L’ecosistema Docker: panoramica sui più popolari tool di Docker

A partire dal rilascio della versione 1.12 Docker è disponibile come applicazione nativa per desktop anche per i nuovi computer macOS e Windows. Gli utenti dei sistemi operativi più datati, invece, devono affidarsi al toolbox di Docker per riuscire ad installare la piattaforma di container.

Il Docker Toolbox è un installer che automatizza le impostazioni degli ambienti di Docker per le versioni non aggiornate dei sistemi operativi Windows e macOS.  Il software contiene le seguenti componenti:

• Docker Engine

• Docker Machine

• Docker Compose

• Oracle VirtualBox

• Kitematic, un’interfaccia grafica (GUI) di Docker

• Un’interfaccia a riga di comando configurata per Docker

Al centro del Docker Toolbox vi è il software open source Kitematic. Questo si integra nella Docker Machine così da rendere disponibile una macchina virtuale sulla base di Oracle VirtualBox per l’installazione della piattaforma di container. Gli utenti possono approfittare di un’interfaccia utente grafica messa a loro disposizione per il loro lavoro con Docker; tramite tale interfaccia possono creare, avviare e interrompere i container con un click del mouse. Un’interfaccia per il Docker Hub permette inoltre di ricercare nei registry direttamente dall’app su desktop e di scaricare le immagini.

Oltre alla GUI, è disponibile anche un’interfaccia a riga di comando preconfigurata. Tutte le modifiche che gli utenti apportano al momento dell’immissione, vengono attuate anche per le altre modalità. Gli utenti hanno dunque la possibilità, di passare da GUI a CLI, senza che nulla venga perso strada facendo, per eseguire e gestire i container. In aggiunta Kitematic offre le funzioni attraverso le quali è possibile assegnare automaticamente le porte, definire le variabili ambientali e configurare le unità (Volumes).

Anche se il toolbox di Docker viene definito come datato (legacy) nella documentazione di Docker, il software continua ad essere supportato esattamente come lo è sempre stato. Il team di sviluppo consiglia tuttavia l’utilizzo delle app desktop native Docker for Windows o Docker for Mac, a patto che vengano soddisfatti i requisiti di sistema.

Oltre agli sviluppi ottenuti dallo sviluppatore stesso, Docker Inc., si possono trovare diversi altri strumenti software e piattaforme di provider esterni, i quali mettono a disposizione le interfacce per il Docker Engine o per la piattaforma di container che preferite. Tra i progetti open source più conosciuti dell’ecosistema di Docker si annoverano il tool per l’orchestrazione Kubernetes, il tool per il cluster management Shipyard, la soluzione multi-container per Docker Panamax, la piattaforma di integrazione continua Drone, il sistema operativo per cloud OpenStack e il sistema operativo per data center basato su Mesos, un programma di cluster manager, Mesosphere DC/OS.

Gli strumenti d’orchestrazione disponibili in Docker, come Swarm e Compose, non sono stati sempre offerti dal team di sviluppo di Docker. Ormai da anni numerose aziende hanno iniziato a concentrare i propri sforzi su tool fatti su misura, i quali dovrebbero semplificare il compito di gestire la piattaforma di container in grandi infrastrutture distribuite. Oltre ad Helios, la piattaforma di orchestrazione open source di Spotify, tra le soluzioni più conosciute di questo tipo vi è Kubernetes.

Con Kubernetes si ha un cluster manager per le applicazioni basate su container, il quale è stato sviluppato in gran parte da Google e che oggi si trova sotto il patrocinio della Cloud Native Computing Foundation (CNCF).

Shipyard è una delle soluzioni gestionali basate su Swarm sviluppata dalla community degli utenti di Docker. Shipyard permette di gestire le risorse Docker quali i container, le immagini, gli host e i registry privati tramite un’interfaccia utente grafica. È disponibile come applicazione web, quindi dal browser, e proprio per questo si differenzia dall’applicazione per desktop Kitematic.

Il software è compatibile al 100% con la Remote API di Docker e usa RethinkDB, il database NoSQL open source, come memoria di archiviazione per gli account utenti, gli indirizzi e gli eventi.

Oltre alle funzioni di cluster management attraverso l’interfaccia web centrale, Shipyard mette a disposizione un’autentificazione utente così come anche la possibilità di controllare gli accessi in base ai ruoli.

