Watchtower؛ به‌روزرسانی خودکار برنامه‌های Docker، با چشم باز

پیش از روشن کردن Watchtower روی سروری که برایتان مهم است، این ریسک‌ها را بشناسید:

مسیر زیر همان کاری است که اسکریپت آزمایشی ما انجام می‌دهد. روی سرور Ubuntu یا Debian که برنامه‌های Docker را اجرا می‌کند، docker.io و curl نصب و سرویس Docker فعال باشد. سپس image مربوط به containrrr/watchtower را با نام watchtower و سیاست restart از نوع unless-stopped اجرا کنید و سوکت /var/run/docker.sock را به آن بدهید.

اسکریپت ما این متغیرها را تنظیم می‌کند: TZ برابر Asia/Tehran‏، WATCHTOWER_POLL_INTERVAL برابر ۳۶۰۰ یعنی بررسی ساعتی، WATCHTOWER_CLEANUP برابر true برای پاک کردن image قدیمی، WATCHTOWER_INCLUDE_RESTARTING برابر true تا برنامه‌های در حال راه‌اندازی دوباره هم بررسی شوند، و WATCHTOWER_LABEL_ENABLE برابر false. مقدار آخر یعنی همهٔ برنامه‌های Docker سرور، بدون استثنا، به‌روز می‌شوند.

Watchtower پورتی باز نمی‌کند و قانون فایروال لازم ندارد. پس از اجرا، با فرمان docker logs -f watchtower خروجی را ببینید؛ باید فهرست برنامه‌های پیداشده و زمان بررسی بعدی را نشان دهد.

امن‌ترین الگو ترکیب سه کار است. اول، WATCHTOWER_LABEL_ENABLE را true بگذارید و فقط به برنامه‌های کم‌خطر، مثل داشبورد یا ابزار پایش، برچسب com.centurylinklabs.watchtower.enable برابر true بدهید. دوم، برنامه‌های حساس و به‌ویژه دیتابیس‌ها را با برچسب نسخهٔ مشخص اجرا کنید، مثل postgres:16-alpine به‌جای latest؛ در این حالت Watchtower فقط نسخه‌های اصلاحی همان شاخه را می‌گیرد.

سوم، یک نمونهٔ دوم Watchtower در حالت WATCHTOWER_MONITOR_ONLY اجرا کنید یا کل Watchtower را در همین حالت نگه دارید تا برای برنامه‌های حساس فقط اعلان بفرستد. این‌طور از نسخهٔ تازه باخبر می‌شوید، یادداشت انتشار را می‌خوانید، بکاپ می‌گیرید و خودتان به‌روزرسانی را اجرا می‌کنید. پاک‌سازی image قدیمی را هم خاموش کنید تا در صورت مشکل، image قبلی روی دیسک بماند.

Watchtower رایگان است و منابع ناچیزی می‌گیرد؛ نصب هم هزینه‌ای ندارد. آن را روی همان سرور ابری اجرا می‌کنید که برنامه‌های Docker شما را میزبانی می‌کند، پس پلن را بر اساس آن برنامه‌ها انتخاب کنید. برای چند برنامهٔ سبک mini کافی است و برای برنامه‌هایی با دیتابیس، standard یا بالاتر.

یک نکتهٔ کمتر دیده‌شده: Watchtower با پاک‌سازی image قدیمی دیسک را مرتب نگه می‌دارد. اگر پاک‌سازی را برای امکان بازگشت خاموش کنید، image‌های قدیمی جمع می‌شوند و باید گاهی با docker image prune دستی پاکشان کنید. هر دریافت image هم از سهمیهٔ ترافیک ماهانهٔ سرور مصرف می‌کند.

سه روش رایج برای به‌روز نگه داشتن برنامه‌های Docker، با مزایا و ریسک‌های متفاوت:

Watchtower برای کارش به /var/run/docker.sock نیاز دارد و هر برنامه‌ای که به این سوکت دسترسی دارد، عملاً root سرور است. پس فقط image رسمی Watchtower را اجرا کنید و آن را از رجیستری‌های ناشناس نگیرید. اگر حالت HTTP API آن را برای راه‌اندازی به‌روزرسانی از بیرون فعال می‌کنید، توکن قوی بگذارید و پورتش را در فایروال شبکه فقط برای IP‌های مشخص باز کنید.

ریسک دوم زنجیرهٔ تأمین است. Watchtower هر چیزی را که با همان برچسب در رجیستری منتشر شود اجرا می‌کند. برنامه‌هایی را خودکار به‌روز کنید که ناشر معتبر و فعالی دارند. اگر دسترسی سرور به رجیستری قطع یا محدود باشد، Watchtower به‌روزرسانی نمی‌کند و خطا را در لاگ می‌نویسد؛ برنامه‌ها با نسخهٔ فعلی به کار ادامه می‌دهند.

Watchtower خودش دادهٔ ماندگاری ندارد؛ چیزی که باید محافظت شود، پوشه‌های دادهٔ برنامه‌هایی است که به‌روز می‌کند. اگر به‌روزرسانی خودکار فعال است، بکاپ منظم پوشه‌های داده و خروجی دیتابیس‌ها ضروری است، چون تنها راه بازگشت از به‌روزرسانی‌ای که ساختار داده را تغییر داده، بکاپ پیش از آن است.

از تب بکاپ پنل هر وقت خواستید بکاپ کامل سرور بسازید؛ پیش از هر به‌روزرسانی دستی مهم این کار را بکنید. بکاپ خودکار زمان‌بندی‌شده برای سرور ابری فعال نیست و فضای بکاپ ساعتی ۲ تومان به ازای هر گیگابایت حساب می‌شود؛ جزئیات در صفحهٔ پشتیبان‌گیری. برای بکاپ نسخه‌دار پوشه‌ها روی سرور دیگر، Restic Server گزینهٔ خوبی است.

نصب یک‌کلیک Watchtower در صفحهٔ سفارش ارائه نمی‌شود و راه‌اندازی دستی است. مهم‌تر از آن، پروژه دیگر فعالانه نگه‌داری نمی‌شود: اصلاح امنیتی تازه‌ای نمی‌گیرد و اگر Docker سرور نسخهٔ API قدیمی آن را نپذیرد، Watchtower در لاگ خطای نسخهٔ API می‌دهد و هیچ برنامه‌ای را به‌روز نمی‌کند. پس از هر نصب، لاگ را بخوانید و اگر خطا دیدید، به به‌روزرسانی دستی برگردید. Watchtower فقط برنامه‌هایی را می‌بیند که با Docker روی همان سرور اجرا می‌شوند؛ بسته‌های سیستم‌عامل، برنامه‌هایی که بدون Docker نصب شده‌اند و خود Docker را به‌روز نمی‌کند. برای بسته‌های سیستم‌عامل، به‌روزرسانی منظم با apt را جداگانه برنامه‌ریزی کنید.

Watchtower فایل‌های docker compose را تغییر نمی‌دهد؛ برنامه را با همان تنظیمات فعلی و image تازه دوباره اجرا می‌کند. اگر نسخهٔ جدید متغیر یا سرویس تازه‌ای لازم داشته باشد، Watchtower آن را اضافه نمی‌کند و باید خودتان فایل compose را به‌روز کنید. وابستگی بین برنامه‌ها، مثل اجرای دیتابیس پیش از برنامه، را هم مدیریت نمی‌کند.