Einleitung

Docker-Container auf dem neuesten Stand zu halten ist ein grundlegender Bestandteil jeder Produktionsbereitstellung, wird aber oft zu einer mühsamen Aufgabe. Das manuelle Verfolgen von Bildfreigaben, das Abrufen von Updates, das Stoppen von Containern und das Neustarten von Containern ist nicht nur zeitaufwendig, sondern auch fehleranfällig – insbesondere wenn Dutzende oder Hunderte von Containern über mehrere Hosts hinweg verwaltet werden. Ein verpasster Sicherheitspatch oder ein vergessenes Update kann Ihre Infrastruktur bekannten Schwachstellen aussetzen. Glücklicherweise gibt es eine robuste Lösung, die diesen gesamten Workflow automatisiert: Wachtturm. Dieses Open-Source-Tool überwacht Ihre laufenden Container und wendet Updates an, sobald neue Bilder verfügbar sind, und hilft Ihnen, eine sichere und moderne Umgebung mit minimalem Verwaltungsaufwand zu pflegen.

Was ist Wachtturm?

Wachtturm ist ein leichtes Open-Source-Dienstprogramm, das Docker-Container automatisch aktualisiert, wenn ihre Basisbilder in einer Registrierung aktualisiert werden. Entwickelt und gepflegt von der Community (GitHub-Repository), läuft es selbst als Docker-Container und überwacht Ihre anderen laufenden Container (oder ausgewählten) auf Änderungen. Wenn Wachtturm erkennt, dass eine neuere Version eines Bildes existiert, zieht es das neueste Bild, stoppt den laufenden Container anmutig und startet es mit der gleichen Konfiguration, Umgebungsvariablen, Port-Mappings und Volume-Mounts neu. Dieser Prozess geschieht nahtlos, oft mit null oder minimaler Ausfallzeit, abhängig von der Neustartrichtlinie Ihrer Anwendung.

Wie Wachtturm funktioniert

Der Wachtturm kommuniziert mit dem Docker-Daemon über den Docker-Sockel (). Standardmäßig scannt er alle laufenden Container auf dem Host, aber man kann ihn mit Labels oder Containernamen auf bestimmte Container beschränken. Er prüft in einem konfigurierbaren Intervall nach Updates (Standard ist alle 24 Stunden). Wenn ein neuer Image-Digest von dem derzeit laufenden abweicht, zieht der Wachtturm das Bild und führt einen kontrollierten Neustart durch. Er respektiert auch die Stoppzeit von Docker, so dass Anwendungen anmutig heruntergefahren werden können. Darüber hinaus kann der Wachtturm so konfiguriert werden, dass Sie Benachrichtigungen per E-Mail, Slack, Teams und anderen Kanälen senden, damit Sie über die Update-Aktivitäten informiert bleiben, ohne dass Sie die Protokolle manuell ansehen müssen.

Die wichtigsten Vorteile der Automatisierung von Updates mit Wachtturm

Verbesserte Sicherheit

Sicherheit ist der Haupttreiber für Container-Updates. Docker-Images werden regelmäßig neu erstellt, um Schwachstellen in den Basis-OS-Paketen (z. B. Alpine, Ubuntu) oder den Anwendungsabhängigkeiten zu patchen. Ein Container mit einem veralteten Bild kann bekannte Common Vulnerabilities and Exposures (CVEs) enthalten. Der Wachturm stellt sicher, dass sobald ein gepatchtes Bild veröffentlicht wird, Ihr Container entsprechend aktualisiert wird. Dieser proaktive Ansatz reduziert das Belichtungsfenster und stärkt Ihre allgemeine Sicherheitslage.

Betriebseffizienz

Manuelle Updates erfordern SSH-Zugriff, Befehle zum Abrufen von Bildern und eine sorgfältige Orchestrierung von Neustarts, um Serviceunterbrechungen zu vermeiden. In Umgebungen mit Dutzenden oder Hunderten von Containern wird dieser Overhead nicht mehr nachhaltig. Wachtturm macht manuelle Eingriffe überflüssig, wodurch Ihr Team sich auf die Entwicklung von Funktionen, die Überwachung und andere hochwertige Aufgaben konzentrieren kann. Es reduziert auch das Risiko menschlicher Fehler - wie das Vergessen, einen Container nach dem Abrufen eines Bildes neu zu starten - was zu Konfigurationsdrift oder Sicherheitslücken führen kann.

