Portainer؛ مدیریت Docker از مرورگر، بدون حفظ کردن فرمان‌ها

کارهایی که بیشتر تیم‌ها از روز اول با Portainer انجام می‌دهند:

Portainer در فهرست اپلیکیشن‌های سفارش سرور ابری فعال است. در گام دوم سفارش، تب اپلیکیشن‌ها را باز کنید و Portainer را بزنید؛ Ubuntu 22.04 خودکار انتخاب می‌شود و هر پلنی با دست‌کم ۵۱۲ مگابایت حافظه، از mini به بالا، مناسب است. نصب هزینهٔ جداگانه ندارد. پس از بالا آمدن سرور، اسکریپت نصب بستهٔ docker.io را نصب و سرویس Docker را فعال می‌کند، volume به نام portainer_data را می‌سازد و ایمیج portainer/portainer-ce را با گزینهٔ restart always اجرا می‌کند.

سوکت /var/run/docker.sock به Portainer داده می‌شود تا Docker همین سرور را مدیریت کند و volume داده روی مسیر /data قرار می‌گیرد. سه پورت منتشر می‌شود: ۹۴۴۳ برای پنل HTTPS با گواهی خودامضا، ۹۰۰۰ برای پنل http و ۸۰۰۰ برای تونل Edge Agent؛ قوانین فایروال همین سه پورت خودکار روی سرور اعمال می‌شوند. آدرس هر دو پنل با IP واقعی سرور در تب اپلیکیشن صفحهٔ سرور نوشته می‌شود.

مهم‌ترین نکته: نصب خودکار حساب مدیر نمی‌سازد و هر کسی که اول آدرس پنل را باز کند، مدیر می‌شود. پس به محض آماده شدن سرور، آدرس https را از تب اپلیکیشن باز کنید و حساب مدیر را با رمز قوی بسازید. مرورگر به خاطر گواهی خودامضا هشدار می‌دهد که در این مرحله طبیعی است. Portainer اگر ظرف حدود پنج دقیقه مدیر نسازد، راه‌اندازی را قفل می‌کند؛ در آن صورت با docker restart portainer یک فرصت تازه بگیرید. برای احتیاط بیشتر می‌توانید پیش از ساخت مدیر، در تب فایروال پورت‌های پنل را فقط برای IP خودتان باز بگذارید.

اگر روزی بخواهید Portainer را از نو نصب کنید یا نصب را دستی بررسی کنید، همان مراحل بالا با فرمان‌های docker volume create و docker run قابل تکرار است؛ docker ps باید کانتینری به نام portainer را در حال اجرا نشان دهد.

Portainer Community رایگان است و خودش فقط حدود چند ده مگابایت حافظه می‌گیرد؛ بنابراین اندازهٔ سرور را سرویس‌هایی تعیین می‌کنند که با Portainer اجرا می‌کنید، نه خود Portainer. برای یادگیری Docker یا چند سرویس سبک مثل یک وب‌سایت استاتیک و یک ابزار پایش، پلن mini کافی است.

اگر stack‌هایتان پایگاه داده، صف پیام یا برنامهٔ Java و Node دارند، standard یا plus انتخاب درست‌تری است. ایمیج‌های Docker هم فضای دیسک می‌گیرند و با هر به‌روزرسانی نسخهٔ قبلی باقی می‌ماند؛ پاک‌سازی دوره‌ای ایمیج‌های بی‌استفاده از بخش Images در Portainer جلوی پر شدن دیسک را می‌گیرد. برای جمع هزینهٔ چند سرور از ماشین‌حساب هزینه استفاده کنید.

ابزار درست به اندازهٔ تیم و نوع کار بستگی دارد:

وقتی سرویس‌ها از یک سرور بیرون می‌زنند، Portainer همچنان یک پنل واحد می‌ماند. روی هر سرور اضافه Portainer Agent را اجرا می‌کنید و آن را به‌عنوان environment تازه به پنل اصلی معرفی می‌کنید. برای کلاستر Swarm‏، agent به‌صورت سرویس global روی همهٔ نودها اجرا می‌شود و Portainer سرویس‌ها، replica‌ها و secret‌های کلاستر را نشان می‌دهد.