Il software si basa sul toolkit di cluster management Citadel e si compone sostanzialmente di tre componenti fondamentali: Controller, API e UI.

• Shipyard Controller: il controller è il componente centrale del management tool Shipyard. Il controller interagisce con il RethinkDB nell’ambito dell’archiviazione dei dati e permette di interagire con i singoli host all’interno di un Docker cluster e di gestire gli eventi.

• Shipyard API: la Shipyard API è un’API basata su REST. Tutte le funzioni del management tool vengono configurate attraverso questa API.

• Shipyard User Interface (UI): l’interfaccia utente Shipyard è un’app di AngularJS che mette a disposizione degli utenti un’interfaccia utente grafica per la gestione dei cluster di Docker direttamente sul browser. Tutte le interazioni nella user interface avvengono tramite la Shipyard API. 

Trovate ulteriori informazioni su Shipyard sulla pagina web ufficiale del progetto open source.     

Gli sviluppatori del progetto software open source Panamax si sono prefissati come obiettivo quello di semplificare la messa a disposizione delle app multi-container. Il tool gratuito offre agli utenti un’interfaccia grafica tramite la quale è possibile sviluppare, mettere a disposizione e ripartire le applicazioni complesse basate sui container Docker in maniera agile tramite la funzione di Drag and Drop.

Panamax permette di archiviare le complesse applicazioni multi-container come cosiddetti application template e quindi di distribuirle con un semplice click all’interno delle architetture dei cluster. Tramite un luogo di interscambio integrato per le app, hostato su GitHub, è possibile archiviare nei Git repository i template delle app create autonomamente e metterli a disposizione degli altri utenti. Il video che segue qui sotto dimostra il concetto che sta alla base di Panamax all’insegna del motto “Docker Management for Humans”:

Drone è integrato in Docker e supporta diversi linguaggi di programmazione come PHP, Node.js, Ruby, Go e Python. L’unica condizione necessaria per il funzionamento di Drone è la piattaforma di container. Con Drone create la vostra piattaforma di integrazione continua personale per  tutti i sistemi sui quali è possibile installare Docker. Inoltre supporta più Version Control Repository. Potete trovare una guida all’installazione standard con l’integrazione di GitHub nella documentazione del progetto open source, sul sito readme.drone.io.

Il controllo della piattaforma di integrazione continua avviene tramite l’interfaccia web. Attraverso tale interfaccia caricate le build direttamente dal Git repository desiderato, mettete in collegamento le applicazioni e avviate ciò che ne risulta in un ambiente di test precedentemente definito. Inoltre, per ogni test software eseguito, viene definito un file .drone.yml, all’interno del quale viene stabilito quali applicazioni debbano essere usate per la creazione dell’applicazione finale e come quest’ultima debba essere eseguita.

Nel video seguente Brad Rydzewski, uno degli sviluppatori di Drone, fornisce un’idea di quello che è la piattaforma di integrazione continua open source:

A detta dello sviluppatore, con Drone viene messo a disposizione degli utenti una soluzione CI open source, che riunisce i punti di forza di prodotti alternativi come Travis e Jenkins in un’applicazione dall’interfaccia utente user-friendly.

L’architettura OpenStack è ampliabile tramite diversi moduli opzionali: 

• Horizon (Dashboard): la dashboard di OpenStack prende il nome di “Horizon” e offre agli utenti un’interfaccia utente grafica basata su web, tramite la quale si possono gestire altre componenti come Nova o Neutron.

• Heat (Orchestrazione): il modulo opzionale Heat mette a disposizione un servizio, attraverso il quale è possibile orchestrare, attraverso i template, le applicazioni cloud formate da più componenti. Heat offre perciò una REST API nativa e il formato per template HOT. In alternativa viene supportato il formato per template AWS-Cloud-Formation, insieme alla relativa API query.

• Ceilometer (Servizi telemetrici): Ceilometer mette a disposizione per OpenStack un servizio centrale di telemetria, con il quale è possibile raccogliere i dati e usarli per la fatturazione dei clienti, il resource tracking, e per le funzionalità di allarme a supporto di tutte le componenti di OpenStack.

• Trove (Database-as-a-Service): Trove è un componente Database-as-a-Service (DbaaS), con il quale si possono mettere a disposizione database relazionali e non relazionali.

