0.0.0.0:8000
     10     1 /usr/local/bin/python /usr/local/bin/gunicorn -w 3 -b 0.0.0.0:8000
     11     1 /usr/local/bin/python /usr/local/bin/gunicorn -w 3 -b 0.0.0.0:8000
     12     1 /usr/local/bin/python /usr/local/bin/gunicorn -w 3 -b 0.0.0.0:8000
═══ убиваем один worker ═══
  убиваем PID 10
═══ master восстановил worker ═══
  процессов gunicorn: 4
  статус container: Up 20 seconds
═══ а падение master роняет container ═══
  статус: exited, код: 137

cd /tmp/immut
cat > compose.logs.yaml <<'EOF'
name: immut-l

services:
  to-file:
    image: python:3.13-slim
    command:
      - python
      - -c
      - |
        import time
        with open("/var/log/app.log", "a") as f:
            for i in range(3):
                f.write(f"запись {i}\n")
                f.flush()
                time.sleep(1)
        time.sleep(60)

  to-stdout:
    image: python:3.13-slim
    command:
      - python
      - -u
      - -c
      - |
        import time
        for i in range(3):
            print(f"запись {i}", flush=True)
            time.sleep(1)
        time.sleep(60)
EOF

docker compose -f compose.logs.yaml up -d > /dev/null 2>&1
sleep 5

echo "═══ docker logs ═══"
printf '  to-file:   [%s]\n' "$(docker compose -f compose.logs.yaml logs to-file --no-log-prefix 2>/dev/null | tr '\n' ' ')"
printf '  to-stdout: [%s]\n' "$(docker compose -f compose.logs.yaml logs to-stdout --no-log-prefix 2>/dev/null | tr '\n' ' ')"

echo "═══ где логи первого ═══"
docker compose -f compose.logs.yaml exec -T to-file cat /var/log/app.log | sed 's/^/  /'

echo "═══ после пересоздания container ═══"
docker compose -f compose.logs.yaml up -d --force-recreate to-file > /dev/null 2>&1
sleep 3
docker compose -f compose.logs.yaml exec -T to-file sh -c 'wc -l < /var/log/app.log' \
    | xargs printf '  строк в файле: %s (прежние записи потеряны)\n'

docker compose -f compose.logs.yaml down > /dev/null 2>&1
cd /tmp && rm -rf /tmp/immut

═══ docker logs ═══
  to-file:   []
  to-stdout: [запись 0 запись 1 запись 2 ]
═══ где логи первого ═══
  запись 0
  запись 1
  запись 2
═══ после пересоздания container ═══
  строк в файле: 3 (прежние записи потеряны)

mkdir -p /tmp/checklist && cd /tmp/checklist

cat > readiness-check.sh <<'SH'
#!/usr/bin/env bash
# Проверка готовности образа и container к эксплуатации.
# Каждый пункт — да или нет; «частично» не бывает.
set -uo pipefail

IMAGE="${1:?укажите образ}"
passed=0
failed=0
skipped=0

ok()   { printf '  ✓ %-42s %s\n' "$1" "${2:-}"; passed=$((passed + 1)); }
no()   { printf '  ✗ %-42s %s\n' "$1" "${2:-}"; failed=$((failed + 1)); }
skip() { printf '  — %-42s %s\n' "$1" "${2:-}"; skipped=$((skipped + 1)); }

printf '\nОБРАЗ: %s\n' "$IMAGE"

# 1. Инструменты сборки
tools="$(docker run --rm --entrypoint sh "$IMAGE" -c \
    'command -v gcc g++ make 2>/dev/null | tr "\n" " "' 2>/dev/null || true)"
[ -z "$tools" ] && ok "1. нет инструментов сборки" || no "1. инструменты сборки" "$tools"

# 2. Пользователь
uid="$(docker run --rm --entrypoint id "$IMAGE" -u 2>/dev/null || echo '?')"
[ "$uid" != "0" ] && ok "2. работает от non-root" "uid=$uid" || no "2. работает от root" "uid=$uid"

# 4. Базовый образ по digest
base="$(docker image inspect "$IMAGE" --format '{{index .Config.Labels "org.opencontainers.image.base.name"}}' 2>/dev/null)"
case "$base" in
    *@sha256:*) ok "4. базовый образ по digest" "$base" ;;
    ""|"<no value>") skip "4. базовый образ" "метка не задана" ;;
    *) no "4. базовый образ по тегу" "$base" ;;
esac

