Installer Docker sur Debian

Docker isole des applications dans des conteneurs et simplifie le déploiement d'une stack reproductible. Sur un VPS NeoHeberg, le système est lui-même un conteneur : Docker peut fonctionner, mais certaines fonctions de stockage ou de permissions doivent être testées. Cette procédure installe Docker depuis le dépôt officiel, vérifie son fonctionnement et pose les limites à connaître.

Ajouter le dépôt officiel

sudo apt update
sudo apt install -y ca-certificates curl gnupg
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/debian/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/debian $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | sudo tee /etc/apt/sources.list.d/docker.list >/dev/null
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

Le dépôt officiel fournit les versions à jour ; le paquet Debian docker.io est plus ancien. Téléchargez la clé dans un trousseau dédié et n'utilisez pas apt-key, obsolète. La ligne signed-by limite la clé à ce dépôt.

Vérifier le démon

sudo systemctl enable --now docker
sudo docker run --rm hello-world
sudo docker version
sudo docker compose version

hello-world vérifie le démon, le stockage et le réseau. Si le téléchargement échoue, contrôlez la résolution DNS et l'accès sortant avant de toucher au pare-feu. docker compose version confirme que le plugin est installé ; la commande docker-compose séparée n'est plus nécessaire.

Utiliser un compte non-root

sudo usermod -aG docker utilisateur

Reconnectez-vous pour que le groupe prenne effet, ou utilisez newgrp docker dans la session courante. Le groupe docker équivaut à root : un membre peut monter / dans un conteneur et lire les secrets du système. N'ajoutez que les comptes de déploiement nécessaires, jamais un compte partagé.

Sécurité réseau et socket

Les ports publiés par Docker contournent UFW : Docker insère ses propres règles nftables avant celles du pare-feu. Deux approches : publier sur 127.0.0.1:PORT et laisser Nginx exposer le service, ou maîtriser explicitement les règles Docker. Ne montez jamais /var/run/docker.sock dans un conteneur non fiable : cela revient à donner root sur la machine qui exécute Docker. Épinglez les images par version plutôt que d'utiliser latest.

Limites du conteneur et dépannage

Le VPS NeoHeberg est un conteneur système isolé. Docker démarre, mais le pilote overlay2 ou les permissions de volumes peuvent échouer selon la configuration. docker info indique le pilote de stockage actif. En cas d'erreur, testez fuse-overlayfs, plus lent, avant de conclure. Aucun module noyau ne peut être chargé depuis le VPS. Validez votre charge de travail avant la production et gardez une sauvegarde des volumes.

Les pannes courantes se lisent dans cet ordre :

• Cannot connect to the Docker daemon : service arrêté ou droits de groupe manquants.
• Permission denied sur un volume : UID/GID différents de l'utilisateur du conteneur.
• Disque plein : docker system df, puis supprimez les images ou volumes inutilisés.
• Journal du démon : journalctl -u docker -n 100 --no-pager.