• 사전 준비 : AWS 계정, SSH 키 페어

• 구성 : VPC 1개(퍼블릭 서브넷 2개), EC 인스턴스 1대(Ubuntu 22.04 LTS, t3.small)

• CloudFormation 스택 실행 시 파라미터를 기입하면, 해당 정보가 반영되어 배포됩니다.
• CloudFormation 에 EC2의 UserData 부분(Script 실행)으로 실습 환경에 필요한 기본 설정들이 자동으로 진행됩니다.
• 내 PC 공인 IP 확인 – myip.com
• CloudFormation 스택 CLI 배포 ← 실행 PC에 aws cli 설치되어 있고, aws configure 자격증명 설정 상태.

# YAML 파일 다운로드
curl -O https://kimalarm-etc.s3.ap-northeast-2.amazonaws.com/knou/knou-1w.yaml

# CloudFormation 스택 배포
# aws cloudformation deploy --template-file knou-1w.yaml --stack-name docker-stack --parameter-overrides KeyName=<My SSH Keyname> SgIngressSshCidr=<My Home Public IP Address>/32 --region ap-northeast-2
예시) aws cloudformation deploy --template-file knou-1w.yaml --stack-name knou-stack --parameter-overrides KeyName=knou-key SgIngressSshCidr=$(curl -s ipinfo.io/ip)/32 --region ap-northeast-2

## Tip. 인스턴스 타입 변경 : MyInstanceType=t2.micro
예시) aws cloudformation deploy --template-file knou-1w.yaml --stack-name knou-stack --parameter-overrides MyInstanceType=t3.small KeyName=knou-key SgIngressSshCidr=$(curl -s ipinfo.io/ip)/32 --region ap-northeast-2

# CloudFormation 스택 배포 완료 후 작업용 EC2 IP 출력
aws cloudformation describe-stacks --stack-name knou-stack --query 'Stacks[*].Outputs[0].OutputValue' --output text --region ap-northeast-2

# [모니터링] CloudFormation 스택 상태 : 생성 완료 확인
while true; do 
  date
  AWS_PAGER="" aws cloudformation list-stacks \
	  --region ap-northeast-2 \
    --stack-status-filter CREATE_IN_PROGRESS CREATE_COMPLETE CREATE_FAILED DELETE_IN_PROGRESS DELETE_FAILED \
    --query "StackSummaries[*].{StackName:StackName, StackStatus:StackStatus}" \
    --output table
  sleep 1
done

# EC2 SSH 접속
ssh -i ~/.ssh/knou-key.pem ubuntu@$(aws cloudformation describe-stacks --stack-name knou-stack --query 'Stacks[*].Outputs[0].OutputValue' --output text --region ap-northeast-2)

• 또는 CloudFormation 콘솔에서, S3 URL을 사용하여 수동생성

# [터미널1] 관리자 전환
sudo su -
whoami

# 도커 설치
curl -fsSL https://get.docker.com | sh

# 도커 정보 확인 : Client 와 Server , Storage Driver(overlay2), Cgroup Version(2), Default Runtime(runc)
docker info
docker version

# 도커 서비스 상태 확인
systemctl status docker -l --no-pager

# 도커 루트 디렉터리 확인 : Docker Root Dir(/var/lib/docker)
tree -L 3 /var/lib/docker

# Ubuntu 사용자를 docker 그룹에 추가 (docker socket 접근 권한)
sudo usermod -aG docker Ubuntu

# 위 명령어 입력 후 SSH 재접속
exit

• docker version 및 status

# 현재 컨테이너 프로세스 조회
docker ps
docker ps -a

# 이미지 다운로드
docker pull hello-world:latest

# latest: Pulling from library/hello-world
# e6590344b1a5: Pull complete 
# Digest: sha256:c41088499908a59aae84b0a49c70e86f4731e588a737f1637e73c8c09d995654
# Status: Downloaded newer image for hello-world:latest
# docker.io/library/hello-world:latest


# 로컬 이미지 조회
docker images

# 도커 실행
docker run --help
docker run --name first-docker hello-world:latest
docker run --name nginx-docker -p 3000:80 -d nginx:latest

# 네트워크 상태 조회
netstat -ntlp

# 컨테이너 프로세스 재조회
docker ps --help
docker ps
docker ps -a

# 컨테이너 로그 조회
docker logs --help
docker logs first-docker
docker logs -f nginx-docker

# 컨테이너 내부에서 sh 실행
docker exec --help

# [터미널 2]
docker exec -it nginx-docker /bin/bash
curl http://localhost

#
exit
curl http://localhost:3000

curl https://ipinfo.io/ip
# curl $(curl -s https://ipinfo.io/ip):3000
# > EC2에서 실행하면 EC2의 PubIP
# > Mac,Win등 로컬에서 실행하면 Local PubIP