# 5. Секреты в истории слоёв
leaks="$(docker history --no-trunc "$IMAGE" 2>/dev/null \
    | grep -icE '(password|secret|token|api[_-]?key)=[^ ]{6,}' || true)"
[ "$leaks" -eq 0 ] && ok "5. секретов в истории слоёв нет" || no "5. подозрительные строки в истории" "$leaks"

# 7. exec form
cmd="$(docker image inspect "$IMAGE" --format '{{json .Config.Cmd}}' 2>/dev/null)"
case "$cmd" in
    *'"/bin/sh","-c"'*) no "7. CMD в shell form" "$cmd" ;;
    'null') skip "7. CMD не задан" "используется ENTRYPOINT" ;;
    *) ok "7. CMD в exec form" ;;
esac

printf '\nЗАПУСК (проба)\n'
cid="$(docker run -d --rm \
    --read-only --tmpfs /tmp:size=16m \
    --cap-drop=ALL --security-opt=no-new-privileges \
    --memory 256m --pids-limit 100 \
    --entrypoint sleep "$IMAGE" 60 2>/dev/null || true)"

if [ -z "$cid" ]; then
    no "9-13. запуск с ограничениями" "container не стартовал"
else
    # 9. read-only
    docker exec "$cid" sh -c 'echo x > /probe' 2>/dev/null \
        && no "9. корень доступен на запись" || ok "9. read-only корень"
    # 10. capabilities
    caps="$(docker inspect "$cid" --format '{{json .HostConfig.CapDrop}}')"
    case "$caps" in
        *ALL*) ok "10. capabilities отобраны" "$caps" ;;
        *) no "10. capabilities не отобраны" "$caps" ;;
    esac
    # 11. no-new-privileges
    docker inspect "$cid" --format '{{json .HostConfig.SecurityOpt}}' 2>/dev/null \
        | grep -q 'no-new-privileges' \
        && ok "11. no-new-privileges" || no "11. no-new-privileges не задан"
    # 12. лимиты
    mem="$(docker exec "$cid" cat /sys/fs/cgroup/memory.max 2>/dev/null || echo '?')"
    [ "$mem" != "max" ] && [ "$mem" != "?" ] \
        && ok "12. лимит памяти применён" "$((mem / 1048576)) MiB" || no "12. лимит памяти"
    # 13. pids
    pids="$(docker exec "$cid" cat /sys/fs/cgroup/pids.max 2>/dev/null || echo '?')"
    [ "$pids" != "max" ] && [ "$pids" != "?" ] \
        && ok "13. лимит PID применён" "$pids" || no "13. лимит PID"
    docker rm -f "$cid" > /dev/null 2>&1
fi

printf '\nИТОГ: пройдено %s, не пройдено %s, пропущено %s\n' "$passed" "$failed" "$skipped"
exit "$( [ "$failed" -eq 0 ] && echo 0 || echo 1 )"
SH
chmod +x readiness-check.sh

echo "═══ проверяем обычный образ ═══"
./readiness-check.sh python:3.13-slim

═══ проверяем обычный образ ═══

ОБРАЗ: python:3.13-slim
  ✓ 1. нет инструментов сборки            
  ✗ 2. работает от root                   uid=0
  — 4. базовый образ                      метка не задана
  ✓ 5. секретов в истории слоёв нет       
  ✓ 7. CMD в exec form                    

ЗАПУСК (проба)
  ✓ 9. read-only корень                   
  ✓ 10. capabilities отобраны             ["ALL"]
  ✓ 11. no-new-privileges                 
  ✓ 12. лимит памяти применён             256 MiB
  ✓ 13. лимит PID применён                100

ИТОГ: пройдено 8, не пройдено 1, пропущено 1

cd /tmp && rm -rf /tmp/checklist

docker run -d --name pcheck --read-only --tmpfs /tmp:size=8m \
    --cap-drop=ALL --security-opt=no-new-privileges \
    --memory 128m --pids-limit 50 \
    python:3.13-slim sleep 60 > /dev/null
sleep 2
docker exec pcheck sh -c 'echo x > /probe' 2>&1 | tail -1
docker exec pcheck sh -c 'cat /sys/fs/cgroup/memory.max /sys/fs/cgroup/pids.max'
docker inspect pcheck --format '{{json .HostConfig.SecurityOpt}}'
docker rm -f pcheck > /dev/null