Docker: Backup und Wiederherstellung

Docker-Daten liegen über verschiedene Docker-Objekte und -Dateien verteilt vor. Leider existiert kein einheitlicher Ansatz zum Erstellen von Backups der einzelnen Docker-Daten. Stattdessen kommt eine Reihe verschiedener Befehle in Kombination zum Einsatz. Wir zeigen, wie das Anlegen und Wiederherstellen von Docker-Backups funktioniert.

Nachdem wir uns mit der Frage „Was ist ein Backup?“ beschäftigt, verschiedene Backup-Strategien vorgestellt und Anlegen von Datenbank-Backups erklärt haben, befassen wir uns nun mit der Erstellung von Docker-Backups.

Anders als beim Anlegen eines MySQL-Backup mit mysqldump oder eines PostgreSQL-Backup mit pg_dump gibt es kein dediziertes Docker-Backup-Tool. Ein „docker backup volume“- oder „docker backup container“-Kommando sucht man vergeblich. Stattdessen existieren verschiedene Ansätze, die einzelnen Docker-Komponenten in Backups aufzunehmen. Schauen wir uns zunächst an, von welchen Docker-Komponenten man Backups erstellen sollte.

Grundsätzlich gilt bei Docker wie ganz generell: Von allen Daten, die bei Verlust nicht wiederhergestellt werden können, sollten Backups erstellt werden. Im Falle von Docker gehören dazu mindestens drei Arten von Daten:

1. Docker-Objekte: Diese werden vom Docker-Deamon verwaltet. Die dabei anfallenden Daten werden unterhalb eines speziellen Verzeichnisses abgelegt. Dabei besteht keine Eins-zu-eins-Korrespondenz der dort liegenden Dateien zu den im Docker-Container vorhandenen Daten. Wir legen Backups der folgenden Docker-Objekte an:
   • Docker-Container
   • Docker-Volumes
   • Docker-Image
2. Docker-Build-Dateien: Diese werden vom Nutzer verwaltet und liegen in beliebigen Ordnern auf dem Host-System. Die Build-Dateien lassen sich unkompliziert kopieren und archivieren. Wir legen Backups der folgenden Docker-Build-Dateien an:
   • Docker-Compose-Projektordner
   • Dockerfiles
3. Datenbanken innerhalb eines Containers: Diese werden aus dem Container als Dump-Dateien exportiert. Wir legen Backups von Datenbanken der folgenden Systeme an:
   • MySQL-Datenbanken
   • PostgreSQL-Datenbank

Die generelle Idee beim Anlegen von Docker-Backups besteht darin, die Daten in Archiv-Dateien auf dem Host-System zu schreiben. Im Anschluss werden die Archiv-Dateien vom lokalen System auf ein Backup-System kopiert.

Sollen Backups vieler Docker-Daten erstellt werden, lohnt es sich, den Prozess zu automatisieren. Auf GitHub finden sich ausgefeilte Skripte, die das Anlegen von Docker-Backups vereinfachen. Der Entwickler Andreas Laub beispielsweise stellt eine Reihe praktischer Docker-Backup-Tools unter Open-Source-Lizenz zur Verfügung.

Zum Anlegen eines Backups werden Daten kopiert. Dazu müssen wir zunächst wissen, wo die Daten liegen. Im Docker-Universum dienen Docker-Volumes als Ablageorte für den Austausch zwischen Docker-Containern und Host-System bzw. zwischen mehreren Containern.

Ein Docker-Container wird aus einem schreibgeschützten Docker-Image erzeugt. Änderungen an einem laufenden Container sind flüchtig und gehen beim Entfernen des Containers verloren. Um die Daten permanent zu sichern, müssen sie aus dem laufenden Container exportiert werden.

Neben Docker-Volumes lassen sich Container-Daten auch im laufenden Container speichern. Die Daten landen in der beschreibbaren Speicherschicht des Container-Dateisystems. In den meisten Fällen ist dies suboptimal. Es ist daher wichtig, das System klug zu konfigurieren und beispielsweise ein Docker-Volume zu nutzen.

Die Frage, wo genau Container-Daten abgelegt werden, erweist sich als recht komplex. Denn es gibt nicht nur eine Art von Docker-Volume. Je nach verwendetem Volume-Typ bestehen subtile Unterschiede in Bezug auf Speicherort und Schicksal der Daten beim Entfernen des Containers. Hier eine Übersicht der hauptsächlichen Docker-Speicher-Komponenten:

In den meisten Fällen wird zum Erstellen eines Docker-Backups ein sogenanntes Tarball-Archiv erzeugt. Dabei kommt der Tar-Befehl zum Einsatz. Der generelle Befehlsaufruf zum Erzeugen einer Tar-Archiv-Datei entspricht dem folgenden Muster:

Dabei gibt es einen Haken: beim Aufruf wird der gesamte Pfad des archivierten Ordners in das Archiv mitaufgenommen. Beim Wiederherstellen kann dies problematisch sein. In der Praxis findet sich daher meist ein alternativer Ansatz:

Wir wechseln zunächst in den zu archivierenden Ordner und wenden das Tar-Kommando auf den derzeitigen Ordner an. Auf der Kommandozeile wird auf den derzeitigen Ordner mit einem Punkt (.) verwiesen. Die Kombination der beiden Schritte durch den &&-Operator stellt sicher, dass das Archivieren nur ausgeführt wird, wenn das Wechseln in den Zielordner erfolgreich war.