Konsistenz in allen Umgebungen

Wachtturm kann in Entwicklungs-, Staging- und Produktionsumgebungen mit identischer Konfiguration eingesetzt werden. Dadurch wird sichergestellt, dass alle Umgebungen die gleichen Bildversionen ausführen, wodurch Probleme mit „it works on my machine reduziert werden. Bei der Staging-Anwendung können Sie Container aktualisieren, sobald neue Bilder gedrückt werden, und anschließend die Funktionalität validieren, bevor die gleichen Bilder die Produktion erreichen. In Kombination mit einer Continuous Integration / Continuous Deployment (CI / CD)-Pipeline hilft Wachtturm, eine konsistente und reproduzierbare Infrastruktur zu erhalten.

Reduzierte Verwaltungskosten

Sobald der Wachtturm konfiguriert ist, läuft er unbeaufsichtigt. Sie müssen keine regelmäßigen Wartungsfenster mehr planen, um Container zu aktualisieren, noch müssen Sie komplexe Aktualisierungsroutinen skriptieren. Protokolle und Benachrichtigungen bieten einen klaren Überwachungspfad, wann Updates stattgefunden haben und ob sie erfolgreich waren. Dies reduziert die mentale Belastung der Betriebsteams und ermöglicht es ihnen, größere Bereitstellungen mit der gleichen Mitarbeiterzahl zu verwalten.

Wachtturm einrichten

Der Einsatz des Wachtturms ist einfach. Der empfohlene Ansatz ist, ihn als Docker-Container mit einer Bindehalterung an der Docker-Buchse auszuführen.

Voraussetzungen

  • Docker auf dem Host-Computer installiert (Docker Engine 19.03 oder höher empfohlen).
  • Netzwerkzugriff auf die Docker-Image-Register, in denen die Bilder Ihrer Container gespeichert sind (Docker Hub, private Register usw.).
  • Grundlegende Vertrautheit mit Docker CLI oder Docker Compose.

Basic Deployment mit Docker CLI

  1. Ziehe das Wachtturmbild:
  2. Run Watchtower as a background service:


    Dies startet den Wachtturm mit Standardeinstellungen. Es überprüft alle Container auf dem Host alle 24 Stunden.
  3. Überprüfen Sie, ob es läuft:

Einsatz mit Docker Compose

Für eine bessere Verwaltbarkeit, insbesondere in der Produktion, verwenden Sie Docker Compose.

version: '3.8'
services:
 watchtower:
 image: containrrr/watchtower
 container_name: watchtower
 restart: unless-stopped
 volumes:
 - /var/run/docker.sock:/var/run/docker.sock
 environment:
 - WATCHTOWER_POLL_INTERVAL=3600 # check every hour
 - WATCHTOWER_CLEANUP=true # remove old images after update
 logging:
 driver: json-file
 options:
 max-size: 10m
 max-file: 3

Führen Sie aus, um den Wachtturm zu starten. Die -Umgebungsvariable setzt die Prüfhäufigkeit in Sekunden fest. Setzen Sie sie auf ] bedeutet, dass der Wachtturm stündlich nach Updates sucht, um schnelle Updates ohne übermäßige Belastung der Registrierung oder des Docker-Daemons zu gewährleisten.

Konfigurationsoptionen

Der Wachturm ist über Umgebungsvariablen und Kommandozeilen-Flags hochgradig konfigurierbar.

Polling-Interval

Verwenden Sie das -Flag (oder -Umgebungsvariable), um festzulegen, wie oft Wachtturm auf Updates überprüft. Standardmäßig sind es 86400 Sekunden (24 Stunden). Für die Entwicklung oder schnelle Bearbeitungsschritte können Sie ein kürzeres Intervall wie 300 (5 Minuten) einstellen. Für die Produktion ist ein Intervall von 1-4 Stunden normalerweise ausreichend und vermeidet unnötiges Laden.

Bereinigung alter Bilder

Das Flag entfernt das vorherige Bild nach einem erfolgreichen Update. Dadurch wird Speicherplatz frei, besonders wichtig, wenn Bilder häufig aktualisiert werden.

Meldungen

Der Wachturm kann Sie über Update-Ereignisse informieren. Unterstützte Benachrichtigungskanäle umfassen E-Mail (SMTP), Slack, Microsoft Teams, Telegram und mehr. Konfigurieren Sie sie über Umgebungsvariablen wie oder Zum Beispiel, um Slack-Benachrichtigungen zu senden:

docker run -d \
 --name watchtower \
 -v /var/run/docker.sock:/var/run/docker.sock \
 -e WATCHTOWER_NOTIFICATIONS=slack \
 -e WATCHTOWER_NOTIFICATION_SLACK_HOOK_URL=https://hooks.slack.com/services/Txxx/Bxxx/xxx \
 containrrr/watchtower

Benachrichtigungen helfen Ihnen, die Aktualisierungsaktivitäten zu verfolgen, ohne die Protokolle manuell zu überprüfen.