• Zaqar (Messaging): il modulo opzionale Zaqar, una volta conosciuto con il nome Marconi, rende OpenStack un servizio multi-tenant di messaggistica su cloud per sviluppatori web. Il software offre una REST API, attraverso la quale gli sviluppatori possono inviare messaggi tra i diversi componenti di una Mobile App o di una SaaS App.

• Designate (Servizio DNS ): Designate offre un DNS-as-a-Service per OpenStack. Il management dei Domain Record avviene tramite una REST API. Anche questo modulo è multi-tenant e utilizza le funzioni di autentificazione tramite l’integrazione di Keystone.

• Barbican (gestione delle chiavi): il modulo Barbican mette a disposizione di OpenStack una REST API attraverso la quale è possibile archiviare in totale sicurezza, gestire e riutilizzare, quando necessario, password, chiavi e certificati vari.

• Sahara (Elastic Map Reduce): la componente opzionale Sahara mette gli utenti nella condizione di creare e gestire Hadoop Cluster attraverso OpenStack.

• Ironic (driver Bare Metal): il modulo aggiuntivo Ironic è un fork del driver baremetal del componente di calcolo Nova che offre agli utenti di OpenStack la possibilità di utilizzare macchine bare metal invece di macchine virtuali.

• Murano (catalogo delle applicazioni): Murano offre agli sviluppatori e agli amministratori di cloud la possibilità di gestire le applicazioni in un catalogo consultabile e ordinato per categorie.

• Manila (Shared File System): Manila è un modulo aggiuntivo per OpenStack, che serve ad ampliare l’architettura del sistema operativo del cloud con un file system comune e distribuito.

• Magnum (API per il servizio di container): una componente aggiuntiva importante è Magnum, un’API Service, che rende disponibili, sotto forma di componenti OpenStack, gli strumenti per l’orchestrazione dei container, quali Docker Swarm, Kubernetes o Apache Mesos.

OpenStack si è affermato come uno dei sistemi operativi principali per la configurazione e la gestione di strutture cloud open source, proprio per via della sua ampliabilità modulare. OpenStack rappresenta per gli utenti Docker una piattaforma dalle prestazioni performanti grazie al driver di Docker per Nova, con il quale è possibile eseguire e gestire i container in maniera professionale all’interno di sistemi complessi e distribuiti.

DC/OS utilizza il sistema kernel distribuito della piattaforma Mesos. Questo permette di mettere in connessione le risorse di un intero data center e amministrarle sotto forma di un sistema aggregato, come fossero un singolo server logico. In questo modo gestite l’intero cluster con macchine virtuali o fisiche con la stessa semplicità, con la quale utilizzereste un singolo computer.

Il software semplifica l’installazione e la gestione delle applicazioni riparite e automatizza le mansioni quali la gestione delle risorse, lo scheduling e la comunicazione tra processi. La gestione di un cluster tramite Mesosphere DC/OS, così come di tutti i servizi eseguiti, avviene in maniera centrale tramite un programma a riga di comando (CLI) o un’interfaccia web (GUI).

DC/OS astrae le risorse del cluster e mette a disposizione i servizi come ad esempio Service Discovery o il gestore di pacchetti. I componenti del software operano in uno spazio protetto: lo spazio kernel. Di questo fanno parte i programmi Master e Agent della piattaforma Mesos, responsabili per la catalogazione delle risorse, per l’isolamento dei processi e le funzioni di sicurezza.

• Mesos Master: per Mesos Master si intende un processo master che gira su un nodo master nel cluster. Il compito del Mesos Master è quello di controllare la gestione delle risorse e di orchestrare i task, ovvero le unità di lavoro astratte, che vengono eseguite su di un nodo Agent. Inoltre Mesos Master distribuisce le risorse ai servizi DC/OS registrati e accetta i rapporti sulle risorse dai vari Mesos Agent.

• Mesos Agent: per Mesos Agent si intende un processo slave che gira sui nodi agent e che è responsabile per l’esecuzione dei task distribuiti dal master. I Mesos Agent forniscono regolarmente rapporti al Mesos Master sulle risorse disponibili nel cluster, i quali successivamente vengono inoltrati ad uno scheduler, come Marathon, Chronos o Cassandra. Lo scheduler decide a sua volta quale task deve essere eseguito su un nodo specifico. Per eseguire un task, il Mesos Agent inizia un cosiddetto processo Executor, il quale viene eseguito e gestito isolatamente all’interno di un container. La separazione dei processi avviene a scelta tra gli Universal Container Runtime di Mesos o la piattaforma di container Docker.

