Installer Docker Engine sur Debian 13

Installer Docker sur un serveur, c'est ajouter le dépôt officiel de Docker au gestionnaire de paquets, installer le moteur (Docker Engine) et ses extensions (Buildx, Compose), puis régler le service et les droits. Ce chapitre installe Docker Engine 29 sur srv-gestion, une VM Debian 13 « Trixie », règle la rotation des journaux, explique le piège du groupe docker et celui du pare-feu, et présente Docker Desktop pour ton poste de travail.

Quel paquet installer ?

Préparer la machine

Chez Sorbier, srv-gestion est une VM Proxmox VE : 2 processeurs virtuels, 4 Go de mémoire, un disque système de 32 Go et un second disque de 50 Go monté sur /var/lib/docker, là où Docker range images, conteneurs et volumes. Séparer ce dossier évite qu'une image trop grosse ou des journaux qui débordent remplissent la partition système. L'adresse est fixe : 192.168.10.179/28, passerelle 192.168.10.190, DNS 192.168.10.177 et 192.168.10.181, ceux de l'annuaire, pour que les conteneurs résolvent aussi les noms internes en ad.sorbier.example.

Ajouter le dépôt officiel et installer

Commence par retirer d'éventuels paquets non officiels qui entreraient en conflit (la commande ne fait rien s'ils sont absents) :

sudo apt remove $(dpkg --get-selections docker.io docker-compose docker-doc docker-buildx podman-docker containerd runc | cut -f1)

Installe les outils nécessaires et la clé qui signe les paquets de Docker :

sudo apt update
sudo apt install ca-certificates curl
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/debian/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc

Déclare le dépôt dans un fichier au format DEB822, le format des sources de Debian 13 :

sudo tee /etc/apt/sources.list.d/docker.sources <<EOF
Types: deb
URIs: https://download.docker.com/linux/debian
Suites: $(. /etc/os-release && echo "$VERSION_CODENAME")
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc
EOF

Sur srv-gestion, le shell remplace $(…) au moment de l'écriture : le fichier obtenu contient Suites: trixie et Architectures: amd64. Installe enfin le moteur et ses extensions :

sudo apt update
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

Vérifier l'installation

Sur Debian, le service démarre tout seul et il est activé au démarrage :

sudo systemctl status docker

● docker.service - Docker Application Container Engine
     Loaded: loaded (/usr/lib/systemd/system/docker.service; enabled; preset: enabled)
     Active: active (running) since Tue 2026-11-03 09:14:22 CET; 2min ago

Les versions du client et du serveur :

sudo docker version --format '{{.Client.Version}} / {{.Server.Version}}'
docker compose version

29.9.3 / 29.9.3
Docker Compose version v5.6.0

Le premier conteneur, l'image de test officielle :

sudo docker run --rm hello-world

Unable to find image 'hello-world:latest' locally
latest: Pulling from library/hello-world
...
Hello from Docker!
This message shows that your installation appears to be working correctly.

Docker n'avait pas l'image : il l'a téléchargée depuis Docker Hub, a créé un conteneur, l'a lancé, puis l'option --rm l'a supprimé à la fin.

Le groupe docker et ses dangers

Le socket du démon appartient à root et au groupe docker. Sans sudo, un utilisateur ordinaire reçoit un refus d'accès qui contient permission denied et le chemin unix:///var/run/docker.sock.

La documentation propose d'ajouter l'utilisateur au groupe docker (puis de se reconnecter) :

sudo usermod -aG docker chloe.lambert

Régler le démon : /etc/docker/daemon.json

Le démon lit ses réglages dans /etc/docker/daemon.json (absent par défaut). Chez Sorbier, on fixe quatre choses :

{
  "log-driver": "local",
  "log-opts": {
    "max-size": "20m",
    "max-file": "5"
  },
  "live-restore": true,
  "bip": "172.17.0.1/16",
  "default-address-pools": [
    { "base": "172.20.0.0/14", "size": 24 }
  ]
}

Applique et vérifie :

sudo systemctl restart docker
sudo docker info --format '{{.LoggingDriver}}'

local

Docker et le pare-feu

Quand tu publies un port (-p 8080:80), Docker ajoute lui-même des règles de filtrage et de NAT au noyau. Ces règles passent avant celles d'ufw ou de firewalld : un port publié est joignable depuis le réseau même si ton pare-feu local semble le bloquer. La documentation de Docker le dit noir sur blanc : les ports exposés contournent les règles d'ufw et de firewalld.

Trois parades, à combiner :

• ne publier que ce qui doit l'être, et sur la bonne adresse : -p 127.0.0.1:8080:80 n'écoute que sur la boucle locale, inaccessible depuis le réseau (chapitre 7) ;
• placer tes règles locales dans la chaîne DOCKER-USER, que Docker consulte avant ses propres règles et ne modifie jamais ;
• filtrer surtout en amont, sur le pare-feu de l'entreprise : chez Sorbier, le pfSense ne laisse entrer dans le VLAN serveurs que les flux prévus (cours Cybersécurité des infrastructures).

Mettre à jour Docker

Docker Engine se met à jour comme n'importe quel paquet :

sudo apt update && sudo apt upgrade

Avec live-restore, les conteneurs ne s'arrêtent pas pendant le redémarrage du démon. Lis tout de même les notes de version avant une nouvelle version majeure (29 → 30) : chaque version majeure retire des fonctions dépréciées.

Docker Desktop sur ton poste

Pour développer sur Windows 11 ou macOS, installe Docker Desktop depuis le site de Docker.

• Windows : Docker Desktop s'appuie sur WSL 2 (le sous-système Linux de Windows). L'installeur l'active si besoin ; la virtualisation doit être activée dans le BIOS ou l'UEFI. Tape ensuite tes commandes dans PowerShell ou dans ta distribution WSL : elles sont identiques.
• macOS : Docker Desktop lance une petite VM Linux grâce au framework de virtualisation d'Apple. Sur un Mac à processeur Apple Silicon, les images sont construites pour l'architecture arm64 : pense à --platform linux/amd64 si l'image doit tourner sur un serveur x86-64 (chapitre 12).

Dans les deux cas, docker run démarre des conteneurs Linux, dans la VM cachée. C'est pourquoi une image construite sur ton poste tourne à l'identique sur srv-gestion.

Exercices

Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: bookworm
Components: stable
Signed-By: /etc/apt/keyrings/docker.asc