Podman Quadlets: Ganti Docker Compose dengan systemd

Saya menjalankan server pribadi dengan Docker Compose selama bertahun-tahun. Itu berfungsi, tetapi selalu terasa seperti init system kedua yang ditempelkan di atas yang pertama: daemon Docker berjalan sebagai root, kontainer restart karena sebuah string policy menyuruh daemon, dan log tersimpan dalam file JSON yang hanya bisa dibaca oleh CLI docker. Saat mesin reboot, systemd menjalankan daemon Docker, lalu daemon menjalankan kontainer saya. Dua supervisor untuk satu pekerjaan.

Podman Quadlets meruntuhkan tumpukan itu. Alih-alih docker-compose.yml yang ditafsirkan oleh daemon yang berjalan terus-menerus, Anda menulis file unit deklaratif yang dimengerti langsung oleh systemd. Tidak ada daemon, kontainer bisa berjalan sepenuhnya rootless, dan setiap fitur yang sudah dimiliki systemd untuk service biasa juga berlaku untuk kontainer. Beginilah cara saya menjalankan semuanya di VPS sekarang, dan saya tidak pernah merindukan Compose sekali pun.

Apa itu Quadlet sebenarnya

Quadlet adalah file kecil bergaya INI yang mendeskripsikan kontainer sebagaimana unit systemd mendeskripsikan sebuah service. Podman menyertakan generator bernama podman-system-generator yang berjalan di awal urutan boot, memindai sekumpulan direktori, dan menerjemahkan setiap Quadlet menjadi unit .service asli secara otomatis. Anda tidak pernah menulis file service yang rumit dengan tangan, dan tidak pernah menyimpan file hasil generate ke disk — generator membuatnya ulang setiap kali daemon-reload.

Quadlet menangani lebih dari sekadar kontainer tunggal. Selain file .container ada file .network, .volume, dan .pod untuk network, named volume, dan pod yang dibutuhkan aplikasi Anda, ditambah .kube, .image, .build, dan .artifact untuk kasus yang lebih lanjut. Karena rilis Podman yang lebih baru menyertakan generator yang lebih baik, service Anda diam-diam menerima perbaikannya saat daemon-reload berikutnya berjalan — deskripsi tetap sama sementara mekanisme di baliknya menjadi lebih baik.

File unit .container yang nyata

Berikut Quadlet yang berfungsi untuk blog Ghost, ditaruh di direktori pengguna rootless. Bentuknya hampir seperti bagian environment sebuah file Compose, tetapi setiap seksinya memetakan langsung ke konsep systemd yang mungkin sudah Anda kenal: Unit untuk urutan dan dependensi, Container untuk opsi khusus Podman, Service untuk restart policy, dan Install untuk apa yang mengaktifkan unit saat boot.

# ~/.config/containers/systemd/ghost.container
[Unit]
Description=Ghost blog
After=network-online.target
Wants=network-online.target

[Container]
Image=docker.io/library/ghost:5-alpine
AutoUpdate=registry
PublishPort=2368:2368
Volume=ghost-content.volume:/var/lib/ghost/content
Environment=NODE_ENV=production
Environment=url=https://blog.example.com

[Service]
Restart=always
TimeoutStartSec=900

[Install]
WantedBy=default.target

Simpan file itu, lalu biarkan systemd menemukannya. Sebuah daemon-reload memicu generator, dan setelah itu kontainer menjadi service biasa yang Anda start, stop, enable, dan periksa dengan perintah yang sama seperti apa pun yang dijalankan systemd. Nama service adalah nama file dengan ekstensi diganti, jadi ghost.container menjadi ghost.service.

# register the generated service, then start it
systemctl --user daemon-reload
systemctl --user start ghost.service
journalctl --user -u ghost.service -f

Rootless, restart, urutan boot, dan journald

Alasan terbesar saya berpindah adalah rootless. Sebuah Quadlet di direktori pengguna Anda berjalan sebagai pengguna tanpa hak istimewa, tanpa daemon dan tanpa root, sehingga sebuah container breakout mendarat di dalam akun pengguna biasa alih-alih di host sebagai root. Semua hal lain mengikuti karena kontainer menjadi unit systemd kelas satu, bukan proses yang dikelola daemon.

Karena kontainer adalah unit sungguhan, tool yang sudah Anda percaya langsung bekerja, dan tidak ada hal khusus kontainer yang perlu dipelajari:

• Auto-restart cukup Restart=always di seksi Service — direktif yang sama dipakai setiap service systemd lain, bukan string policy khusus.
• Urutan boot memakai After= dan Wants= di seksi Unit, sehingga Quadlet database bisa mulai sebelum aplikasi yang bergantung padanya.
• Log mengalir ke journald, jadi journalctl --user -u ghost.service menampilkan output kontainer berdampingan dengan log service lain, dengan filter dan rotasi yang sama.
• WantedBy=default.target di seksi Install membuat kontainer rootless mulai bersama sesi pengguna Anda, sehingga ia kembali setelah reboot.

Auto-update tanpa pipeline CI

Setel AutoUpdate=registry di seksi Container, seperti pada sampel, dan Podman bisa memperbarui kontainer untuk Anda. Timer podman-auto-update.timer berjalan setiap hari tengah malam, memeriksa registry untuk image lebih baru di balik setiap label auto-update, menariknya, lalu me-restart unit. Ini hanya berfungsi dengan referensi image yang fully qualified, karena Podman butuh nama pasti untuk memeriksa ulang — sebuah tag polos atau image ID tidak memberinya pembanding.

Jaring pengamannya adalah rollback. Jika unit gagal restart dengan bersih setelah pembaruan, Podman kembali ke image sebelumnya dan me-restart service lagi, sehingga rilis buruk tidak meninggalkan Anda dengan kontainer mati di tengah malam. Ada juga AutoUpdate=local untuk image yang Anda build sendiri di host, di mana Podman membandingkan kontainer dengan penyimpanan image lokal Anda alih-alih registry jarak jauh.

Quadlet versus Docker Compose, berdampingan

Compose dan Quadlet memecahkan masalah yang tumpang tindih, tetapi keduanya berada di lapisan berbeda. Compose adalah tool yang berbicara ke daemon; Quadlet adalah deskripsi yang dikonsumsi langsung oleh systemd. Tabel ini adalah perbandingan yang saya harap saya miliki saat memulai migrasi.

Quadlet bukan pengganti langsung untuk setiap alur kerja Compose — tidak ada satu perintah up yang membaca seluruh proyek, dan aplikasi multi-kontainer menjadi beberapa file unit alih-alih satu dokumen. Tetapi untuk server self-hosted yang seharusnya boot, restart, log, dan update seperti bagian sistem operasi lainnya, menjalankan kontainer sebagai unit systemd adalah model yang lebih bersih. Mulailah dengan memindahkan satu service, buktikan jalur reboot dan auto-update, lalu pindahkan sisanya.