Dienste mit Containern bereitstellen

Statt jede Anwendung von Hand auf einem Server zu installieren, betreibst du sie als Container mit klar definierter Konfiguration. Du richtest einen Docker-Host ein, startest fertige Dienste mit Docker Compose, machst sie über einen Reverse Proxy mit HTTPS erreichbar und sorgst dafür, dass Daten gesichert und wiederherstellbar sind. Du lernst, Updates kontrolliert einzuspielen, Ressourcen zu begrenzen und Probleme anhand von Logs zu finden. Zum Schluss schaust du, wie Kubernetes dieselben Ideen im grösseren Massstab umsetzt.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Einen Linux-Server als sicheren Container-Host einrichten

   Kompetenz A

   Du installierst Docker Engine aus dem offiziellen Repository, legst eine sinnvolle Ordnerstruktur für Stacks an und beschränkst den Zugriff. Wer in der Gruppe 'docker' ist, hat faktisch Root-Rechte, das berücksichtigst du bei der Benutzerverwaltung.

   Situation

   Ein Architekturbüro in St. Gallen stellt eine VM mit Ubuntu Server 24.04, 4 vCPU und 8 GB RAM für interne Dienste bereit.

   Deine Aufgabe

   Mach die VM bereit für den Containerbetrieb.

   Gutes Ergebnis

   Docker Engine und Compose-Plugin installiert, SSH nur mit Schlüssel, UFW lässt nur 22, 80 und 443 zu. Alle Stacks liegen unter /opt/stacks/<dienst> mit je einer compose.yaml und .env. Nur der Admin-Account ist in der Gruppe 'docker'.

   Docker EngineDocker-GruppeHost-FirewallVerzeichnisstrukturSSH-Härtung
2. 2

   Einen fertigen Dienst mit Docker Compose bereitstellen und konfigurieren

   Kompetenz B

   Du liest die Dokumentation eines offiziellen Images, übernimmst nur die nötigen Einstellungen und schreibst daraus eine eigene compose.yaml. Dazu gehören eine feste Image-Version, Umgebungsvariablen, Volumes und ein Neustartverhalten.

   Situation

   Das Büro will ein internes Wiki statt verstreuter Word-Dokumente.

   Deine Aufgabe

   Stelle Wiki.js mit PostgreSQL als Container-Stack bereit.

   Gutes Ergebnis

   Zwei Dienste mit fixen Versionen (z.B. 'requarks/wiki:2.5' und 'postgres:16'), 'restart: unless-stopped', Datenbank nur im internen Netzwerk, Daten in benannten Volumes. Das Wiki ist nach 'docker compose up -d' in unter einer Minute bereit.

   Image-Version pinnenrestart policyUmgebungsvariablebenanntes Volumeinternes Netzwerk
3. 3

   Dienste über einen Reverse Proxy mit HTTPS erreichbar machen

   Kompetenz C

   Statt für jeden Dienst einen eigenen Port zu öffnen, leitet ein Reverse Proxy Anfragen anhand des Hostnamens an den richtigen Container weiter und kümmert sich automatisch um TLS-Zertifikate.

   Situation

   Wiki, Uptime Kuma und Vaultwarden sollen unter eigenen Subdomains wie wiki.buero-muster.ch erreichbar sein.

   Deine Aufgabe

   Richte Traefik oder Caddy als zentralen Einstiegspunkt ein.

   Gutes Ergebnis

   Nur der Proxy veröffentlicht die Ports 80 und 443. Die Dienste hängen in einem gemeinsamen 'proxy'-Netzwerk, Zertifikate kommen automatisch von Let's Encrypt, HTTP wird auf HTTPS umgeleitet. SSL Labs bewertet die Konfiguration mit A.

   Reverse Proxyvirtueller HostTLS / Let's EncryptDNS A-RecordHTTP-Redirect
4. 4

   Containerdaten sichern und eine Wiederherstellung testen

   Kompetenz D

   Container sind ersetzbar, Volumes nicht. Du sicherst Datenbanken mit einem Dump statt die laufenden Dateien zu kopieren, sicherst die Konfiguration mit und beweist mit einem Restore-Test, dass die Sicherung brauchbar ist.

   Situation

   Die Geschäftsleitung fragt: 'Was passiert, wenn der Server morgen kaputt ist?'

   Deine Aufgabe

   Erstelle ein Backup-Konzept für den Wiki-Stack und teste die Wiederherstellung.

   Gutes Ergebnis

   Ein nächtlicher Cronjob macht 'pg_dump' über 'docker compose exec', sichert Dump, compose.yaml und .env verschlüsselt mit restic auf einen externen S3-Speicher in der Schweiz (14 Tages-, 8 Wochenstände). Ein Restore auf einer leeren Test-VM dauert 12 Minuten und ist dokumentiert.