Die beim Archivieren der Docker-Daten erzeugte .tar-Dateien liegen zunächst auf dem Host-System. Um ein tatsächliches Backup zu erstellen, werden die Archiv-Dateien im Anschluss auf ein Backup-System übertragen. Dabei handelt es sich entweder um ein externes Speichermedium oder einen Cloud-Speicher. Für die Übertragung kommen spezielle Tools wie Rsync oder S3 zum Einsatz.

Nachfolgend eine Übersicht der beim Anlegen von Docker-Backups zum Einsatz kommenden Ansätze samt zugehöriger Befehlsmuster. In manchen Fällen gibt es mehr als einen Ansatz, ein Backup eines Docker-Objekts zu erzeugen.

Wir setzen für die nachfolgenden Schritte voraus, dass Backup-Dateien beim Erzeugen im Ordner /backup/ im Heimverzeichnis abgelegt werden. Wir legen den Ordner als vorbereitenden Schritt an:

In einem Docker-Container vorhandene Daten sind in schreibgeschützten Schichten eines sogenannten Union-Dateisystems gespeichert. Ein Docker-Container basiert auf einem schreibgeschützten Image und enthält neben den Schichten des Images eine zusätzliche, beschreibbare Schicht.

Um die in der beschreibbaren Schicht vorhandenen Daten permanent zu sichern, erzeugen wir ein neues Image aus dem laufenden Container. Dazu nutzen wir das „docker commit“-Kommando. Im Anschluss sichern wir den Inhalt des Images als Tarball-Archiv:

1. Docker-Dateisystem in Image schreiben

2. Resultierendes Image als Tarball-Archiv-Datei exportieren

Alternativ schieben wir das resultierende Image mit dem „docker image push“-Befehl auf ein Repository:

Zum Sichern eines auf dem lokalen Host verfügbaren Docker-Images nutzen wir den bereits vom Erstellen eines Docker-Container-Backups bekannten Ansatz. Wir schreiben die Image-Daten in ein Tarball-Archiv:

Das Anlegen eines Docker-Volume-Backups erweist sich als komplexer Prozess. Denn wir müssen unterscheiden zwischen „Bind Mounts“ und „benannten“ bzw. „anonymen“ Docker-Volumes. Der Zugriff auf ein Bind Mount ist vom Host-Dateisystem problemlos möglich. So ist es einfach, ein Tarball-Archiv des Ordners anzulegen:

Anders sieht es aus, wenn man aus Docker ein Backup eines benannten oder anonymen Volumes erzeugen möchte. Denn der Zugriff auf Volumes ist nur innerhalb eines laufenden Docker-Containers möglich. Der Standard-Trick zum Archivieren der in einem Docker-Volume enthaltenen Daten besteht darin, einen Container mit Zugriff auf das Volume zu starten. Im Anschluss werden die Daten des Volumes aus dem laufenden Container heraus archiviert. Betrachten wir die einzelnen Schritte des Prozesses:

1. Container mit Zugriff auf das Volume stoppen

2. Temporären Container starten und Volume-Daten extrahieren

Der temporäre Container erhält Zugriff auf die gewünschten Volumes sowie auf den Backup-Ordner auf dem Host.

3. Container mit Zugriff auf das Volume neu starten

Das Kommando zum Extrahieren der Volume-Daten ist komplex. Schauen wir uns die einzelnen Komponenten im Detail an:

Um ein vollständiges Backup des Docker-Compose-Projektordners zu erstellen, erzeugen wir ein Tarball-Archiv des Ordners:

Um ein vollständiges Backup eines Dockerfiles anzulegen, wechseln wir in den Ordner, der das Dockerfile enthält und legen ein Tarball-Archiv des Dockerfiles an:

Datenbanken werden heutzutage gerne containerisiert. Um ein Backup einer im Docker-Container laufenden Datenbank zu erstellen, greift man auf datenbankspezifische Backup-Tools zurück. Dazu zählen insbesondere mysqldump und pg_dump.

