컨테이너화는 어떻게 작동하나요?
컨테이너화는 특정 애플리케이션의 모든 필수 부분을 단일 단위로 가상화하는 방식으로 작동합니다.
내부적으로 이는 컨테이너에 앱에 필요한 모든 바이너리, 라이브러리 및 구성이 포함된다는 것을 의미합니다. 그러나 컨테이너에는 가상화된 하드웨어 또는 커널 리소스가 포함되지 않습니다.
대신, 컨테이너는 리소스를 추상화하는 컨테이너 런타임 플랫폼의 "위에서" 실행됩니다. 컨테이너는 추가 팽창 없이 앱의 기본 구성 요소와 종속성만 포함하기 때문에 가상 머신이나 베어메탈 서버와 같은 대안보다 빠르고 가볍습니다. 또한 다른 환경에서 동일한 앱을 실행하는 것과 관련된 문제를 추상화할 수 있습니다. 기본 컨테이너 엔진을 제공할 수 있는 경우 컨테이너화된 애플리케이션을 실행할 수 있습니다.
컨테이너화 vs 가상화
초보자는 컨테이너화(Docker와 같은 컨테이너화 소프트웨어가 지원하는 것)와 기존 서버 가상화(HyperV 및 VMware ESXi와 같은 하이퍼바이저가 지원하는 것)의 차이로 인해 혼란스러워하기 쉽습니다. 간단히 말해서 차이점은 다음과 같습니다.
서버 가상화는 하드웨어를 추상화하고 운영 체제를 실행하는 것입니다. 컨테이너화는 운영 체제를 추상화하고 앱을 실행하는 것입니다.
둘 다 리소스를 추상화하며, 컨테이너화는 서버 가상화의 또 다른 "업그레이드"일 뿐입니다. 사실 컨테이너화와 서버 가상화는 상호 배타적이지 않습니다. 가상 머신 내에 배포된 컨테이너 엔진 위에서 컨테이너화된 애플리케이션을 실행할 수 있습니다.
컨테이너화의 계층
컨테이너화가 정확히 어떻게 작동하는지 더 잘 이해하기 위해 하드웨어에서 컨테이너화된 애플리케이션에 이르기까지 모든 요소가 어떻게 조화를 이루는지 자세히 살펴보겠습니다.
- 하드웨어 인프라: 모든 애플리케이션에서 모든 것은 어딘가에 있는 물리적 컴퓨팅 리소스에서 시작됩니다. 이러한 리소스가 자체 노트북이든 여러 클라우드 데이터 센터에 분산되어 있든 관계없이 컨테이너가 작동하는 데 반드시 필요합니다.
- 호스트 운영 체제: 하드웨어 계층 위에 있는 다음 계층은 호스트 운영 체제입니다. 하드웨어 계층과 마찬가지로 이는 자신의 컴퓨터에서 실행되는 Windows 또는 *nix 운영 체제만큼 간단하거나 클라우드 서비스 공급자가 완전히 추상화할 수 있습니다.
- 컨테이너 엔진: 여기서부터 흥미로워지기 시작합니다. 컨테이너 엔진은 호스트 운영 체제에서 실행되며 컨테이너화된 애플리케이션의 리소스를 가상화합니다. 이 계층의 가장 간단한 예는 자신의 컴퓨터에서 Docker를 실행하는 것입니다.
- 컨테이너화된 앱: 컨테이너화된 앱은 애플리케이션을 실행하는 데 필요한 모든 라이브러리, 바이너리 및 구성을 포함하는 코드 단위입니다. 컨테이너화된 애플리케이션은 "사용자 공간"(운영 체제의 커널 외부)에서 격리된 프로세스로 실행됩니다.
컨테이너화의 이점
우리가 알고 있는 바에 따르면, 컨테이너화는 앱에 필요한 것만 단일 단위로 묶고 컨테이너 엔진이 있는 모든 곳에서 앱을 실행할 수 있도록 합니다. 이를 염두에 두면 다음과 같은 컨테이너화의 이점을 쉽게 확인할 수 있습니다.
- 이식성: 과거의 전통적인 "개발 대 운영" 과제 중 하나는 특정 앱이 한 환경에서 작동하는 이유였습니다(예: staging) 및 다른 것이 아닙니다(예: 생산). 일반적으로 문제는 두 환경의 차이로 조정되었습니다. 예를 들어 특정 종속성의 다른 버전이 설치되었을 수 있습니다. 컨테이너화는 종속성을 포함하는 동일한 컨테이너 이미지를 모든 곳에서 실행할 수 있기 때문에 이 문제를 해결합니다.
- 속도: 컨테이너는 가상 머신이나 베어메탈 서버에 걸리는 시간보다 훨씬 짧은 시간에 시작하는 경향이 있습니다. 특정 부팅 시간은 리소스와 앱 크기에 따라 다르지만 일반적으로 컨테이너는 몇 초 만에 시작되지만 가상 머신은 몇 분 정도 걸릴 수 있습니다.
- 능률: 컨테이너는 앱을 실행하는 데 필요한 것만 포함하기 때문에 가상 머신보다 훨씬 더 가볍습니다. 컨테이너의 크기는 일반적으로 메가바이트인 반면 가상 머신의 크기는 일반적으로 기가바이트입니다. 결과적으로 컨테이너를 사용하면 팀이 서버 리소스를 보다 효율적으로 사용할 수 있습니다.