# IP 가 다른 이유는?? -> 컨테이너 네트워크에서 다룰 내용
# 127.0.0.1 - - [18/Apr/2025:15:18:47 +0000] "GET / HTTP/1.1" 200 615 "-" "curl/7.88.1" "-"
# 172.17.0.1 - - [18/Apr/2025:15:19:02 +0000] "GET / HTTP/1.1" 200 615 "-" "curl/7.81.0" "-"
# 3.36.103.85 - - [18/Apr/2025:15:21:21 +0000] "GET / HTTP/1.1" 200 615 "-" "curl/7.81.0" "-"
# 116.43.168.146 - - [18/Apr/2025:15:22:01 +0000] "GET / HTTP/1.1" 200 615 "-" "Mozilla/5.0 (Windows NT; Windows NT 10.0; ko-KR) WindowsPowerShell/5.1.19041.5737" "-"

# 컨테이너 정보 조회
docker inspect nginx-docker

... 생략 ...
"Networks": {
    "bridge": {
        "Gateway": "172.17.0.1",
        "IPAddress": "172.17.0.2",
    }
}
... 생략 ...

# 컨테이너 네트워크 조회
docker network ls
docker network inspect bridge
docker network inspect bridge | grep 'Containers' -A8

## 172.17.0.1 은 어디서 온걸까?
ip addr
ip addr show dev docker0

# 컨테이너 중지
docker stop nginx-docker
docker stop $(docker ps -aq)

# 컨테이너 제거
docker rm nginx-docker
docker rm $(docker ps -aq)

# 컨테이너 이미지 제거
docker rmi nginx:latest hello-world:latest

• nginx 컨테이너에 http 요청시 방식에 따라 서로 다른 소스IP가 찍힘
  • 컨테이너 내부) curl http://localhost > 127.0.0.1
  • EC2) curl http://localhost:3000 > 172.17.0.1
  • EC2) curl $(curl -s https://ipinfo.io/ip):3000 > 3.36.103.85
  • Win) curl $(curl -s https://ipinfo.io/ip):3000 > 116.43.168.146

• nginx 컨테이너의 네트워크를 조회하면 Gateway와 컨테이너의 IP조회 가능
  • GW > 172.17.0.1
  • nginx > 172.17.0.2

docker run --help

# 필수로 알아야 하는 옵션
-d        : [Detach] 백그라운드에서 컨테이너 프로세스 실행 (nohup &)
-i        : [Interactive] 표준입력 연결 (입력) (-it 는 세트)
-t        : [tty] 가상 터미널 생성 - 상호작용 (출력) (-it 는 세트)
--name    : 컨테이너 이름 지정
-p        : [Publish] 호스트 포트와 컨테이너 포트 매핑
--restart : 재시작 정책 [always 항상, on-failure 에러 코드 0이 아닌 경우, unless-stopped 수동으로 중지하지 않는 한]
-v        : [volume] 호스트 볼륨 마운트

# 알아두면 좋은 옵션
-u        : [user] 컨테이너 내부 실행 유저
--rm      : 컨테이너 종료 시 자동 삭제, 임시 사용 [restart 와는 동시 사용 불가]

## 참고
# --restart 와 --rm 은 같이 사용할 수 없다.
# -d 와 -it 는 함께 사용할 수 없다. (docker exec -it 활용)

# 예시
mkdir ~/volume-mount && cd ~/volume-mount && touch hello.txt

docker run \
	--name nginx-docker \
	-d \
	-p 3000:80 \
	-v $(pwd):/tmp-dir \
	--restart always \
	nginx:latest
	
docker exec -it nginx-docker /bin/bash

• docker
  • run 명령어로 컨테이너 실행
    • -d 옵션으로 백그라운드 보내기
  • exec 명령어로 컨테이너 내부에서 명령어 실행
    • -it 옵션으로 포그라운드 가져오고 bash 쉘 실행
  • -v 옵션을 통해 지정한 볼륨/파일이 컨테이너 내부와 동기화
    • ~/volume-mount/hello.txt = /tmp-dir/hello.txt

# 터미널1 (kn) : kn 이름의 busybox 컨테이너 생성
docker run -it --name=kn --rm busybox
ip addr

# 터미널2 (ou) : ou 이름의 busybox 컨테이너 생성
docker run -it --name=ou --rm busybox
ip addr

# 터미널3 (호스트)
docker ps

# 터미널3 (호스트)
sudo tcpdump -i docker0 -n

# 터미널1 (kn)
# Ping (kn -> ou)
ping -c 4 172.17.0.3

# 터미널2 (ou)
# Ping (ou -> kn)
ping -c 4 172.17.0.2

# 터미널3 (호스트)
sudo tcpdump -i any icmp

# 터미널1 (kn)
# Ping (kn -> google.com)
ping -c 1 8.8.8.8

# 터미널2 (ou)
# Ping (ou -> kn)
ping -c 1 8.8.8.8

• 컨테이너 내부 통신 테스트
  • sudo tcpdump -i docker0 -n
  • 이름이 docker0인 인터페이스(Docker bridge)의 실시간 트래픽 캡쳐
  • 두 서버(172.17.0.2,4)간 ping(ICMP) 패킷 확인