   Datenbank-DumpVolume-Backup3-2-1-RegelRestore-TestRPO / RTO
5. 5

   Updates kontrolliert einspielen und Dienste überwachen

   Kompetenz E

   Du aktualisierst Images bewusst statt automatisch, liest vorher die Release Notes und kannst bei Problemen auf die alte Version zurück. Mit Ressourcenlimits, Healthchecks und zentralen Logs merkst du früh, wenn ein Dienst Probleme hat.

   Situation

   Für Vaultwarden ist eine Sicherheitslücke bekannt geworden, und ein Container braucht plötzlich 3 GB RAM.

   Deine Aufgabe

   Spiele das Update ein und begrenze den Speicherverbrauch.

   Gutes Ergebnis

   Backup erstellt, Tag in der compose.yaml von 1.31 auf 1.32 erhöht, 'docker compose pull' und 'up -d', Funktion getestet. Speicherlimit auf 512 MB gesetzt, Uptime Kuma prüft jede Minute die Erreichbarkeit und meldet Ausfälle in einen Teams-Kanal.

   Release NotesRollbackHealthcheckRessourcenlimitdocker logs / stats
6. 6

   Die Grundideen von Kubernetes an einem kleinen Beispiel nachvollziehen

   Kompetenz F

   Du verstehst, wann Docker Compose an Grenzen stösst und was ein Orchestrator zusätzlich bietet: mehrere Hosts, Selbstheilung, rollende Updates. Du deployst einen einfachen Dienst in einem lokalen Cluster und erkennst die Begriffe Pod, Deployment und Service.

   Situation

   Ein Kunde fragt, ob er für seine drei internen Dienste Kubernetes braucht.

   Deine Aufgabe

   Teste ein Deployment in k3s und schreibe eine Empfehlung.

   Gutes Ergebnis

   nginx als Deployment mit 2 Replikas und einem Service in k3s. Beim Löschen eines Pods startet Kubernetes automatisch einen neuen. Empfehlung an den Kunden: Für drei Dienste auf einem Host ist Compose einfacher und günstiger, Kubernetes lohnt sich erst bei mehreren Hosts und Teams.

   OrchestrierungPodDeploymentServiceReplikakubectl

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Luca ist im 2. Lehrjahr als Informatiker Plattformentwicklung bei der Bergsicht Informatik GmbH in Chur, 25 Mitarbeitende. Das interne Wiki läuft auf einer alten VM mit einer PHP-Installation von Hand, die seit zwei Jahren niemand mehr aktualisiert hat. Seine Berufsbildnerin gibt ihm den Auftrag, das Wiki und eine Statusseite auf einem neuen Server mit Containern bereitzustellen.

1. Kapitel 1

   Ein Host, dem man trauen kann

   Luca installiert Ubuntu Server 24.04 auf einer VM mit 4 vCPU und 8 GB RAM und richtet Docker Engine aus dem offiziellen Repository ein. Er schaltet die Passwort-Anmeldung per SSH ab und erlaubt in ufw nur die Ports 22, 80 und 443. Beim Test mit nmap von seinem Laptop aus ist aber auch der Port 8080 eines Testcontainers offen, obwohl ufw ihn sperren sollte. Luca lernt, dass Docker eigene Firewall-Regeln setzt, und veröffentlicht ab jetzt nur noch die Ports des Reverse Proxy.

   Ziel 1

2. Kapitel 2

   Das Wiki in einer Compose-Datei

   Für BookStack schreibt Luca eine compose.yaml mit zwei Diensten: dem Wiki und einer MariaDB, beide mit fixierter Versionsnummer statt latest. Passwörter liegen in einer .env-Datei mit Rechten 600, die Datenbank hängt nur im internen Netzwerk. Beim ersten Start bricht das Wiki ab, weil die Datenbank noch nicht bereit ist. Luca ergänzt einen Healthcheck für MariaDB und lässt das Wiki erst starten, wenn dieser grün ist.

   Ziel 2

3. Kapitel 3

   Ein Schloss für wiki.bergsicht.ch

   Als Reverse Proxy setzt Luca Traefik ein und legt für wiki und status je einen DNS-Eintrag an. Das Zertifikat von Let's Encrypt kommt aber nicht, und im Traefik-Log steht ein Timeout bei der HTTP-Prüfung. Ein Kollege sieht, dass Port 80 an der Firmen-Firewall gesperrt ist, und öffnet ihn mit einer Umleitung auf HTTPS. Danach hängt Luca die Statusseite mit Uptime Kuma als zweiten Dienst nur über ein paar Labels an den Proxy.

   Ziel 3

4. Kapitel 4

   Der Restore am Freitagnachmittag

   Jede Nacht um 2 Uhr erstellt ein Skript einen Dump der Datenbank, und restic sichert ihn zusammen mit dem Upload-Volume aufs NAS und in einen S3-Speicher bei einem Schweizer Anbieter. Mit der Berufsbildnerin hat Luca ein RPO von 24 Stunden und ein RTO von 2 Stunden vereinbart. Beim Restore-Test auf einer leeren VM ist das Wiki nach 25 Minuten wieder da, aber alle Bilder fehlen. Luca hatte den falschen Pfad gesichert, korrigiert das Skript und wiederholt den Test, bis alles vollständig ist.

