buenas prácticas para las variables de entorno<\/a>: guarda los valores confidenciales fuera del código de la aplicación, restringe el acceso a las credenciales y evita que los secretos se escriban en los registros.<\/p>En los despliegues a gran escala se suelen utilizar plataformas externas de gestión de secretos para centralizar el almacenamiento de credenciales, el control de acceso, la auditoría y la rotación.<\/p>
Para evitar que se revelen datos confidenciales, no basta con elegir el método de almacenamiento adecuado. Limita el acceso a los valores confidenciales, evita registrar las credenciales, revisa las imágenes por si se han incluido datos confidenciales por error y renueva las credenciales con regularidad.<\/p>
9. Limita las capacidades y los recursos de los contenedores<\/h2> Los contenedores solo deben tener los permisos necesarios para cumplir su función, así que limita sus capacidades y recursos siguiendo el principio de mínimo privilegio.<\/p>
Los privilegios innecesarios aumentan el impacto de una intrusión, ya que permiten a los atacantes acceder a más recursos y funcionalidades del sistema de los que la aplicación realmente necesita.<\/p>
Evita ejecutar contenedores como root siempre que sea posible y limita el acceso a las partes sensibles del host.<\/p>
Los espacios de nombres de usuario asignan los usuarios de los contenedores a cuentas con menos privilegios en el host, lo que reduce el riesgo de escape del contenedor y de escalada de privilegios.<\/p>
Los sistemas de archivos de solo lectura ofrecen otra capa de protección, ya que impiden que las aplicaciones y los atacantes modifiquen los archivos que deben permanecer inalterados durante el funcionamiento normal.<\/p>
Elimina las capacidades que la aplicación no necesite. Muchos contenedores no necesitan privilegios elevados de red, de administración del sistema ni relacionados con el kernel, aunque esas capacidades pueden estar disponibles por defecto.<\/p>
Limitar las capacidades reduce el número de acciones que puede realizar un contenedor comprometido y ayuda a minimizar la superficie de ataque global.<\/p>
Establece límites explícitos de recursos para evitar que los contenedores consuman más de la parte que les corresponde de CPU y memoria. Sin límites, un solo contenedor puede agotar los recursos del host y afectar a otras cargas de trabajo que se estén ejecutando en el mismo sistema.<\/p>
10. Diseña contenedores sin estado y efímeros<\/h2> Diseña contenedores sin estado y efímeros para poder detenerlos, eliminarlos y volver a crearlos sin perder datos importantes.<\/p>
Un contenedor debería ejecutar el proceso de la aplicación, no servir como lugar de almacenamiento permanente para archivos, bases de datos, sesiones o archivos subidos por los usuarios.<\/p>
Guarda los datos persistentes fuera del contenedor. Los volúmenes de Docker, las bases de datos gestionadas, el almacenamiento de objetos y los servicios externos garantizan que los datos importantes sigan estando disponibles incluso cuando se sustituyan los contenedores durante actualizaciones, fallos u operaciones de escalado.<\/p>
Separar la ejecución de la aplicación del almacenamiento persistente también facilita la gestión de los backups, las migraciones y los procesos de recuperación.<\/p>
Los contenedores sin estado son más fáciles de escalar y orquestar. Las plataformas de orquestación pueden reiniciar los contenedores que fallan, mover cargas de trabajo entre hosts y crear réplicas adicionales sin depender de los datos almacenados dentro de una instancia concreta de contenedor.<\/p>
11. Añade comprobaciones de estado a los servicios de larga duración<\/h2> Añadir comprobaciones de estado a los servicios que se ejecutan durante mucho tiempo permite que Docker y las plataformas de orquestación detecten cuándo un contenedor deja de funcionar correctamente.<\/p>
Que un contenedor esté en ejecución no significa que funcione correctamente. Una aplicación puede dejar de responder a las solicitudes, perder la conexión con la base de datos o entrar en un estado de fallo mientras el proceso del contenedor continúa ejecutándose.<\/p>