Das jeweilige Backup-Tool wird innerhalb des Docker-Containers ausgeführt. Wir nutzen dafür das „docker exec“-Kommando – hier dargestellt am Beispiel einer MySQL-Datenbank. Wir führen den „mysqldump“-Befehl innerhalb des Containers aus. Der dabei entstehende Dump wird an die Standardausgabe der Host-Shell ausgegeben. Per Umleitung schreiben wir eine SQL-Dump-Datei im Backup-Ordner des lokalen Hosts:

Um aus einem laufenden Docker-Container ein Backup einer PostgreSQL-Datenbank zu erzeugen, gehen wir analog vor. Dabei setzen wir voraus, dass Datenbank-Nutzername und -Passwort in der .pgpass-Datei innerhalb des Containers gespeichert sind. Wir zeigen hier das Erstellen eines Backups im Custom-Dump-Format:

Alternativ lässt sich ein klassischer Plain-Text-SQL-Dump erstellen. In diesem Fall fügen wir die Optionen „--clean“ und „--if-exists“ hinzu. Der Effekt ist, die Zieldatenbank vor dem Importieren zu bereinigen. So lässt sich der Dump auf dem Quellsystem einspielen, ohne dass es zu Fehlermeldungen kommt:

Bisher haben wir gezeigt, wie Backups von Docker-Daten angelegt werden. Im weiteren Verlauf widmen wir uns der Wiederherstellung der Daten aus den Docker-Backups. Wir nehmen wiederum an, dass alle Backups auf dem lokalen Host im Ordner ~/backup/ verfügbar sind. In der Praxis müssten die Backups ggf. zunächst vom Backup-Medium in der Backup-Ordner kopiert werden.

Zur Erinnerung: Um ein Backup eines Docker-Containers anzulegen, erstellen wir ein neues Image aus dem laufenden Container und speichern dieses im Anschluss als Tarball-Archiv-Datei. Zur Wiederherstellung eines Docker-Images aus einem Tarball-Archiv nutzen wir das „docker image load“-Kommando:

Im Anschluss starten wir einen neuen Container aus dem resultierenden Image. Wir nutzen die „—detach“-Option, um den Container im Hintergrund zu starten:

Die Wiederherstellung eines Docker-Images aus einem Tarball-Archiv haben wir bereits beschrieben. Wir nutzen dazu das „docker image load“-Kommando:

Beim Wiederherstellen der Daten eines Docker-Volumes aus einem Backup handelt es sich um einen komplexen Prozess. Das genaue Vorgehen hängt vom spezifischen Einsatz-Szenario ab. Wir zeigen hier das Überschreiben der Volume-Daten aus einem Backup. Dabei nehmen wir an, dass wir uns auf demselben System befinden, auf dem das Backup erstellt wurde – d. h. die beteiligten Container, Volumes und weitere Docker-Objekte sind allesamt vorhanden. Handelt es sich um ein frisch eingerichtetes System, gestaltet sich der Prozess dementsprechend aufwendiger.

Das Wiederherstellen eines Docker-Volume-Backups erfordert wie beim Anlegen des Backups einen temporären Container mit Zugriff auf das Volume. Wie das dabei zum Tragen kommende Docker-Kommando genau funktioniert, ist im Abschnitt zum Anlegen eines Volume-Backups beschrieben. Wir bilden die einzelnen Schritte des Prozesses schematisch ab:

1. Container, die das Volume nutzen, stoppen

2. Temporären Container mit Zugriff auf Volume starten und Docker-Daten aus Backup in Volume kopieren

3. Container, die das Volume nutzen, neu starten

Das Wiederherstellen eines Docker-Compose-Projektordners aus einem Backup geht unkompliziert von der Hand. Wir wechseln in den Docker-Compose-Ordner und entpacken dort das Tarball-Archiv. Bestehende Daten werden dabei überschrieben.

Das Wiederherstellen eines Dockerfiles aus einem Tarball-Archiv ist eine simple Operation. Wir entpacken dazu lediglich das Tarball-Archiv innerhalb des Dockerfile-Ordners. Das bestehende Dockerfile wird dabei überschrieben.

Um eine im Docker-Container befindliche Datenbank aus einem Backup wiederherzustellen, nutzen wir das „docker exec“-Kommando. Die Option „--interactive“ startet den Container im interaktiven Modus und hält die Standardeingabe offen.

Auf dem lokalen Host geben wir den Inhalt des MySQL-Dumps mittels cat-Befehl aus und leiten die Ausgabe per Pipe an den Docker-Befehl weiter. Innerhalb des Containers wird der mysql-Befehl ausgeführt, der die SQL-Anweisungen verarbeitet und damit die Datenbank neu aufbaut.

Etwas komplexer ist der Vorgang zum Wiederherstellen einer PostgreSQL-Datenbank. Je nach Format des Datenbank-Dumps kommt eines von zwei vorhandenen Tools zum Einsatz. Zum Wiederherstellen eines Datenbank-Dumps im PostgreSQL-„Custom“-Format führen wir das pg_restore-Tool innerhalb des Containers aus. Wir nutzen eine Eingabe-Umleitung, um die Dump-Datei als Eingabe einzuspeisen:

Das Wiederherstellen eines Plain-Text-PostgreSQL-Datenbank-Dumps funktioniert analog zum Wiederherstellen eines MySQL-Dumps. Wir geben die Dump-Datei per cat-Befehl aus und pipen die Ausgabe an das „docker exec“-Kommando mit Option „--interactive“. Innerhalb des Containers wird der psql-Befehl ausgeführt, der die SQL-Anweisungen verarbeitet und die Datenbank neu aufbaut.