Quelques trucs que PERSONNE ne respecte concernant Docker :

• le faire tourner en tant qu’utilisateur non privilégié
• dropper toutes les capa et ne retenir quel celles qui sont utiles
• virer les privilèges
• etc…

Bon évidemment, PERSONNE ne fait réellement ça mais si ce serait absolument nécessaire…

Packager des applications PHP dans Docker, c'est quand même loin d'être évident. J'envisageais deux solutions à la base :

• mettre un conteneur NginX en plus du conteneur PHP-FPM et du conteneur MariaDB. Mais ça oblige à avoir un morceau de code partagé entre NginX et PHP et c'est pas facile à faire
• mettre un conteneur Apache2 avec mod_php. Mais c'est dégueux (Apache :berk:) et les perfs sont lamentables

Là, les mecs proposent une 3ème approche : défoncer le principe de docker pour faire tourner plusieurs processus dans un seul conteneur. C'est crado, mais au moins, ça marche…

Sysdig un outil pour remplacer plein d'autres (htop, atop, etc…) mais compatible avec les cgroups kernel (et donc Docker, LXC, etc…)

Installation de Kubernetes (au moins la base, les packages, il faut rajouter Calico ou Flanel en plus et quelques autres trucs).

Installation et déploiement simplifiés de Docker Swarm. À remettre en perspective avec un déploiement de Kubernetes (même à petite échelle).

LXC meilleur que Docker ?

En fait, oui et non. LXC et Docker font des choses très similaires (system-wide virtualisation) mais à des niveaux différents.

Tout est dans le titre