La instrucción HEALTHCHECK<\/code> permite a Docker realizar comprobaciones periódicas e informar sobre el estado del contenedor.<\/p>Las comprobaciones de estado permiten verificar que una aplicación responda a las solicitudes HTTP, acepte conexiones o realice otras funciones básicas necesarias para su funcionamiento normal.<\/p>
\n
\n
\n \n <\/svg>\n \n Consejo profesional <\/p>\n <\/div>\n
Ajusta los parámetros --interval<\/code>, --timeout<\/code> y --retries<\/code> en función del tiempo de inicio de la aplicación. Por ejemplo, un servicio que tarda 30 segundos en inicializarse debería usar --start-period=30s<\/code> para evitar falsos errores durante el arranque.<\/p>\n <\/div>\n \n\n\n\n<\/p>Las plataformas de orquestación usan la información sobre el estado de los contenedores para tomar decisiones automáticas de recuperación. Si fallan las comprobaciones de estado, pueden reiniciar los contenedores, sustituir las instancias que no funcionan correctamente o retirar los contenedores del enrutamiento del tráfico.<\/p>
La detección temprana de fallos en las aplicaciones reduce el tiempo de inactividad y ayuda a mantener la disponibilidad del servicio en los entornos de producción.<\/p>
12. Analiza las imágenes en busca de vulnerabilidades con regularidad<\/h2> Analizar las imágenes de los contenedores con regularidad permite detectar vulnerabilidades conocidas antes de que lleguen al entorno de producción.<\/p>
Los escáneres de vulnerabilidades como Trivy, Docker Scout y Snyk comparan los paquetes, las bibliotecas y las dependencias instaladas con bases de datos de seguridad, lo que ayuda a los equipos a detectar software obsoleto y problemas de seguridad conocidos en una fase temprana del proceso de desarrollo.<\/p>
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>Integra el análisis de imágenes en las canalizaciones de CI\/CD para que las comprobaciones de seguridad se ejecuten automáticamente durante las compilaciones y los despliegues.<\/p>
El análisis automático ayuda a detectar vulnerabilidades antes de que las imágenes se publiquen en los registros o se desplieguen en entornos de producción, lo que reduce el riesgo de desplegar versiones poco seguras.<\/p>
Analiza tanto la imagen base como las capas de la aplicación. Una aplicación segura puede seguir heredando vulnerabilidades de una imagen base desactualizada, mientras que una imagen base totalmente actualizada no protege contra las dependencias inseguras de la aplicación.<\/p>
Analizar la imagen completa ofrece una visión más precisa de la seguridad de los contenedores y ayuda a priorizar las medidas correctivas antes del despliegue.<\/p>
13. Supervisa y registra la actividad de los contenedores<\/h2> La supervisión y el registro de la actividad de los contenedores permiten mantener una visión clara del estado, el rendimiento y los fallos de las aplicaciones.<\/p>
Los entornos basados en contenedores son dinámicos por naturaleza, ya que los contenedores se inician, se detienen, se escalan y se sustituyen con frecuencia. Sin una observabilidad fiable, identificar el origen de los problemas de rendimiento o de los fallos de las aplicaciones se vuelve mucho más difícil.<\/p>
Centraliza los registros y recopila métricas de los contenedores, los hosts y los servicios auxiliares. Los registros centralizados facilitan la investigación de errores en aplicaciones distribuidas, mientras que las métricas permiten hacer un seguimiento del uso de recursos, los tiempos de respuesta, el volumen de solicitudes y otros indicadores del estado de las aplicaciones.<\/p>
En conjunto, los registros y las métricas te dan el contexto que necesitas para solucionar problemas e identificar los cuellos de botella en el rendimiento.<\/p>
Usa herramientas de monitorización que se integren bien con los entornos de contenedores. Prometheus y Grafana se usan mucho para recopilar y visualizar métricas, mientras que soluciones como la pila ELK (Elasticsearch, Logstash y Kibana) y Loki ayudan a centralizar y analizar los registros de los contenedores.<\/p>
