Was ist Watchtower?

Wenn es um Docker-Container geht, ist es ebenfalls wichtig, diese stets auf dem neuesten Stand zu halten. Regelmäßig werden Sicherheitsupdates, Bugfixes und neue Funktionen veröffentlicht. Besonders in produktiven Umgebungen, in denen Docker intensiv genutzt wird, ist eine automatisierte Update-Lösung unerlässlich. Hier kommt Watchtower ins Spiel.

Durch Watchtower lässt sich ein Zeitplan festlegen, wann er nach neuen Updates für die Docker-Images suchen und diese automatisch aktualisieren soll, während gleichzeitig die veralteten Images entfernt werden. Auf diese Weise entfällt die Notwendigkeit manueller Intervention – die Images werden automatisch aktualisiert und anschließend aufgeräumt, um Speicherplatzverschwendung zu vermeiden. Alles in allem eine äußerst praktische Lösung.

Wie installieren Sie Watchtower?

Watchtower lässt sich problemlos in unsere Docker-Umgebung integrieren. Hierbei kann Watchtower ganz unkompliziert über einen Docker-Container eingebunden werden, entweder mithilfe von Docker oder Docker Compose.

In diesem Zusammenhang betrachten wir die Variante mit Docker Compose. Für die Standard-Docker-Integration können weitere Informationen auf der Projektwebsite unter https://containrrr.dev/watchtower/ gefunden werden.

Wie üblich ist es zu Beginn ratsam, Docker Compose installiert zu haben. Falls dies noch nicht erfolgt ist, empfehlen wir, unser Tutorial oder Blog zu konsultieren: „Link folgt“

Nach der Installation geht es wie folgt weiter. Erstellen Sie einen neuen Ordner, in dem Sie die Docker-Compose-Datei für Watchtower ablegen. Gebt dazu den folgenden Befehl in die Shell ein:

$ mkdir -p /opt/containers/watchtower/

Nachdem wir den Ordner erstellt haben, setzen wir die Erstellung der docker-compose.yml-Datei fort.

Führt dazu den folgenden Befehl in der Shell aus:

$ nano /opt/containers/watchtower/docker-compose.yml

Kopiert nun unser Template heraus. Zur Information: Dieses Template implementiert eine Lösung über SMTP, sodass bei jedem Zyklus von Watchtower eine Benachrichtigung erhaltet. Unabhängig davon, ob ein Update durchgeführt wurde oder lediglich eine Überprüfung stattgefunden hat. Es ist auch möglich, Benachrichtigungen über Slack, Microsoft Teams oder Gotify zu konfigurieren. Weitere Informationen dazu findet ihr hier: https://containrrr.dev/watchtower/notifications/#legacy_notifications

version: "3"
services:
  watchtower:
    container_name: watchtower
    image: containrrr/watchtower
    restart: unless-stopped
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - /etc/localtime:/etc/localtime:ro
    environment:
      - WATCHTOWER_NOTIFICATIONS_LEVEL=info
      - WATCHTOWER_NOTIFICATIONS=email
      - WATCHTOWER_NOTIFICATION_EMAIL_FROM=<email-from>
      - WATCHTOWER_NOTIFICATION_EMAIL_TO=<email-to>
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER=<email-server>
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER_USER=<email-user>
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER_PASSWORD=<password>
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER_PORT=<email-server-port>
      - WATCHTOWER_LABEL_ENABLE=true
      - WATCHTOWER_SCHEDULE=0 0 8 * * *
      - WATCHTOWER_CLEANUP=true
      - WATCHTOWER_TIMEOUT=30s
      - WATCHTOWER_INCLUDE_RESTARTING=true
      - WATCHTOWER_ROLLING_RESTART=true
      - WATCHTOWER_INCLUDE_STOPPED=true
      - WATCHTOWER_NOTIFICATION_EMAIL_SUBJECTTAG=<subjecttag>
    labels:
      - "com.centurylinklabs.watchtower.enable=true"

Bei <email-from> tragt ihr eure E-Mail-Adresse ein, von der aus die Versendung erfolgen soll. Bei <email-to> tragt ihr die E-Mail-Adresse ein, die die Benachrichtigungen erhalten soll. <email-server> wird mit eurem SMTP-Server ausgefüllt. Bei <email-user> und <password> tragt ihr die Anmeldeinformationen für den SMTP-Benutzer ein. <email-server-port> gibt den Port eures Server-SMTP an. <subjecttag> Hier könnt ihr ein Subjacttag definieren, damit bei euerer E-Mail der unterschied zu erkennen ist, welcher Watchtower diese Mail schickt. Schreibt da ambesten einfach den Servernamen rein. Bitte stellt sicher, dass immer eine verschlüsselte Übertragung erfolgt!

Die übrigen Einstellungen sollten standardmäßig passen. Watchtower ist so konfiguriert, dass er täglich um 8:00 Uhr nach neuen Updates sucht. Wenn ihr eine andere Uhrzeit einstellen möchtet, könnt ihr die Formatierung hier überprüfen: LINK. Beachtet jedoch, dass es ratsam ist, Updates durchzuführen, wenn ihr wach seid, falls etwas schief geht. Was auch noch wichtig ist, derzeitig ist die Einstellung durch WATCHTOWER_LABEL_ENABLE=true so gesetzt, dass ich bei jedem anderen Docker ein Label hinzufügen müsst, damit watchtower weiß, dass er dieses Image auch updaten soll. So würde das aussehen.

    labels:
      - "com.centurylinklabs.watchtower.enable=true"

Jetzt müsst ihr nur noch den Docker Compose ausführen, und der Docker-Container sollte seine Aufgabe erfüllen. Gebt dazu folgenden Befehl ein:

$ docker-compose -f /opt/containers/watchtower/docker-compose.yml up -d

Nun sollte der Docker starten und seine Arbeit aufnehmen. Es wird empfohlen, zwischendurch die E-Mails zu überprüfen. In unserem Fall ist Watchtower einmal abgestürzt. Nach einem erneuten Pull und Neustart läuft er jedoch seit mehreren Monaten einwandfrei. Falls weitere Fragen auftreten, stehen wir als IT-Dienstleister gerne für Beratung zur Verfügung. Viel Spaß mit Watchtower.

Gruß
Samuel