ایران‌کلاد کلاستر آمادهٔ Docker Swarm و K3s هم ارائه می‌کند. اگر کلاستر Kubernetes سبک دارید، Portainer با نصب agent روی آن، namespace‌ها و برنامه‌ها را در رابط ساده‌تری از داشبورد رسمی نشان می‌دهد. Portainer را می‌توانید روی یک سرور کوچک جدا نگه دارید تا اگر کلاستر دچار مشکل شد، پنل مدیریت از دست نرود.

مهم‌ترین نکتهٔ امنیتی Portainer این است که هر کاربر مدیر آن عملاً root سرور است؛ چون می‌تواند کانتینری بسازد که کل فایل‌سیستم سرور را mount کند. پس رمز مدیر را طولانی و یکتا بگذارید، برای اعضای تیم کاربر جدا با دسترسی محدود بسازید و پورت‌های پنل را به همهٔ اینترنت باز نگذارید. در تب فایروال سرور یا فایروال شبکه پورت ۹۴۴۳ را فقط برای IP دفتر یا VPN باز کنید.

اسکریپت ما پورت‌های ۹۰۰۰ و ۸۰۰۰ را هم باز می‌کند. پنل http روی ۹۰۰۰ رمز را بدون رمزگذاری می‌فرستد؛ اگر از آن برای اتصال nginx محلی استفاده نمی‌کنید، قانونش را حذف کنید. پورت ۸۰۰۰ فقط برای Edge Agent لازم است و در غیر این صورت باید بسته باشد. برای دسترسی با دامنه، nginx روی پورت ۸۰ را به 127.0.0.1:9000 وصل کنید، هدرهای WebSocket را برای کنسول عبور دهید و دامنه را پشت پروکسی لبه بگذارید؛ پروکسی لبه فقط به پورت ۸۰ سرور وصل می‌شود.

دادهٔ خود Portainer، یعنی کاربران، environmentها، تعریف stack‌ها و تنظیمات، در volume به نام portainer_data است. Portainer Community امکان گرفتن خروجی پیکربندی از بخش تنظیمات را هم دارد که فایل کوچکی است و برای بازگردانی روی نصب تازه کافی است. اما یادتان باشد این بکاپ دادهٔ سرویس‌های شما را شامل نمی‌شود.

دادهٔ واقعی در volume‌های سرویس‌هاست: پایگاه داده‌ها، فایل‌های آپلودی و پیکربندی‌ها. برای هر سرویس مهم روش بکاپ خودش را داشته باشید، مثلاً dump پایگاه داده. بکاپ کامل سرور را هم هر وقت خواستید از تب بکاپ پنل بسازید؛ این بکاپ دستی است و فضای آن ساعتی ۲ تومان به ازای هر گیگابایت حساب می‌شود. جزئیات در صفحهٔ پشتیبان‌گیری.

نصب خودکار حساب مدیر نمی‌سازد و تا وقتی خودتان آن را نساخته‌اید، پنل برای هر کسی که آدرس را پیدا کند باز است؛ این کار را در همان دقایق اول انجام دهید. پنل پیش‌فرض با گواهی خودامضا باز می‌شود و برای گواهی معتبر باید دامنه و پروکسی تنظیم کنید. سرور تک‌نودی است و اگر خاموش شود، Portainer و سرویس‌های روی آن با هم از دسترس خارج می‌شوند.

از سمت Portainer: برخی امکانات پیشرفته فقط در Business Edition هستند و نسخهٔ Community برای کنترل دسترسی بسیار دقیق در سازمان‌های بزرگ کافی نیست. برچسب latest یعنی هر بار ایمیج دریافت شود ممکن است نسخهٔ اصلی عوض شود؛ اگر ثبات می‌خواهید، نسخهٔ مشخص را در فرمان اجرا بنویسید و یادداشت‌های انتشار را پیش از ارتقا بخوانید.