Installation des Watchtowers

[gerd2005]

Hallo,

warum muss man den Watchtower über den Aufgabenplaner installieren

"$ docker run --detach
--name watchtower
--volume /var/run/docker.sock:/var/run/docker.sock
containrrr/watchtower"

Warum lässt sich das Image nicht normal über den Container Manager installieren?

Viele Grüße
gerd

[gerd2005]

Hallo!

Der Grund, warum Watchtower nicht direkt über einen Container-Manager installiert werden sollte, hängt mit seiner speziellen Funktion und dem Zugang zu Docker-Informationen zusammen.

Was ist Watchtower?
Watchtower ist ein Container, der andere Container auf einem Docker-Host überwacht und sie automatisch aktualisiert, wenn neue Versionen der Images verfügbar sind.

Warum die Installation über den Aufgabenplaner?
Der Befehl, den du angegeben hast:

bash
Code kopieren
docker run --detach
--name watchtower
--volume /var/run/docker.sock:/var/run/docker.sock
containrrr/watchtower
enthält eine spezielle Mount-Anweisung: --volume /var/run/docker.sock:/var/run/docker.sock.

/var/run/docker.sock ist die Docker-Socket-Datei, die für die Kommunikation mit dem Docker-Daemon auf dem Host verwendet wird. Sie gibt Watchtower die Berechtigung, mit Docker zu interagieren, um Container zu überwachen und bei Bedarf neu zu starten oder zu aktualisieren.
Der Grund, warum dies wichtig ist:
Container-Manager (wie Portainer) sind oft auf die Verwaltung und Steuerung von Containern ausgerichtet, haben jedoch möglicherweise nicht die Berechtigungen oder den Zugriff, den Watchtower benötigt, um die Docker-Socket direkt zu verwenden.
Der direkte Zugriff auf die Docker-Socket ermöglicht es Watchtower, Container zu verwalten, neu zu starten und Updates durchzuführen. Dieser Zugriff kann aus Sicherheitsgründen in manchen Umgebungen eingeschränkt sein, und Container-Manager geben diesen Zugriff nicht unbedingt standardmäßig weiter.
Alternativen und Risiken:
Sicherheitsaspekt: Wenn du den Zugriff auf /var/run/docker.sock erlaubst, gibst du Watchtower praktisch die volle Kontrolle über Docker auf deinem Host, was ein Sicherheitsrisiko darstellt, falls der Container kompromittiert wird.
Deshalb wird empfohlen, Watchtower über einen systemweiten Task (wie den Aufgabenplaner) zu starten, um sicherzustellen, dass es beim Start des Systems läuft und die notwendigen Zugriffsrechte hat, die es braucht, um korrekt zu funktionieren.

Ich hoffe, das klärt deine Frage!