Tutte le altre componenti di sistema, quali le applicazioni che vengono eseguite dai Mesos Agent tramite Executor, vengono svolte nello User Space, o spazio utente. Tra le componenti base di un’installazione standard di DC/OS vi sono l’Admin Router, il Mesos DNS, un Distributed DNS Proxy, il load balancer Minuteman, lo scheduler Marathon, Apache ZooKeeper e Exhibitor.

• Admin Router: l’Admin Router è un web server con configurazione specifica, basato su NGINX, il quale mette a disposizione i servizi DC/OS così come le funzioni centrali di autentificazione e di proxy.

• Mesos DNS: il componente di sistema Mesos DNS offre delle funzioni di Service Discovery, che permettono ai singoli servizi e alle singole applicazioni nel cluster di identificarsi a vicenda attraverso un Domain Name System (DNS) centrale.

• Distributed DNS Proxy: per Distributed DNS Proxy si intende un DNS Dispatcher interno, ovvero un sistema distributore di nomi di dominio.

• Minuteman: il componente di sistema Minuteman funge da load balancer interno, che lavora sul livello di trasporto del modello di riferimento ISO/OSI (Livello 4).

• DC/OS Marathon: Marathon è un componente centrale della piattaforma Mesos, che funge da sistema init (simile a systemd) all’interno di Mesosphere DC/OS. Marathon lancia e controlla i servizi DC/OS e le applicazioni all’interno degli ambienti di cluster. Inoltre offre al software la funzione di high availability, Service Discovery, load balancer, health checks e un’interfaccia grafica.

• Apache ZooKeeper: per Apache ZooKeeper [Maggiori informazioni su ZooKeeper su zookeeper.apache.org] (https://zookeeper.apache.org/) si intende un componente software open source, che mette a disposizione funzioni di coordinazione per il funzionamento e l’amministrazione di applicazioni nei sistemi distribuiti. Nell’ambito di Mesosphere DC/OS, Zookeeper viene utilizzato per la coordinazione di tutti servizi di sistema installati.

• Exhibitor: Exhibitor è un componente di sistema con il quale si può installare automaticamente e configurare ZooKeeper su ogni nodo Master. Inoltre Exhibitor mette a disposizione un’interfaccia utente grafica per gli utenti di ZooKeeper.

Sulle risorse cluster aggregate tramite DC/OS è possibile eseguire contemporaneamente diversi carichi di lavoro. In questo modo il sistema operativo del cluster permette ad esempio una gestione parallela di sistemi di Big Data, di Microservice o di piattaforme container come Hadoop, Spark e Docker.

Con Mesosphere Universe viene messo a disposizione per DC/OS un catalogo pubblico delle app. Tramite di esso potete installare applicazioni come Spark, Cassandra, Chronos, Jenkins o Kafka in totale comodità e con un semplice click grazie all’interfaccia grafica utente.

Inoltre l’utilizzo di una piattaforma di container come Docker, offre la possibilità di ottimizzare le applicazioni in merito alla velocità, alle prestazioni e al change management, ovvero in relazione alla gestione nel caso in cui si decida di apportare dei cambiamenti. Rimangono tuttavia delle riserve relative alla sicurezza della tecnologia container.

L’installazione del Container Engine prevede che la applicazioni basate su container siano eseguibili su qualsiasi sistema. I container infatti non contengono solo il codice dell’applicazione stessa ma anche tutti i file binari e le librerie necessarie per tutto il tempo di esecuzione. Questo semplifica soprattutto il Deployment, ovvero la distribuzione del software tra diversi sistemi e questo non vale solo per le nuove applicazioni sviluppate. La tecnologia di container può essere utilizzata efficacemente anche quando si tratta di trasferire le applicazioni legacy su cloud, ovvero in quei casi in cui l’utilizzo nelle mansioni giornaliere delle vecchie applicazioni obsolete risulti comunque irrinunciabile.

