Docker Swarm

Was ist Docker Swarm?

Ein normaler Docker-Host verwaltet nur seine eigenen Container. Swarm verbindet mehrere Docker Engines zu einem Cluster, der Services gemeinsam ausführt und den gewünschten Zustand automatisch aufrechterhält.

• Du denkst nicht mehr primär in einzelnen Containern, sondern in Services.
• Du beschreibst den gewünschten Zustand, z. B. „drei Nginx-Instanzen“.
• Der Swarm-Manager entscheidet, auf welchen Nodes Tasks laufen.
• Fällt ein Task oder Node aus, versucht Swarm den gewünschten Zustand wiederherzustellen.

Docker, Compose und Swarm auseinanderhalten

Service, Task und Container

Service

Beschreibt den gewünschten Zustand: Image, Replikate, Ports, Netzwerke, Ressourcen, Update-Verhalten und Platzierungsregeln.

Task

Eine einzelne geplante Arbeitseinheit eines Service. Fällt sie aus, erzeugt Swarm eine neue Task-Instanz.

Container

Die konkrete Laufzeitinstanz, die für einen Task gestartet wird.

Manager und Worker

Ein kleiner 3-Node-Swarm

Ports zwischen Swarm-Nodes

Der erste Manager

docker swarm init --advertise-addr 10.10.10.10

docker info | grep -A8 Swarm
docker node ls

Worker zum Swarm hinzufügen

docker swarm join-token worker

Auf worker1 und worker2:

docker swarm join --token SWMTKN-1-... 10.10.10.10:2377

Zurück auf dem Manager:

docker node ls

Nginx als Swarm-Service starten

docker service create \
  --name web \
  --replicas 3 \
  --publish published=8080,target=80 \
  nginx:alpine

docker service ls
docker service ps web

Swarm hält den gewünschten Zustand

Mehr oder weniger Replikate

docker service scale web=6

docker service ls
docker service ps web

docker service scale web=2

Replicated oder Global

docker service create --name agent --mode global alpine sleep 1d

Container über Hostgrenzen verbinden

docker network create --driver overlay app-net

docker service create --name api --network app-net nginx:alpine

Optional verschlüsselt

docker network create --driver overlay --opt encrypted secure-net

Warum Services keine festen Container-IPs brauchen

Ein veröffentlichter Port auf jedem Node

docker service create \
  --name web \
  --replicas 2 \
  --publish published=8080,target=80 \
  nginx:alpine

Port 8080 ist damit auf jedem Swarm-Node erreichbar. Der Routing Mesh kann die Verbindung an einen passenden Task weiterleiten.

Routing Mesh bewusst umgehen

docker service create \
  --name dns-cache \
  --mode global \
  --publish published=53,target=53,protocol=udp,mode=host \
  IMAGE

Services schrittweise aktualisieren

docker service create \
  --name web \
  --replicas 6 \
  --update-parallelism 2 \
  --update-delay 10s \
  nginx:1.27-alpine

docker service update --image nginx:1.28-alpine web

docker service ps web

Auf die vorherige Service-Konfiguration zurück

docker service rollback web

docker service ps web
docker service inspect web --pretty

Wo darf ein Service laufen?

docker node update --label-add storage=ssd worker1
docker node update --label-add storage=hdd worker2

docker service create \
  --name fast-web \
  --constraint 'node.labels.storage==ssd' \
  nginx:alpine

Ressourcen begrenzen

docker service create \
  --name api \
  --replicas 3 \
  --reserve-memory 256M \
  --limit-memory 512M \
  --limit-cpu 0.50 \
  nginx:alpine

Active, Pause und Drain

docker node update --availability drain worker1

docker node update --availability active worker1

Passwörter nicht in Images oder YAML schreiben

printf 'SehrGeheim123!' | docker secret create db_password -

docker secret ls

docker service create \
  --name demo \
  --secret db_password \
  alpine sleep 1d

Nicht-sensitive Konfiguration verteilen

echo 'server_name example.internal;' > app.conf
docker config create app_conf app.conf

docker config ls

docker service create \
  --name webcfg \
  --config source=app_conf,target=/etc/app/app.conf \
  alpine sleep 1d

Mehrere Services gemeinsam deployen

version: "3.8"

services:
  web:
    image: nginx:alpine
    ports:
      - "8080:80"
    deploy:
      replicas: 3
      update_config:
        parallelism: 1
        delay: 5s

docker stack deploy -c stack.yml demo
docker stack ls
docker stack services demo
docker stack ps demo

Warum Datenbanken im Swarm schwieriger sind

Warum Manager eine Mehrheit brauchen

3, 5 oder 7 Manager?

Was Swarm bereits mitbringt

docker swarm update --autolock=true
docker swarm unlock-key

Manager-Zustand sichern

Swarm-State-Backup und Anwendungsbackup sind zwei verschiedene Dinge.

• Backup auf einem Manager erstellen.
• Das Verzeichnis /var/lib/docker/swarm sichern.
• Anwendungsdaten und Volumes separat sichern.

sudo systemctl stop docker
sudo tar -C /var/lib/docker -czf /root/swarm-backup.tgz swarm
sudo systemctl start docker

Einen Node sicher warten

docker node update --availability drain worker1

docker node ls
docker service ls

docker node update --availability active worker1

Systematisch statt zufällig prüfen

docker node ls
docker service ls
docker service ps SERVICE --no-trunc
docker service logs SERVICE
docker service inspect SERVICE --pretty

Wichtige Swarm-Befehle

Ein kompletter Lernablauf

Kannst du Swarm erklären?

• Was ist der Unterschied zwischen Service, Task und Container?
• Welche Aufgaben übernimmt ein Manager, welche ein Worker?
• Was bedeutet Desired State?
• Wozu dienen die Ports 2377, 7946 und 4789?
• Was ist der Unterschied zwischen replicated und global?
• Was macht ein Overlay-Netzwerk?
• Wie funktioniert das Routing Mesh?
• Warum ist Drain vor Wartungsarbeiten sinnvoll?
• Warum sind drei Manager besser für HA als zwei?
• Was ist der Unterschied zwischen Secrets und Configs?
• Warum löst Swarm nicht automatisch das Speicherproblem einer Datenbank?
• Was bedeutet Rolling Update und wozu dient Rollback?

Offizielle Docker-Dokumentation

Die HTML-Version entspricht dem zuvor erstellten Docker-Swarm-Lernskript und verwendet dieselben Themen und Befehle.

• Swarm mode overview
• Swarm key concepts
• Swarm tutorial
• Services
• Networking
• Routing mesh
• Secrets
• Configs
• Stack deploy
• Admin guide / quorum