Recopilar registros y métricas solo sirve de algo si se avisa a las personas adecuadas cuando algo va mal. Configura alertas para las situaciones que indiquen problemas reales: uso elevado y prolongado de la CPU o la memoria, picos en la tasa de errores, comprobaciones de estado fallidas y contenedores que se reinician una y otra vez.<\/p>
Envía las alertas a los canales adecuados, como una plataforma de mensajería, una herramienta de gestión de incidencias o un sistema de turnos de guardia, para que se actúe ante los problemas en lugar de descubrirlos cuando ya se han producido.<\/p>
14. Limpia los recursos de Docker que no uses<\/h2> Limpia con regularidad los recursos de Docker que no uses para recuperar espacio de almacenamiento y mantener organizados los servidores de contenedores.<\/p>
Las imágenes que no se usan, los contenedores detenidos, los volúmenes huérfanos y las redes que no se usan se van acumulando con el tiempo, sobre todo en entornos de desarrollo y sistemas de CI\/CD en los que se crean y se despliegan imágenes con frecuencia.<\/p>
Elimina los recursos que ya no necesites con comandos de limpieza de Docker como docker image prune<\/code>, docker container prune<\/code>, docker volume prune<\/code> y docker system prune<\/code>.<\/p>
\n
\n \n \n <\/svg>\n Warning <\/span>\n \n ¡Advertencia!<\/strong> Al ejecutar docker system prune -a<\/code>, se eliminan todas las imágenes que no se estén utilizando, no solo las imágenes huérfanas. Esto incluye las imágenes que no estén asociadas en ese momento a un contenedor en ejecución y que podrían ser necesarias para futuros despliegues. Comprueba siempre qué se va a eliminar antes de ejecutar este comando en entornos compartidos o de producción. <\/p>\n <\/div>\n\n \n\n\n\n<\/p>Los scripts de limpieza automáticos y las tareas de mantenimiento programadas ayudan a evitar la acumulación de recursos en los servidores que llevan mucho tiempo en funcionamiento sin que haga falta intervenir manualmente.<\/p>
El consumo de almacenamiento afecta a más aspectos que el uso del disco. Una gran cantidad de recursos sin usar complica la gestión de los entornos, aumenta el tamaño de los backups y ocupa espacio que podrían aprovechar las cargas de trabajo activas.<\/p>
15. Prueba los contenedores antes del despliegue<\/h2> Probar los contenedores antes del despliegue te permite asegurarte de que la imagen funciona igual que lo hará en producción.<\/p>
Que la compilación se complete correctamente solo demuestra que Docker ha creado una imagen. No significa que la aplicación se inicie correctamente, se conecte a los servicios necesarios, gestione el tráfico o cumpla los requisitos de seguridad.<\/p>
Incorpora pruebas de contenedores al flujo de trabajo de desarrollo. Las pruebas unitarias validan la lógica de la aplicación, las pruebas de integración verifican las conexiones entre servicios dentro de los contenedores y los análisis de seguridad comprueban si las imágenes tienen vulnerabilidades conocidas antes del lanzamiento.<\/p>
Las pruebas de rendimiento también ayudan a detectar tiempos de arranque lentos, límites de recursos y problemas de ejecución que solo se producen en el entorno de contenedores.<\/p>
Automatiza las pruebas de contenedores siempre que puedas. Las herramientas de CI\/CD, como GitHub Actions, GitLab CI\/CD, Jenkins y CircleCI, pueden crear imágenes, ejecutar pruebas, buscar vulnerabilidades y bloquear el despliegue cuando fallan las comprobaciones.<\/p>
Las pruebas automatizadas reducen el riesgo de desplegar contenedores defectuosos o poco seguros en el entorno de producción.<\/p>
Elige una plataforma de orquestación de contenedores en función de la complejidad de tu entorno, tus requisitos de escalabilidad, tus recursos operativos y tus necesidades de integración.<\/p>
La elección adecuada no depende tanto de la lista de funciones como de la infraestructura que tengas que gestionar.<\/p>
Empieza por evaluar el volumen y la complejidad de la carga de trabajo<\/strong>. Las aplicaciones que ejecutan un número reducido de contenedores suelen necesitar menos funciones de orquestación que los grandes sistemas distribuidos con decenas o cientos de servicios.<\/p>Gestionar una plataforma más potente de lo que requiere la carga de trabajo añade complejidad operativa sin aportar beneficios significativos.<\/p>