• 컨테이너 외부 통신 테스트
  • sudo tcpdump -i any icmp
  • 모든 네트워크 인터페이스에서 ICMP(ping) 요청 확인
  • 두 서버가 퍼블릭망의 8.8.8.8(google DNS Server) 요청시 패킷 확인

# 컨테이너 실행
docker run --rm -d --network host --name my_nginx nginx

# HostConfig.NetworkMode "host" , Config.ExposedPorts "80/tcp" , NetworkSettings.Networks "host" 확인
docker inspect my_nginx

docker inspect my_nginx | grep NetworkMode
docker inspect my_nginx | grep -A 1 Networks 
docker inspect my_nginx | grep -A 2 ExposedPorts 

# 네트워크 상태 확인
netstat -ntlp

# curl 접속 확인
curl -s localhost | grep -o '<title>.*</title>'

# 추가 실행 시도
docker run -d --network host --name my_nginx_2 nginx

# 확인
docker ps -a

# 삭제
docker container stop my_nginx

• my_nginx 컨테이너의 네트워크 정보 확인 > host 모드, tcp 80 port 사용
• localhost의 기본 80 포트 요청시 성공적으로 응답

• host와 port를 공유하기에, 같은 포트에 서로 다른 프로세스 동작 불가
  • 같은 80포트를 사용하는 my_nginx_2는 포트 사용중이라 생성 실패

# None 네트워크로 Nginx 실행
docker run --rm -d --network none --name my_nginx nginx
 
# Docker Inspect 로 정보 확인
docker inspect my_nginx | grep NetworkMode

# 네트워크 정보 조회
netstat -ntlp

# 컨테이너 내부 환경 확인
docker exec -it my_nginx /bin/bash

ip addr
ping 8.8.8.8
curl localhost

• ip, ping 없는데?!?! 영상다시봐야겠다
• 아마 loopback interface(lo) 만있고 퍼블릭 못나가고 로컬은 되겠지

# 실습을 위해 기존 이미지 제거
docker stop $(docker ps -aq)
docker rm $(docker ps -aq)
docker rmi $(docker images -aq)

# 테스트 디렉토리 생성
mkdir ~/python && cd ~/python

cat << EOF >> app.py
from http.server import BaseHTTPRequestHandler, HTTPServer

class Handler(BaseHTTPRequestHandler):
    def do_GET(self):
        self.send_response(200)
        self.send_header('Content-type','text/plain')
        self.end_headers()
        self.wfile.write(b"Hello, Docker!")

if __name__ == '__main__':
    server = HTTPServer(('0.0.0.0', 8000), Handler)
    print("Server running on port 8000...")
    server.serve_forever()
EOF

cat << EOF >> hello.txt
Hello World
EOF

cat << EOF >> dockerfile
# 베이스 이미지
FROM python:3.10-slim

# 컨테이너 안에 디렉토리 만들고 이동
WORKDIR /app

# 전체 디렉토리 파일 복사
COPY . .

# 컨테이너가 실행할 기본 명령
CMD ["python", "app.py"]
EOF

# Docker build 명령어 수행 (파일명이 dockerfile 일 경우 -f 생략 가능
docker build -t my-first-python -f dockerfile .

#
docker images

# 터미널 1
docker run --rm -p 8000:8000 my-first-python

# 터미널 2
netstat -ntlp
curl http://localhost:8000; echo

• 8000포트로 요청하면 텍스트 찍는 파이썬 http 서버 업
• 호스트의 8000포트 개방 확인 (-p 8000:)

