Docker in der Produktion: Lessons Learned aus 50+ Deployments

Docker hat die Art, wie wir Software deployen, revolutioniert. Aber zwischen einem funktionierenden Dockerfile und einem produktionsreifen Container-Setup liegen Welten. Aus über 50 Deployments habe ich die wichtigsten Lektionen zusammengestellt.

1. Multi-Stage Builds sind Pflicht: Produktions-Images sollten schlank sein. Ein Node.js-Image muss keine Build-Tools enthalten. Mit Multi-Stage Builds reduzieren Sie die Image-Größe oft um 60-80%. Kleinere Images bedeuten schnellere Deployments und eine geringere Angriffsfläche.

2. Never run as root: Container laufen standardmäßig als root — ein enormes Sicherheitsrisiko. Definieren Sie einen eigenen USER in Ihrem Dockerfile und stellen Sie sicher, dass Ihre Anwendung mit minimalen Rechten auskommt. Ein kompromittierter Container als root kann den gesamten Host gefährden.

3. Healthchecks sind keine Option, sondern Pflicht: Ohne Healthcheck weiß Ihr Orchestrator nicht, ob der Container wirklich funktioniert. Ein einfacher HTTP-Health-Endpoint verhindert, dass defekte Container Traffic erhalten. Definieren Sie sinnvolle Intervalle und Schwellwerte.

4. Logging richtig konfiguriert: Container schreiben Logs nach stdout/stderr. Nutzen Sie einen Log-Treiber wie json-file oder syslog und konfigurieren Sie Log-Rotation. Ohne Rotation füllt ein verbuggter Container in Stunden Ihre Festplatte.

5. Secrets gehören nicht ins Image: API-Keys, Datenbank-Passwörter, Zertifikate — niemals im Dockerfile hartkodieren oder ins Image kopieren. Nutzen Sie Docker Secrets, Umgebungsvariablen (mit Vorsicht) oder ein Secret-Management-Tool.

6. Resource Limits setzen: Ohne Limits kann ein Container den gesamten Host lahmlegen. Definieren Sie memory- und CPU-Limits in Ihrer docker-compose.yml oder Ihrem Orchestrator. Monitoring-Tools wie cAdvisor helfen, den tatsächlichen Ressourcenverbrauch zu verstehen.

Diese sechs Punkte klingen banal, aber ich sehe sie in der Praxis immer wieder vernachlässigt. Wer sie beherzigt, hat 90% der typischen Container-Probleme bereits gelöst. Der Rest ist Feintuning.