- 배포의 단순성: 컨테이너는 휴대가 간편하고 가볍기 때문에 거의 모든 곳에 쉽게 배포할 수 있습니다. 기본 컨테이너 엔진을 실행할 수 있는 경우 컨테이너화된 애플리케이션을 실행할 수 있습니다.
- 확장성: 컨테이너화된 애플리케이션은 빠르게 시작되고, 너무 많은 공간을 차지하지 않으며, 배포하기 쉽습니다. 결과적으로 컨테이너화를 통해 배포를 훨씬 쉽게 확장할 수 있습니다. 이것이 바로 컨테이너가 마이크로서비스와 클라우드 기반 애플리케이션의 초석이 된 이유입니다.
특정 컨테이너화 사용 사례
컨테이너화의 이점을 아는 것도 중요하지만 실제 사용 사례를 이해하면 지식을 실제로 적용할 수 있습니다. 다음은 인기 있는 컨테이너화 사용 사례의 몇 가지 예입니다.
- 마이크로서비스: 마이크로서비스 아키텍처는 소규모이고 독립적이며 느슨하게 결합된 많은 서비스가 함께 작동한다는 아이디어를 중심으로 구축됩니다. 컨테이너는 격리된 코드 단위를 배포하는 좋은 방법이기 때문에 마이크로서비스 배포를 위한 사실상의 표준이 되었습니다.
- CI/CD: CI/CD(지속적인 통합/지속적인 배포)는 신뢰할 수 있는 소프트웨어를 빠르게 테스트하고 배포하는 것입니다. 컨테이너화는 애플리케이션을 이식 가능하고 가벼우며 균일한 코드 단위로 번들링함으로써 컨테이너가 자동화에 적합하고 종속성 문제를 줄이며 리소스 소비를 최소화하기 때문에 더 나은 CI/CD를 가능하게 합니다.
- 레거시 앱 현대화: 많은 팀이 레거시 모놀리식 애플리케이션을 클라우드로 이전하고 있습니다. 그러나 이렇게 하려면 앱이 실제로 클라우드에서 실행되는지 확인해야 합니다. 대부분의 경우 이는 컨테이너화를 활용하여 앱을 어디에나 배포할 수 있도록 하는 것을 의미합니다.
Kubernetes 및 컨테이너
K8s라고도 하는 Kubernetes는 컨테이너 배포를 확장하고 관리하는 데 도움이 되는 인기 있는 도구입니다. Docker 또는 LXC와 같은 컨테이너화 소프트웨어에는 대규모 컨테이너 배포를 오케스트레이션하는 기능이 부족하며 K8s가 그 격차를 메웁니다. 다른 컨테이너 오케스트레이션 도구(예: Apache Mesos 및 Docker Swarm)가 있지만 K8s가 가장 많이 사용됩니다.
물론 "관리"와 "오케스트레이션"은 모호한 용어입니다. 그렇다면 정확히 무엇을 할 수 Kubernetes 있습니까? 한 번 보자.
- 롤아웃 및 롤백: K8s를 사용하면 리소스 사용률에 대한 사전 정의된 규칙에 따라 컨테이너 클러스터에서 새 컨테이너의 생성 및 배포 또는 기존 컨테이너 제거를 자동화할 수 있습니다.
- 스토리지 장착: Kubernetes를 사용하면 컨테이너에 대한 스토리지 리소스를 자동으로 마운트할 수 있습니다.
- 리소스 할당: CPU와 RAM 소비의 균형을 대규모로 조정하는 것은 어려운 작업입니다. K8s를 사용하면 CPU 및 RAM 요구 사항을 정의한 다음 리소스(노드)의 제약 조건 내에서 컨테이너의 최적 배포를 자동으로 처리할 수 있습니다.
- 자가 치유: K8s를 사용하면 상태 확인을 정의할 수 있으며 컨테이너가 요구 사항을 충족하지 않는 경우 자동으로 복원되거나 교체됩니다.
- 구성 관리: K8s는 토큰 및 SSH 키와 같은 민감한 데이터를 포함한 컨테이너 구성을 안전하게 관리하는 데 도움이 됩니다.
- 로드 밸런싱: Kubernetes 는 여러 컨테이너에서 로드 밸런싱 을 자동으로 수행하여 효율적인 성능과 리소스 활용을 가능하게 할 수 있습니다.
컨테이너가 격리되어 있기 때문에 "안전하다"고 생각할 수 있습니다. 불행히도 그렇게 간단하지 않습니다. 컨테이너가 사용자 공간에서 서로 격리되어 있는 것은 사실이지만 잘못된 구성, 취약성 및 악의적인 행위자는 모두 위협이 됩니다. 간단히 말해서 컨테이너 보안은 필수입니다.
애플리케이션을 컨테이너화할 때 고려해야 하는 특정 컨테이너 보안 고려 사항이 많이 있습니다. 예를 들어, 새로운 취약성에 대한 컨테이너 레지스트리의 지속적인 모니터링과 컨테이너 방화벽 활용은 포괄적인 컨테이너 보안의 중요한 측면입니다. 또한 컨테이너 엔진이 실행되는 호스트 운영 체제를 보호하는 것은 필수입니다.
물론 컨테이너화된 애플리케이션을 보호한다는 것은 애플리케이션 보안(appsec) 도 진지하게 받아들여야 한다는 것을 의미합니다. 즉, 환경을 전체적으로 파악하고, 보안 프로필을 생성하고, 위협을 식별하고, 적절한 경우 IAST(Interactive Application Security Testing) 솔루션 및 WAF(Web Application Firewalls)와 같은 도구를 활용해야 합니다.
피드백