Um Dockers Ansatz zur Anwendungsisolation zu verstehen, ist es zunächst wichtig zu wissen, wie virtuelle Maschinen (VMs) funktionieren.

• Virtuelle Maschinen sind softwarebasierte Nachbildungen physischer Computer;
• Jede VM führt ihr eigenes vollständiges Betriebssystem (OS) aus, einschließlich aller erforderlichen Binärdateien, Bibliotheken und Anwendungscode;
• Der Hypervisor (wie VMware ESXi oder Microsoft Hyper-V) befindet sich zwischen der Hardware und den VMs;
• Der Hypervisor weist jeder VM Hardware-Ressourcen wie CPU, Arbeitsspeicher und Speicherplatz zu, sodass mehrere VMs auf einem physischen Server betrieben werden können;
• Dieses Design bietet eine starke Isolation zwischen Anwendungen und ermöglicht es, verschiedene Betriebssysteme und Software-Stacks auf derselben Hardware auszuführen;
• Allerdings sind VMs ressourcenintensiv, da jede VM ein vollständiges Betriebssystem benötigt, was zu einem höheren Speicher- und Ressourcenverbrauch führt.

Typische Anwendungsfälle für VMs:

• Ausführen von Legacy-Anwendungen, die bestimmte Betriebssysteme erfordern;
• Hosting mehrerer Betriebssysteme auf derselben Hardware;
• Bereitstellung starker Sicherheitsgrenzen in Unternehmensumgebungen.

Container: Leichtgewichtige Isolation und gemeinsamer OS-Kernel

Container verfolgen einen anderen Ansatz zur Anwendungsisolation:

• Keine vollständige Maschinenemulation: Anstatt ganze Maschinen zu emulieren, bündeln Container eine Anwendung mit ihren Abhängigkeiten;
• Gemeinsam genutzter Betriebssystem-Kernel: Container teilen sich den Kernel des Host-Systems, was den Ressourcenbedarf reduziert;
• Prozessisolation: Jeder Container läuft als isolierter Prozess im User Space und nutzt Betriebssystemfunktionen wie namespaces und control groups zur Trennung;
• Minimaler Ressourcenverbrauch: Container benötigen kein vollständiges Betriebssystem pro Instanz und sind daher deutlich ressourcenschonender als virtuelle Maschinen;
• Schneller Start und hohe Dichte: Container starten nahezu sofort, verbrauchen weniger Speicher und Festplattenplatz und ermöglichen es, Tausende Instanzen auf derselben Hardware auszuführen, auf der nur wenige VMs Platz hätten;
• Ideal für moderne Workflows: Diese leichtgewichtige Isolation eignet sich optimal für Microservices, Continuous Integration/Continuous Deployment (CI/CD)-Pipelines und Umgebungen, die schnelle Skalierung und hohe Portabilität erfordern;
• Konsistenz über Umgebungen hinweg: Durch die gemeinsame Nutzung des OS-Kernels erleichtern Container die Konsistenz zwischen Entwicklungs-, Test- und Produktionsumgebungen.

Container vs. Virtuelle Maschinen: Direktvergleich

Der Vergleich von Containern und virtuellen Maschinen (VMs) verdeutlicht deren zentrale Unterschiede und Stärken:

Performance

• Container vermeiden den Overhead durch mehrere Betriebssysteme;
• Container bieten schnellere Startzeiten und geringeren Ressourcenverbrauch;
• VMs benötigen für jede Instanz ein vollständiges Betriebssystem, was zu höherem Ressourcenbedarf führt.

Portabilität

• Container sind besonders portabel; Container-Images lassen sich einfach zwischen Umgebungen verschieben;
• Anwendungen in Containern verhalten sich überall gleich;
• VMs sind weniger portabel, da sie auf bestimmte Hypervisoren und größere Images angewiesen sind.

Skalierbarkeit

• Container ermöglichen deutlich mehr Instanzen auf derselben Hardware;
• Container skalieren Anwendungen schnell nach Bedarf hoch oder herunter;
• VMs sind für schnelle Skalierung weniger effizient.

Isolation und Sicherheit

• VMs bieten stärkere Isolation und werden bevorzugt eingesetzt, wenn verschiedene Betriebssysteme oder Anwendungen mit hohen Sicherheitsanforderungen betrieben werden sollen;
• Container bieten leichtgewichtige Isolation, die für die meisten modernen Anwendungsszenarien ausreichend ist.

Das Verständnis dieser Unterschiede hilft bei der Auswahl des passenden Werkzeugs für die Arbeit mit Docker.