Docker - Déployer des conteneurs

Objectif : Comprendre le fonctionnement interne du moteur Docker et optimiser le stockage d'images.

• Architecture interne de Docker : de la CLI à containerd et runc (conformité OCI).
• Analyse approfondie des calques d'images (Image Layers) et du système de fichiers Union File System (Overlay2).
• Drivers de stockage : performances, mécanismes Copy-on-Write (CoW) et gestion du nettoyage du cache de build.

Atelier pratique : Inspection approfondie des calques d'une image avec docker history et dive pour identifier les fichiers superflus.

Cas métier : Diagnostic de la saturation d'un disque de serveur de build - Nettoyage et optimisation des drivers de stockage.

Compétence acquise : Analyser et optimiser l'architecture interne des images et du stockage Docker.

Livrable : Le guide d'optimisation des calques et du stockage Docker.

Objectif : Écrire des fichiers Dockerfile de qualité de production, minimaux et sécurisés.

• Techniques de builds multi-stages (Multi-stage builds) : séparation de l'environnement de compilation et d'exécution.
• Réduction de la taille des images : utilisation d'images de base minimales (Alpine, Scratch, Distroless).
• Hardening des conteneurs : exécution en tant qu'utilisateur non-privilégié (USER), suppression des outils inutiles.

Atelier pratique : Réécriture d'un Dockerfile Java/Go lourd (800 Mo) en un build multi-stage minimal de moins de 25 Mo sans utilisateur root.

Cas métier : Mise en conformité sécurité des conteneurs d'une banque - Suppression des privilèges root dans les images.

Compétence acquise : Concevoir des images Docker de qualité de production ultra-légères et sécurisées.

Livrable : Le modèle de Dockerfile d'entreprise sécurisé.

Objectif : Concevoir et administrer les architectures réseau virtuelles Docker.

• Les drivers réseau Docker : Bridge (par défaut et personnalisé), Host, None, Overlay et Macvlan.
• Résolution DNS interne entre conteneurs et isolation des réseaux d'application.
• Publication de ports, gestion du NAT et intégration avec les pare-feux de l'hôte (iptables).

Atelier pratique : Création de réseaux Bridge personnalisés isolant le trafic réseau de la base de données du trafic Web.

Cas métier : Attribution d'adresses IP réelles d'entreprise à des conteneurs - Configuration du driver réseau Macvlan.

Compétence acquise : Configurer et isoler les architectures réseau Docker d'entreprise.

Livrable : Le schéma des topologies réseau Docker d'entreprise.

Objectif : Rédiger des manifestes Compose pour la production et sécuriser la transmission des secrets.

• Utilisation avancée de Docker Compose : fichiers de surcharge (Override files), profils de services et extensions.
• Gestion des contrôles de santé applicatifs (Healthchecks) pour le redémarrage automatique des conteneurs défaillants.
• Gestion des secrets et configurations : utilisation de secrets et configs sous Compose et Docker Swarm.

Atelier pratique : Déploiement d'une stack Compose de production avec Healthchecks, redémarrage automatique et transmission sécurisée des secrets.

Cas métier : Déploiement d'une application e-commerce multi-services - Configuration du redémarrage automatique et des sondes.

Compétence acquise : Déployer et superviser une stack Compose robuste en environnement de production.

Livrable : Le fichier docker-compose.prod.yml de production.

Objectif : Auditer et renforcer la sécurité des conteneurs conformément aux recommandations de l'ANSSI.

• Analyse des vulnérabilités des images : utilisation des outils de scan automatisés (Trivy, Grype, Docker Scout).
• Recommandations de sécurité de l'ANSSI sur la conteneurisation.
• Isolation et restriction des capacités du noyau Linux (Capabilities, AppArmor, Seccomp, Read-Only Root Filesystem).

Atelier pratique : Scan de vulnérabilités d'une image de production, élimination des failles CVE et restriction des capacités Linux du conteneur.

Cas métier : Audit de sécurité d'un parc de 100 conteneurs - Correction des failles critiques et blocage du montage en écriture du système de fichiers.

Compétence acquise : Sécuriser et durcir l'exécution des conteneurs Docker selon les standards ANSSI.

Livrable : Le rapport de scan de vulnérabilités et le guide de hardening Docker ANSSI.

Objectif : Automatiser le build d'images dans un pipeline CI/CD et administrer un registre d'entreprise.

• Intégration de Docker dans les pipelines CI/CD (GitLab CI, GitHub Actions) : Docker-in-Docker (DinD) vs Kaniko.
• Déploiement et administration d'un registre d'images privé sécurisé (Harbor / Nexus).
• Gestion de la rétention des images, signature d'images avec Cosign/Notary et bilan de la formation.

Atelier pratique : Création d'un pipeline CI/CD complète automatisant le build, le scan Trivy et le push d'une image signée vers un registre d'entreprise.

Cas métier : Industrialisation de la chaîne de livraison d'une équipe de développement - Pipeline CI/CD sécurisée.

Compétence acquise : Automatiser la chaîne de build, de scan et de publication d'images Docker en CI/CD.

Livrable : Le script de pipeline CI/CD DevSecOps Docker.