Nella maggior parte dei casi, le componenti software datate sono difficilmente integrabili nelle infrastrutture cloud per via della loro dipendenza dai sistemi operativi, framework o classi ben precise. Qui un Container Engine come Docker può offrire un livello di astrazione, che compensa la dipendenza dal codice, senza che gli amministratori debbano tenere in conto l’overhead di un sistema operativo virtuale.

Comparando la tecnologia di container, che sta alla base della piattaforma Docker, con una classica virtualizzazione di un hardware tramite VM, si riscontrano chiaramente delle differenze in merito alla velocità e alla performance.

Essendo che nei container le applicazioni a ciclo chiuso fanno affidamento direttamente al kernel del sistema di host, con questo tipo di virtualizzazione non è necessario avviare alcun sistema ospitante separato. Con Docker, invece di un Hypervisor, viene utilizzato un Container Engine leggero, riducendo in questo modo non solo il tempo per il boot di una macchina virtuale, ma anche le risorse necessarie per il sistema operativo aggiuntivo.

Per questo motivo le container app disporranno di una velocità maggiore e di un risparmio di risorse maggiore rispetto alle applicazioni basate su macchine virtuali. Questo permette chiaramente agli amministratori di avviare più container su uno stesso sistema di host, di quanti potrebbero effettivamente essere accolti da un sistema ospitante su una piattaforma hardware comparabile. Se ad esempio su un server si trovano dalle 10 alle 100 macchine, in un container il numero salirà a 1.000.

In aggiunta i container contenenti solamente i file binari e le librerie, oltre chiaramente al codice dell’applicazione, necessiteranno di uno spazio di archiviazione significativamente minore rispetto ad una macchina virtuale che include l’applicazione ed il sistema operativo.

Anche se i processi a ciclo unico girano sullo stesso kernel, Docker usa una sfilza di tecnologie di isolazione per proteggere le une dalle altre. Il focus è soprattutto sulle funzioni cardine del kernel di Linux come Cgroup e Namespace. Ogni container riceve un proprio nome host, un proprio ID del processo e una propria interfaccia di rete. Inoltre ogni container vede solo la porzione del file system ad esso assegnata. La suddivisione delle risorse di sistema come lo spazio di archiviazione, la CPU e la banda larga, avviene attraverso un meccanismo Cgroup, il quale serve a far sì che ogni container si arroghi solamente il contingente che gli spetta.

Tuttavia ai container non viene offerto lo stesso grado di isolamento realizzabile con le macchine virtuali. Nel caso in cui un cyber criminale riesca a mettere le mani su di una macchina virtuale, avrà ben poca possibilità di interagire con il kernel del sistema host che ne sta alla base. I container invece, in quanto istanze a ciclo unico di un kernel di host comune, offrono all’hacker ben più libertà.

Sebbene le tecnologie di isolamento descritte sono raggiungibili dai container, tramite importanti sottosistemi kernel, come Cgroups e componenti kernel nelle directory /sys e /proc, queste offrono agli aggressori la possibilità di aggirare le funzioni di sicurezza dell’host. Inoltre tutti i container girano su un sistema host con lo stesso namespace utente. Ciò ha come conseguenza che un container a cui viene assegnato l’accesso di root, lo mantiene poi anche durante l’interazione con il kernel dell’host. Gli amministratori dovrebbero quindi fare attenzione che i container vengano avviati esclusivamente con permessi limitati.

Anche il demone di Docker, responsabile per l’amministrazione dei container sul sistema host, dispone dei permessi di root. Un utente che ha accesso a Docker Daemon ottiene automaticamente accesso a tutte le directory sulle quali il demone può fare affidamento, così come la possibilità di comunicare attraverso una REST API, usando il protocollo HTTP. La documentazione di Docker consiglia perciò di garantire l’accesso al demone solamente agli utenti degni di fiducia.

Anche il team di sviluppo di Docker ha riconosciuto i sopracitati dubbi relativi alla sicurezza come freni per l’affermazione della tecnologia container sui sistemi produttivi. A fianco delle tecnologie di isolamento che stanno alla base del kernel di Linux, le nuove versioni del Docker Engine supportano perciò i framework AppArmor, SELinux e Seccomp, che fungono come una sorta di firewall per le risorse kernel.

• AppArmor: con AppArmor si regolamentano i permessi di accesso dei container sul file system.

• SELinux: SELinux offre un complesso sistema di regole con il quale si può implementare il controllo sugli accessi alle risorse kernel.