# 터미널1 - 기존 컨테이너 실행
docker run -d -p 8000:8000 --name origin my-first-python
docker exec -it origin /bin/bash
ls -lah

# 터미널2
# .dockerignore 파일 생성
cat << EOF >> .dockerignore
# hello.txt 제외
hello.txt
EOF

#
docker build -t my-second-python -f dockerfile .

#
docker run -d -p 8001:8000 --name modify my-second-python
docker exec -it modify /bin/bash

#
ls -lah

# 실습 후 컨테이너 제거
ㅊdocker stop $(docker ps -aq)
docker rm $(docker ps -aq)
docker rmi $(docker images -aq)

• ~/python dir의 .dockerignore 생성됨에 따라 hello.txt 제외되고 빌드됨

mkdir ~/alpine && cd ~/alpine

# 예제 파일 생성
cat << EOF >> hello.py
print("Hello from Docker!")
EOF

# 기본 파이썬 이미지
cat << EOF >> normal-dockerfile
FROM python:3.10

WORKDIR /app
COPY hello.py .
CMD ["python", "hello.py"]
EOF

# Alpine 파이썬 이미지
cat << EOF >> alpine-dockerfile
FROM python:3.10-alpine

WORKDIR /app
COPY hello.py .
CMD ["python", "hello.py"]
EOF

# 이미지 빌드
docker build -t normal -f normal-dockerfile .
# [+] Building 21.5s (8/8) FINISHED

docker build -t alpine -f alpine-dockerfile .
# [+] Building 3.6s (8/8) FINISHED

# 이미지 확인
docker images
REPOSITORY    TAG       IMAGE ID       CREATED                  SIZE
alpine       latest    c4a15fbdfd7d About a minute ago   51.1MB
normal       latest    4e4036df0902 2 minutes ago        1GB

• Debian 12(bookworm) 대비 alpine의 빠른 빌드 속도, 경량 확인

mkdir ~/multi && cd ~/multi

cat << EOF >> main.go
package main

import "fmt"

func main() {
  fmt.Println("hello, world")
}
EOF

# 기존 빌드
cat << EOF >> origin-dockerfile
# syntax=docker/dockerfile:1
FROM golang:1.23
WORKDIR /src
COPY main.go .
RUN go build -o /bin/hello ./main.go
CMD ["/bin/hello"]
EOF

# Multi Stage Build
cat << EOF >> multi-dockerfile
# syntax=docker/dockerfile:1
FROM golang:1.23 AS build
WORKDIR /src
COPY main.go .
RUN go build -o /bin/hello ./main.go

FROM scratch
COPY --from=build /bin/hello /bin/hello
CMD ["/bin/hello"]
EOF

# 이미지 빌드
docker build -t origin -f origin-dockerfile .
docker build -t multi -f multi-dockerfile .

# 컨테이너 실행 확인
docker run origin
docker run multi

# 이미지 확인
docker images
REPOSITORY   TAG       IMAGE ID       CREATED          SIZE
multi        latest    b1288266668c   21 seconds ago   2.13MB
origin       latest    a75c44b075a8   31 seconds ago   870MB

• 동일한 소스코드에서 만든 이미지지만 불필요 종속성 제거로 용량감소

• root 권한을 가진 컨테이너 생성
  • 생성 이후 기본 유저와 ID 및 root 권한의 명령어 시도

mkdir ~/non-root && cd ~/non-root

cat << EOF >> hello.sh
#!/bin/sh
echo "Hello from multi-architecture Docker image!"
EOF
chmod +x hello.sh

cat << EOF >> root-dockerfile
FROM ubuntu
COPY hello.sh /hello.sh
CMD ["/hello.sh"]
EOF

# 빌드
docker build -t root -f root-dockerfile .
docker run -it root /bin/bash

#
whoami
id
apt update -y && apt install nginx -y

• root 권한을 가진 컨테이너 생성
• 생성 이후 기본 유저와 ID 및 root 권한의 명령어 시도

cat << EOF >> non-root-dockerfile
FROM ubuntu
RUN useradd -m -u 1001 appuser
USER appuser
COPY hello.sh /home/appuser/hello.sh
EOF

# 빌드
docker build -t non-root -f non-root-dockerfile .
docker run -it non-root /bin/bash

#
whoami
id
apt update -y

• root 권한을 가진 컨테이너의 경우 UID0 의 root로 실행 및 root권한 사용 가능

• non-root 권한 USER의 경우 별도 UID 할당 및 Permission denied

docker plugin ls

# 정책 디렉토리 생성
sudo mkdir -p /etc/docker/policies
sudo touch /etc/docker/policies/authz.rego

# 모든 사용자에게 모두 허용
echo "package docker.authz
allow = true" | sudo tee -a /etc/docker/policies/authz.rego

# Docker Plugin Install - OPA
## 수락 필요
sudo docker plugin install openpolicyagent/opa-docker-authz-v2:0.4 opa-args="-policy-file /opa/policies/authz.rego"

# Docker Daemon 설정
if [ ! -f /etc/docker/daemon.json ]; then
  sudo touch /etc/docker/daemon.json
fi
echo "{
  \"authorization-plugins\": [\"openpolicyagent/opa-docker-authz-v2:0.4\"]
}" | sudo tee -a /etc/docker/daemon.json

# 설정 확인
cat /etc/docker/daemon.json

# 플러그인 활성화 적용
sudo systemctl restart docker

# 정책 변경 (모두 사용 불가)
sudo vim /etc/docker/policies/authz.rego
allow = false 변경

# Docker 명령어 수행
docker ps

• journalctl -u docker.service -f 명령어로 docker daemon log 확인
  • allow = true > OPA policy decision: true 로그 확인
  • allow = false > OPA policy decision: false 로그 확인