A continuación, piensa en el nivel de automatización que necesitas<\/strong>. Kubernetes ofrece funciones avanzadas como el escalado automático, la autorreparación, el descubrimiento de servicios y los despliegues progresivos.<\/p>Esas funciones son muy útiles en entornos de producción a gran escala, pero también aumentan la complejidad de la configuración, el mantenimiento y la gestión.<\/p>
Docker Swarm y HashiCorp Nomad ofrecen alternativas más sencillas. Docker Swarm se integra estrechamente con Docker y requiere gestionar menos componentes que Kubernetes.<\/p>
Nomad admite tanto cargas de trabajo en contenedores como cargas de trabajo sin contenedores y se integra bien con herramientas como Consul y Vault.<\/p>
Ambas plataformas son más fáciles de gestionar cuando no se necesitan funciones avanzadas de orquestación.<\/p>
Ten en cuenta el respaldo de la comunidad y la madurez del ecosistema antes de tomar una decisión definitiva<\/strong>. Kubernetes cuenta con el ecosistema más amplio, ofrece compatibilidad con más herramientas y dispone de la documentación más completa.<\/p>Las plataformas más pequeñas pueden ser más fáciles de gestionar, pero ofrecen menos integraciones con servicios de terceros y menos recursos de formación.<\/p>
La plataforma de orquestación es solo una parte de la estrategia de despliegue. Contar con una infraestructura fiable es igual de importante para ejecutar cargas de trabajo en contenedores.<\/p>
El Hosting VPS con Docker de Hostinger<\/a> ofrece recursos dedicados de CPU, RAM y almacenamiento, además de un Administrador de Docker integrado, backups automáticos y herramientas de administración de servidores asistidas por IA que simplifican el despliegue y la gestión de contenedores.<\/p>Las buenas prácticas de Docker son pautas para crear, ejecutar y mantener contenedores de forma segura y eficiente. Docker empaqueta las aplicaciones y sus dependencias en contenedores portátiles que funcionan de forma uniforme en distintos entornos. Esta uniformidad simplifica el desarrollo y el despliegue, pero para que la contenedorización sea fiable no basta con empaquetar […]<\/p>\n
Read More…<\/a><\/p>\n","protected":false},"author":190,"featured_media":47767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"rank_math_title":"Buenas pr\u00e1cticas de Docker para optimizar tus contenedores","rank_math_description":"Descubre buenas pr\u00e1cticas de Docker para crear contenedores seguros y eficientes, optimizar im\u00e1genes, gestionar secretos y mejorar tus despliegues.","rank_math_focus_keyword":"buenas pr\u00e1cticas de Docker","footnotes":""},"categories":[14501],"tags":[],"class_list":["post-47766","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-vps"],"hreflangs":[{"locale":"es-ES","link":"https:\/\/www.hostinger.com\/es\/tutoriales\/buenas-practicas-docker","default":1},{"locale":"es-AR","link":"https:\/\/www.hostinger.com\/ar\/tutoriales\/buenas-practicas-docker","default":0},{"locale":"es-MX","link":"https:\/\/www.hostinger.com\/mx\/tutoriales\/buenas-practicas-docker","default":0},{"locale":"es-CO","link":"https:\/\/www.hostinger.com\/co\/tutoriales\/buenas-practicas-docker","default":0}],"acf":[],"_links":{"self":[{"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/posts\/47766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/users\/190"}],"replies":[{"embeddable":true,"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/comments?post=47766"}],"version-history":[{"count":0,"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/posts\/47766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/media\/47767"}],"wp:attachment":[{"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/media?parent=47766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/categories?post=47766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.hostinger.com\/co\/tutoriales\/wp-json\/wp\/v2\/tags?post=47766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}