• Seccomp: con Seccomp (Secure Computing Mode) viene sorvegliato il funzionamento di Systemcalls.

Inoltre Docker utilizza le cosiddette Linux Capabilities, attraverso le quali si possono limitare i permessi di root, con i quali viene avviato il container del Docker Engine.

Ulteriori preoccupazioni relative alla sicurezza dipendono dalle vulnerabilità dei software in relazione alle componenti delle applicazioni, le quali vengono diffuse attraverso il registry di Docker. Essendo che teoricamente ognuno può creare delle Docker Image e metterle a disposizione nell’hub di Docker di pubblico accesso per gli appartenenti alla community, vi è il pericolo di importare un codice dannoso sul proprio sistema durante il download di un’immagine. Per questo motivo, prima del deployment di un’applicazione, gli utenti di Docker dovrebbero assicurarsi che l’intero codice che viene messo a disposizione in un’immagine per la distribuzione di container, provenga da una fonte attendibile.

A questo scopo Docker offre a partire dal 2017 un programma di certificazione [Pagina del blogpost relativo su blog.docker.com] (https://blog.docker.com/2017/03/announcing-docker-certified/) nell’ambito dell’edizione enterprise (“Enterprise Edition” o anche “EE”), attraverso il quale i provider di infrastrutture, container e plug-in, possono testare e contrassegnare come affidabili i propri software. Per ottenere un certificato, è necessario rispettare i seguenti requisiti:

• Certified Infrastructure: gli sviluppatori del software, che vorrebbero mettere le componenti infrastrutturali certificate a disposizione per l’ecosistema di Docker, devono dimostrare tramite il test corrispondente che il loro prodotto sia stato ottimizzato per poter lavorare con la piattaforma Docker.

• Certified Container: viene assegnato il certificato ufficiale di Docker ad un container solo nel caso in cui sia stato creato conformemente alle Best Practices raccomandate per Docker e se supera tutti i relativi controlli: test del software, controllo delle vulnerabilità, controllo qualità.

• Plug-in: un plug-in per Docker EE si può dotare di un certificato Docker, se è stato creato conformemente alle Best Practices raccomandate per Docker e se supera tutti i relativi controlli: gli API Compliance Test e il controllo delle vulnerabilità.

Oltre all’aumento della sicurezza per gli utenti, i certificati Docker offrono agli sviluppatori dei vari software una possibilità per far risaltare il proprio progetto tra l’enorme quantità di risorse già disponibili.

Docker è una realtà in crescita. Anche in Italia trova una diffusione di portata sempre maggiore. La tecnologia di Docker è un’alternativa che fa risparmiare risorse rispetto ai classici hardware per la virtualizzazione, adatta soprattutto per le aziende che devono mettere a disposizione un’applicazione web interattiva o che devono gestire una grande mole di dati. Nella branca dell’e-commerce ci si aspetta una richiesta crescente nei prossimi anni. Per i global player, quali sono eBay e Amazon, i container appartengono già alle tecnologie standard, mentre i piccoli commercianti online seguiranno la loro scia.

Attualmente l’ancora giovane software per le aziende Docker si è aggiudicato in pochi anni il posto di leader del mercato tecnologico nel ramo della operating system level virtualization, grazie soprattutto al concetto open source e agli sforzi in materia di standardizzazione. Chiaramente la concorrenza nel settore dei container non sta a guardare. Ad approfittare dell’aspra concorrenza tra i provider di soluzioni container e di strumenti di amministrazione, saranno tutti coloro che usufruiscono della velocità di innovazione.

A rallentare in passato sono stati invece i dubbi concernenti la sicurezza che si sono chiaramente ripercossi sulla diffusione della tecnologia di container. La sfida centrale per gli sviluppatori delle tecnologie di virtualizzazione basate su container è il miglioramento dei processi di isolamento all’interno del kernel di Linux; un settore nel quale già in passato grazie ai progetti come SELinux, AppArmor o Seccomp sono stati ottenuti dei risultati.

Considerando il tasso di accettazione per i container, è chiaro che la operation system level virtualization si imporrà alla lunga come alternativa alle macchine virtuali. Specialmente il progetto Docker e il suo ecosistema in rapida crescita offrono alle aziende una base sicura in chiave futura per la gestione dei software container nello sviluppo e nel mondo degli affari.