Un reverse-proxy pour l'API Docker

Overview & Synopsis

Dans le cadre du service d'Intégration Continue de l'Inria, nous déployons des exécuteurs Docker pour gérer un grand nombre de petits projets. Ce service utilise également Jenkins et Gitlab-CI. La solution Docker a été retenue car elle est facile à adopter pour nos utilisateurs et car elle permet un redimensionnement du service à la demande. De plus l'API stable nous offre un point de contrôle pour optimiser et reconfigurer la plateforme sans avoir à impliquer les utilisateurs. Nous avons développé un reverse-proxy pour l'API Docker Engine. Au delà des fonctionnalités de base (authentification et contrôle d'accès), nous avons expérimenté des utilisations plus avancées : * application de politiques (injection de paramètres dans la configuration des containers, interdiction de l'utilisation d'options privilégiées, ...) * isolation des utilisateurs par la mise en place de namespaces * cache transparent des connexions HTTP et HTTPS, afin de réduire le trafic avec les archives de packages populaires (debian, fedora, maven, ...). Le cache de HTTPS est rendu possible en installant une autorité de certification temporaire à l'intérieur des containers au moment de leur création. L'outil est développé en python3 asynchrone, extensible (de nouvelles politiques et méthodes d'authentification peuvent être ajoutées sous forme de plugins) et intégré dans l'image boot2docker (utilisée par docker-machine) pour faciliter son déploiement sur un cluster de machines pour Gitlab CI. Cet outil est expérimenté depuis octobre 2018 sur notre plateforme de qualification. Nous allons très prochainement l’utiliser sur notre plateforme de production. Nous vous présenterons rapidement les différentes fonctionnalités de l'outil ainsi qu'un retour d'expérience sur son utilisation.