Um Dockers Ansatz zur Anwendungsisolation zu verstehen, muss man zunächst wissen, wie virtuelle Maschinen (VMs) funktionieren.

• Virtuelle Maschinen sind softwarebasierte Nachbildungen physischer Computer;
• Jede VM führt ihr eigenes vollständiges Betriebssystem (OS) aus, einschließlich aller erforderlichen Binärdateien, Bibliotheken und Anwendungscode;
• Der Hypervisor (wie VMware ESXi oder Microsoft Hyper-V) sitzt zwischen der Hardware und den VMs;
• Der Hypervisor weist jeder VM Hardware-Ressourcen wie CPU, Arbeitsspeicher und Speicherplatz zu, sodass mehrere VMs auf einem physischen Server laufen können;
• Dieses Design bietet eine starke Isolation zwischen Anwendungen und ermöglicht es, verschiedene Betriebssysteme und Software-Stacks auf derselben Hardware auszuführen;
• Allerdings sind VMs ressourcenintensiv, da jede ein vollständiges Betriebssystem benötigt, was zu höherem Speicher- und Festplattenverbrauch führt.

Typische Anwendungsfälle für VMs:

• Ausführen von Legacy-Anwendungen, die bestimmte Betriebssysteme erfordern;
• Hosten mehrerer Betriebssysteme auf derselben Hardware;
• Bereitstellung starker Sicherheitsgrenzen in Unternehmensumgebungen.

Container: Leichtgewichtige Isolation und gemeinsamer OS-Kernel

Container verfolgen einen anderen Ansatz zur Anwendungsisolation:

• Keine vollständige Maschinenemulation: Anstatt ganze Maschinen zu emulieren, bündeln Container eine Anwendung mit ihren Abhängigkeiten;
• Gemeinsam genutzter Betriebssystem-Kernel: Container teilen sich den OS-Kernel des Hostsystems, was den Ressourcenbedarf reduziert;
• Prozessisolation: Jeder Container läuft als isolierter Prozess im Userspace und nutzt Betriebssystemfunktionen wie namespaces und control groups zur Trennung;
• Minimaler Ressourcenverbrauch: Container benötigen kein vollständiges Betriebssystem pro Instanz und sind daher deutlich ressourcenschonender als virtuelle Maschinen;
• Schneller Start und hohe Dichte: Container starten nahezu sofort, verbrauchen weniger Speicher und Festplattenspeicher und ermöglichen es, Tausende Instanzen auf derselben Hardware auszuführen, auf der nur wenige VMs Platz hätten;
• Ideal für moderne Workflows: Diese leichtgewichtige Isolation eignet sich perfekt für Microservices, Continuous Integration/Continuous Deployment (CI/CD)-Pipelines und Umgebungen, die schnelle Skalierung und hohe Portabilität erfordern;
• Konsistenz über Umgebungen hinweg: Durch die gemeinsame Nutzung des OS-Kernels erleichtern Container die Konsistenz zwischen Entwicklungs-, Test- und Produktionsumgebungen.

Container vs. virtuelle Maschinen: Direktvergleich

Der Vergleich von Containern und virtuellen Maschinen (VMs) nebeneinander verdeutlicht ihre wichtigsten Unterschiede und Stärken:

Performance

• Container vermeiden den Overhead durch mehrere Betriebssysteme;
• Container bieten schnellere Startzeiten und geringeren Ressourcenverbrauch;
• VMs benötigen für jede Instanz ein vollständiges Betriebssystem, was zu höherem Ressourcenbedarf führt.

Portabilität

• Container sind besonders portabel; Container-Images lassen sich einfach zwischen Umgebungen verschieben;
• Anwendungen in Containern verhalten sich überall gleich;
• VMs sind weniger portabel, da sie auf bestimmte Hypervisoren und größere Images angewiesen sind.

Skalierbarkeit

• Container ermöglichen es, deutlich mehr Instanzen auf derselben Hardware auszuführen;
• Container skalieren Anwendungen schnell nach Bedarf hoch oder herunter;
• VMs sind für schnelle Skalierung weniger effizient.

Isolation und Sicherheit

• VMs bieten stärkere Isolation und werden bevorzugt eingesetzt, wenn verschiedene Betriebssysteme oder Anwendungen mit hohen Sicherheitsanforderungen ausgeführt werden sollen;
• Container bieten leichtgewichtige Isolation, die für die meisten modernen Anwendungsszenarien ausreichend ist.

Das Verständnis dieser Unterschiede hilft dabei, das passende Werkzeug für die eigenen Anforderungen beim Arbeiten mit Docker auszuwählen.