Behälterfilterung

Standardmäßig überwacht der Wachtturm alle laufenden Container. Um Updates auf bestimmte Container zu beschränken, verwenden Sie das Flag in Kombination mit einem Docker-Label. Fügen Sie ein Label zu Containern hinzu, die Sie aktualisieren möchten. Alternativ übergeben Sie Containernamen als Argumente an den Befehl . Zum Beispiel, um nur Container mit den Namen und zu aktualisieren:

docker run -d \
 --name watchtower \
 -v /var/run/docker.sock:/var/run/docker.sock \
 containrrr/watchtower nginx postgres

Überwachung von Verbose Logs

Aktivieren Sie die Debug-Logging mit oder , um detaillierte Informationen über die Aktionen des Wachtturms zu sehen. Dies ist nützlich, um zu überprüfen, ob Updates korrekt erkannt und angewendet werden.

Advanced Use Cases

Aktualisieren von Containern aus privaten Registern

Wenn sich Ihre Bilder in einer privaten Registrierung befinden (z. B. AWS ECR, Azure Container Registry oder einem selbst gehosteten Hafen), benötigt Watchtower eine Authentifizierung. Sie können die Docker-Konfigurationsdatei einhängen oder Umgebungsvariablen verwenden. Die einfachste Methode ist die Anmeldung in der Registrierung auf dem Host mit , die Anmeldeinformationen in speichert. Dann binden Sie diese Konfiguration in den Wachtturm-Container:

docker run -d \
 --name watchtower \
 -v /var/run/docker.sock:/var/run/docker.sock \
 -v /root/.docker/config.json:/config.json \
 containrrr/watchtower

Alternativ können Sie Docker-Geheimnisse oder Umgebungsvariablen für ein sichereres Berechtigungsmanagement verwenden (siehe die offizielle Wachtturm-Dokumentation ).

Rolling Updates für Stateful Services

Bei Stateful Containern (Datenbanken, Caches) können automatische Updates riskant sein, da Bildaktualisierungen bruchhafte Schemaänderungen einführen können. Wachtturm übernimmt keine Datenmigration. Eine bewährte Vorgehensweise ist es, automatische Updates für Stateful Container nicht zu aktivieren. Verwenden Sie stattdessen Label Exclusion ( und aktualisieren Sie sie manuell, nachdem Sie das neue Bild mit Ihrer Anwendung validiert haben. Bei Stateless Microservices sind automatische Updates in der Regel sicher und empfehlenswert.

Kombination mit CI/CD Pipelines

Wachtturm passt gut in einen GitOps- oder CI/CD-Workflow. Nach einem erfolgreichen Build kann Ihre Pipeline beispielsweise ein neues Bild in eine Registry schieben. Wachtturm erkennt mit einem kurzen Umfrageintervall (z. B. 60 Sekunden) die Änderung und aktualisiert den Container innerhalb von Minuten. Dadurch entsteht eine nahtlose kontinuierliche Bereitstellungsschleife ohne benutzerdefinierte Skripte. Viele Teams verwenden Wachtturm in Staging-Umgebungen, um neue Builds automatisch zu testen und dann die gleichen Bilder in die Produktion zu befördern, wo das Update manuell oder über andere Orchestrierungstools erfolgt.

