Обновление nodejs api после деплоя через докер и безопасность. Каков путь?

Question

[p4p]

Ubuntu vps.
- Собрал образ
- Запушил
- Стянул на vps
- Запустил контейнер в сети
- Настроил обратный прокси через nginx
Вопросы:
Как обновить приложение при обнове исходников? Повторить процесс удалив контейнер? Для этого нужно остановить контейнер и при этом api лежит. Как обычно такое делают.
Какие подводные по настройке безопасности?
Стоит ли держать бд на одном vps с api или поднять еще один. Или может лучше юзать что то типа neon.tech?

Answer 1

[Сергей Соловьев]

Как обновить приложение при обнове исходников?

Собираешь новый образ с новым тэгом

Повторить процесс удалив контейнер?

Да
Примерно так

docker stop my-container
docker rm my-container
docker run --name=my-container my-image:new-tag

Какие подводные по настройке безопасности?

root-less контейнеры
маунтить отдельные файлы и по возможности ro
порты не привилегированные использовать
вообще, докер это не про безопасность, а про скорость

Стоит ли держать бд на одном vps с api или поднять еще один.

Если инстанс контейнера один, то лучше на одном - локальность данных
Если горизонтально масштабируешься + отказоустойчивость повысить хочешь, то лучше раздельные

Comments

[p4p]

Не понял в чем вообще преимущество докера если для изменения кода нужно целый образ перезаливать)
Можно подробней про инстанс контейнера? Зачем нужно к примеру несколько инстансов?

[Сергей Соловьев]

p4p,

преимущество докера если для изменения кода нужно целый образ перезаливать

фиксирование релиза - образы не на каждый чих должны публиковаться

Можно подробней про инстанс контейнера?

есть образ, а есть контейнер. аналогия точно такая же как и с программой и процессом.
контейнер - это рабочая программа, которая создается из образа

Зачем нужно к примеру несколько инстансов?

Повышение производительности или отказоустойчивости

[Everything_is_bad]

Сергей Соловьев,

докер это не про безопасность, а про скорость

про какую скорость? докер накладывает дополнительные расходы, так что докер не про скорость, а про скорее про изоляцию и простую воспроизводимость окружения

[Сергей Соловьев]

Everything_is_bad, имею ввиду в сравнении с виртуальной машиной

[сергей кузьмин]

Сергей Соловьев, докер это не виртуальная машина
а инструмент деплоймента не надо их сравнивать