C'est quoi Docker ? Conteneur, image et machine virtuelle

Un conteneur est un processus isolé qui embarque une application et tout ce dont elle a besoin pour fonctionner, tout en partageant le noyau du système hôte. Docker est la plateforme qui construit les images de conteneurs, les stocke, les distribue et les exécute. Ce chapitre pose le vocabulaire (image, conteneur, registre, Dockerfile), compare le conteneur à la machine virtuelle et montre sur quels mécanismes du noyau Linux repose l'isolation.

Le problème que Docker résout

Une application ne tourne jamais seule. L'API de notes de frais de Sorbier a besoin de Node.js 24 et pas d'une autre version, de ses dépendances npm, d'une base MySQL 8.4, de variables de configuration et de certificats. Sur le poste de la développeuse, tout est en place. Sur le serveur, il manque une bibliothèque, Node.js est en version 20, un paquet système diffère : l'application plante. C'est le fameux « ça marche sur ma machine ».

La réponse classique, installer à la main sur chaque serveur en suivant une procédure, est lente et fragile : le moindre écart de version casse tout, et deux applications qui exigent deux versions différentes de la même bibliothèque ne cohabitent pas sur le même serveur.

Docker règle le problème en livrant l'application avec son environnement, dans une boîte standard. La boîte contient la bonne version de Node.js, les bonnes bibliothèques et le code. Elle tourne à l'identique sur le PC de la développeuse, sur le serveur de recette et sur srv-gestion. L'analogie qui a donné son nom à Docker est celle du conteneur maritime : peu importe ce qu'il transporte, il a toujours les mêmes dimensions et se charge sur n'importe quel navire.

Image, conteneur, registre : le vocabulaire

Quatre mots reviennent dans tout le cours.

Ces quatre éléments forment un cycle : tu écris un Dockerfile, tu le construis (docker build) en une image, tu pousses (docker push) l'image dans un registre, puis un serveur la récupère (docker pull) et la lance (docker run) en conteneur.

Conteneur et machine virtuelle : les différences

Une machine virtuelle (VM) émule un ordinateur complet : un hyperviseur (Proxmox VE, VMware ESXi, Hyper-V) lui attribue des processeurs, de la mémoire, des disques et des cartes réseau virtuels, et elle fait tourner son propre système d'exploitation, noyau compris. Un conteneur n'émule rien : c'est un groupe de processus ordinaires de l'hôte, que le noyau isole des autres. Tous les conteneurs d'un hôte partagent le même noyau.

Les deux ne s'opposent pas : en entreprise, on fait presque toujours tourner Docker dans une VM. C'est le cas chez Sorbier : srv-gestion est une VM Debian 13 sur Proxmox VE, et Docker y fait tourner les applications internes. La VM apporte l'isolation forte et la sauvegarde complète par l'hyperviseur, les conteneurs apportent la facilité de déploiement. Le chapitre 13 détaille ce choix, et le cours Virtualisation explique les hyperviseurs.

Comment Linux isole un conteneur

Docker n'a pas inventé l'isolation : il assemble des fonctions du noyau Linux qui existent depuis des années.

Les espaces de noms (namespaces) limitent ce qu'un processus voit. Chaque conteneur reçoit ses propres espaces de noms :

Les groupes de contrôle (cgroups) limitent ce qu'un processus consomme : mémoire, processeur, nombre de processus, débit disque. Sans limite, un conteneur peut occuper toute la mémoire de l'hôte. Docker 29 s'appuie sur les cgroups v2, ceux de Debian 13 ; la prise en charge des anciens cgroups v1 est dépréciée.

Le système de fichiers en couches (OverlayFS) superpose les couches en lecture seule de l'image et une couche inscriptible propre à chaque conteneur (chapitre 4).

Les capacités (capabilities) et le filtre seccomp retirent au root du conteneur une bonne partie des pouvoirs du root de l'hôte : par défaut, un conteneur ne peut ni charger un module du noyau, ni modifier l'horloge, ni monter un système de fichiers.

Tu peux le constater toi-même. Dans un conteneur, la commande ps ne voit que les processus du conteneur :

docker run --rm alpine:3.24 ps

PID   USER     TIME  COMMAND
    1 root      0:00 ps

Sur l'hôte, le même processus existe, avec un autre numéro : c'est un processus ordinaire, simplement isolé.

L'architecture de Docker

Quand tu tapes une commande docker, plusieurs programmes travaillent à la suite.

Ces formats sont normalisés par l'OCI (Open Container Initiative) : une image construite avec Docker se lance avec Podman, avec Kubernetes ou en conteneur LXC sur Proxmox VE 9, et inversement (chapitre 14).

Docker Engine, Docker Desktop et les autres

• Docker Engine est le moteur libre (le démon, le client, Compose) que tu installes sur un serveur Linux. Il est gratuit pour tous les usages : c'est lui qui tourne sur srv-gestion.
• Docker Desktop est l'application pour poste de travail Windows, macOS ou Linux. Elle fait tourner Docker Engine dans une petite VM Linux (WSL 2 sous Windows) et ajoute une interface graphique. Elle est gratuite pour un usage personnel, pour l'enseignement et pour les entreprises de moins de 250 salariés et de moins de 10 millions de dollars de chiffre d'affaires ; au-delà, l'entreprise doit payer un abonnement.
• Podman, containerd avec nerdctl, ou les conteneurs LXC sont des alternatives présentées au chapitre 14.

Docker au BTS SIO

Exercices