Best Practices

  • Zuerst Staging-Umgebungen verwenden: Bereitstellen des Wachtturms in einer Nicht-Produktionsumgebung und Updates für einige Tage überwachen, um kein unerwartetes Verhalten zu gewährleisten.
  • Benachrichtigungen aktivieren: Richten Sie Slack, E-Mail oder andere Warnungen ein, damit Ihr Team sofort über Updates und mögliche Fehler informiert ist.
  • Kombinieren Sie mit Gesundheitschecks: Stellen Sie sicher, dass Ihre Container Gesundheitschecks definieren. Der Wachtturm wartet darauf, dass sie nach dem Neustart übergeben werden, was verhindert, dass der Verkehr an Container geliefert wird, die noch nicht vollständig gestartet sind.
  • Verwenden Sie das Flag mit dem richtigen Sinn: Das Reinigen alter Bilder spart Speicherplatz, aber in einigen Umgebungen ermöglicht das Beibehalten des vorherigen Bildes ein schnelles Rollback.
  • Monitor-Festplattenspeicher: Selbst bei der Bereinigung können große Bildaktualisierungen während des Pulls vorübergehend zusätzlichen Speicherplatz verbrauchen.
  • Regelmäßig Logs überprüfen: Überprüfen Sie regelmäßig die Wachtturm-Logs (), um zu bestätigen, dass Updates wie erwartet stattfinden. Unerwartete Fehler können auf Verbindungsprobleme oder Berechtigungsprobleme hinweisen.
  • Update Wachtturm selbst: Wachtturm kann sich selbst aktualisieren, wenn Sie seinen Container in das überwachte Set aufnehmen (standardmäßig aktualisiert er sich selbst).
  • Integrieren Sie sich mit Bildsignierung und -verifizierung: Für mehr Sicherheit konfigurieren Sie Docker Content Trust so, dass nur signierte Bilder ausgeführt werden. Wachtturm respektiert dies, indem nur vertrauenswürdige Bilder gezogen werden.

Mögliche Fallstricke und wie man sie vermeidet

Breaking Änderungen in Upstream-Bildern

Das größte Risiko ist ein aktualisiertes Bild, das eine inkompatible Änderung einführt, wie z. B. eine neue Standardkonfiguration oder einen veralteten API-Endpunkt, der dazu führt, dass Ihre Anwendung fehlschlägt.

Zero-Downtime-Einschränkungen

Wachtturm startet einen Container neu, indem er ihn stoppt und dann die neue Version startet. Dies führt zu einer kurzen Zeit der Nichtverfügbarkeit, es sei denn, Sie führen mehrere Replikate hinter einem Load Balancer aus. Für hochverfügbare Dienste sollten Sie Docker Swarm oder Kubernetes mit rollenden Update-Strategien verwenden und den Wachtturm so konfigurieren, dass er nur Replikate einzeln aktualisiert (obwohl Wachtturm das nicht nativ verwaltet; Sie können stattdessen Orchestrierungswerkzeuge verwenden).

Genehmigungsfragen

Wachtturm erfordert Zugriff auf den Docker-Sockel, der effektiv die Kontrolle über Docker auf Root-Ebene gewährt. Dies ist ein Sicherheitsproblem. Führen Sie Wachtturm nur auf vertrauenswürdigen Hosts aus und ziehen Sie die Verwendung eines dedizierten Benutzers mit begrenzten Fähigkeiten in Betracht. Verwenden Sie alternativ die Proxy-Tools (z. B. ), um den Zugriff einzuschränken, was jedoch zu einer zusätzlichen Komplexität führt.

Registratursatzlimits

Häufige Umfragen (z. B. alle paar Minuten) können die Tarifgrenzen für Docker Hub oder andere Register, insbesondere für anonyme Benutzer, überschreiten. Authentifizieren, um strengere Limits zu vermeiden, und ein angemessenes Umfrageintervall (z. B. 3600 Sekunden) festlegen, um innerhalb der Quoten zu bleiben. Die kostenlose Stufe von Docker Hub ermöglicht 100 Ziehungen pro sechs Stunden für authentifizierte Benutzer, was normalerweise für eine moderate Anzahl von Containern ausreicht.

Schlussfolgerung

Manuelle Container-Updates sind eine alte Praxis, die in modernen, schnelllebigen Bereitstellungen einfach nicht skaliert wird. Durch die Automatisierung von Updates mit Wachtturm gewinnen Sie Sicherheit, Konsistenz und Effizienz - und reduzieren gleichzeitig den Betriebsaufwand. Das Tool ist ausgereift, gut dokumentiert ( offizielle Website) und wird in der Docker-Community weit verbreitet. Ob Sie eine Handvoll Container auf einem einzelnen Host oder einer großen Flotte auf mehreren Servern betreiben, Wachtturm ist eine leistungsstarke Ergänzung Ihrer Infrastruktur-Toolchain. Beginnen Sie mit einem sorgfältigen Rollout, integrieren Sie Benachrichtigungen und validieren Sie immer die Staging-Phase, bevor Sie die volle Produktion übernehmen. Mit diesen Vorsichtsmaßnahmen können Sie die Wachtturm-Installation Ihrer Container auf dem neuesten Stand halten lassen und konzentrieren Sie Ihre Energie auf die Erstellung großartiger Anwendungen.

Für weitere Informationen zu den Best Practices für die Docker-Sicherheit lesen Sie Dockers offizielle Sicherheitsdokumentation und OWASPs Docker Security Cheat Sheet