   Ziel 4

5. Kapitel 5

   Updates ohne Herzklopfen und ein Blick auf Kubernetes

   Als eine neue BookStack-Version erscheint, liest Luca die Release Notes, erstellt einen frischen Dump, ändert den Tag und zieht das neue Image. Die alte Versionsnummer notiert er als Rückweg. Weil MariaDB nach einer Woche 3 GB RAM belegt, setzt er ein Limit von 1 GB und lässt Uptime Kuma Ausfälle in den Teams-Kanal melden. Zum Schluss startet er die Statusseite testweise in k3s mit zwei Replikas, löscht einen Pod und sieht, wie er neu entsteht. In seinem Lernjournal hält er fest, warum für zwei Dienste Compose vorerst reicht.

   Ziel 5Ziel 6

1. 1

   Container-Host aufsetzen

   ca. 3 Std.

   Du baust eine Lern-VM auf, die du im ganzen Modul nutzt. Eine lokale VM in Hyper-V oder VirtualBox reicht, alternativ eine kleine Cloud-VM mit Studentenguthaben.

   • Ubuntu Server installieren, SSH-Schlüssel einrichten, Passwort-Login abschalten
   • Docker Engine aus dem offiziellen Repository installieren und 'hello-world' starten
   • Firewall konfigurieren und die Ordnerstruktur /opt/stacks anlegen

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   Erste Dienste mit Compose

   ca. 4 Std.

   Du stellst zwei typische KMU-Dienste bereit und lernst, Image-Dokumentationen gezielt zu lesen.

   • Uptime Kuma als Einzeldienst mit Volume bereitstellen
   • Wiki.js mit PostgreSQL als Stack mit internem Netzwerk aufsetzen
   • Mit 'docker compose ps', 'logs' und 'exec' den Zustand prüfen

   Trainiert Kompetenz B1B2

   Lernziel2

3. 3

   Reverse Proxy und HTTPS

   ca. 4 Std.

   Du machst alle Dienste über Subdomains mit gültigen Zertifikaten erreichbar.

   • Eine kostenlose Domain oder eine Subdomain des Lehrbetriebs für Tests verwenden
   • Traefik oder Caddy als Proxy-Stack aufsetzen und Dienste per Label oder Konfiguration anbinden
   • Prüfen, dass ausser 80 und 443 keine Ports nach aussen offen sind (z.B. mit nmap)

   Trainiert Kompetenz C1C2

   Lernziel3

4. 4

   Sichern und wiederherstellen

   ca. 5 Std.

   Du schreibst ein Backup-Skript, automatisierst es und spielst einen Totalausfall durch.

   • Ein Bash-Skript für Datenbank-Dump und Konfigurationssicherung schreiben
   • Mit restic verschlüsselt auf einen zweiten Speicher sichern und per Cron planen
   • Eine neue VM aufsetzen und den Wiki-Stack nur aus der Sicherung wiederherstellen

   Trainiert Kompetenz D1D2

   Lernziel4

5. 5

   Betrieb im Alltag

   ca. 4 Std.

   Du übst Updates, Ressourcenbegrenzung und Überwachung, wie sie im Betrieb jede Woche vorkommen.

   • Ein Image von einer älteren auf eine neuere Version aktualisieren und wieder zurückrollen
   • Speicher- und CPU-Limits setzen und mit 'docker stats' beobachten
   • Uptime Kuma Benachrichtigungen per Mail oder Teams senden lassen

   Trainiert Kompetenz E1E2A3

   Lernziel5

6. 6

   Ausblick Kubernetes

   ca. 4 Std.

   Du installierst k3s oder minikube und überträgst einen Compose-Dienst in Kubernetes-Objekte.

   • k3s auf der Lern-VM oder minikube lokal installieren
   • Ein Deployment und einen Service per YAML anlegen und mit kubectl prüfen
   • In einer Tabelle Compose-Begriffe den Kubernetes-Begriffen gegenüberstellen

   Trainiert Kompetenz F1F2B3

   Lernziel62

Container-Host

Server oder VM, auf dem die Container-Runtime läuft und Container ausgeführt werden.

Stack

Gruppe zusammengehöriger Container, die gemeinsam über eine compose.yaml verwaltet werden.

Reverse Proxy

Vorgeschalteter Server, der Anfragen an interne Dienste weiterleitet und oft TLS übernimmt.

Let's Encrypt

Kostenlose Zertifizierungsstelle, die TLS-Zertifikate automatisiert ausstellt.

Volume

Dauerhafter Speicher für Containerdaten, unabhängig vom Lebenszyklus des Containers.

Healthcheck

Regelmässige Prüfung, ob der Dienst im Container wirklich funktioniert, nicht nur ob der Prozess läuft.

Orchestrator

System wie Kubernetes, das Container über mehrere Hosts verteilt, überwacht und automatisch ersetzt.

restic

Open-Source-Backup-Werkzeug mit Verschlüsselung und Deduplizierung, das viele Speicherziele unterstützt.

Passende Module