sockguard ist ein standardmäßig verweigernder Docker-Socket-Filter aus demselben CodesWhat-Ökosystem mit einer für drydock erstellten Voreinstellung:

services:
  drydock:
    image: codeswhat/drydock
    depends_on:
      sockguard:
        condition: service_healthy
    environment:
      - DD_WATCHER_LOCAL_HOST=sockguard
      - DD_WATCHER_LOCAL_PORT=2375
      - DD_AUTH_BASIC_ADMIN_USER=admin
      - "DD_AUTH_BASIC_ADMIN_HASH=<paste-argon2id-hash>"
    ports:
      - 3000:3000

  sockguard:
    image: codeswhat/sockguard
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - ./sockguard.yaml:/etc/sockguard/config.yaml:ro
    environment:
      - SOCKGUARD_CONFIG_FILE=/etc/sockguard/config.yaml
    healthcheck:
      test: wget --spider http://localhost:2375/version || exit 1
      interval: 5s
      timeout: 3s
      retries: 3
      start_period: 5s
    restart: unless-stopped

Siehe sockguards app/configs/portwing.yaml-Voreinstellung für einen Start-sockguard.yaml (die gleiche Voreinstellung portwing wird in eigenen Beispielen geliefert).

docker run -d \
  --name drydock \
  -p 3000:3000 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e DD_AUTH_BASIC_ADMIN_USER=admin \
  -e "DD_AUTH_BASIC_ADMIN_HASH=<paste-argon2id-hash>" \
  codeswhat/drydock:latest

Warnung: Der direkte Socket-Zugriff gewährt dem Container die volle Kontrolle über den Docker-Daemon. Verwenden Sie das oben beschriebene Socket-Proxy-Setup für Produktionsbereitstellungen. Im Docker Socket Security Guide finden Sie alle Optionen, einschließlich Remote-TLS und rootless Docker.

• Benachrichtigungen – Titel- und Textvorlagen pro Regel/pro Anbieter mit Live-Vorschau sowie prüfungsgestützten In-App-Klingelkategorien und Schwellenwerten für den Aktualisierungsschweregrad.
• Dashboard – CSS-Rasterersatz ohne Abhängigkeit mit Maus-/Touch-Neuordnung, begrenzter Größenänderung, responsiven Layouts, Widget-Sichtbarkeit, Zurücksetzen und optionaler geräteübergreifender Präferenzsynchronisierung.
• Aktualisierungsrichtlinie – Deklarative Watcher-/Label-/UI-Priorität, Audit-Trail überschreiben/zurücksetzen, Fälligkeits-Countdown/manuelles Überschreiben und Informationssichtbarkeit angehefteter Tags mit einer gestapelten aktuellen → neueren Tag-Ansicht.
• Leistung und Wiederherstellung – Deduplizierung der Tag-Liste pro Umfrage, einfachere Aggregatprojektionen, virtualisierte große Protokollverläufe, unveränderlicher Live-Protokoll-Rollover, Authentifizierungs-Bootstrap-Timeout, vollständige Präferenzmigrationen und Selbstheilung veralteter Chunks.
• v1.6-Migrationen erzwungen – WUD-Env-/Label-Aliase, veraltete Authentifizierungsformate, veraltete Watcher-Schalter, Vorlagenaliase, Kafka clientId und fehlerhafte öffentliche Hub/DHI-Konfigurationen, die nur auf Tokens basieren, werden nicht mehr ausgeführt. Die Trigger-Taxonomie-Aliase bleiben für eine letzte Warnungsversion auf Fehlerebene bestehen.

Vollständige Migrationsanleitung in DEPRECATIONS.md.

• Erholungssichere Update-Richtlinie – Reife-Gates, übersprungene Tags/Digests und Snoozes überleben jetzt die Container-Erstellung für lokale und Remote-Agent-Workloads.
• Zuverlässigkeit angehefteter Tags – Vollständig angeheftete Tags erkennen Digest-Neuerstellungen mit demselben Tag erneut, während die Benutzeroberfläche ein nicht umsetzbares neueres Tag derselben Familie anzeigen kann, ohne das Aktualisierungs- oder Auslöseverhalten zu ändern.
• Rollback-Wiederherstellung – Bei fehlgeschlagener Ersatzerstellung, Netzwerkanbindung oder Start wird jetzt der Kandidat bereinigt, bevor der ursprüngliche Container wiederhergestellt wird, und wiederholte Fehler können nicht durch verschachtelte Rollback-Umbenennungen kaskadiert werden.
• Sicherere Containerwiederherstellung – Vom Daemon zugewiesene MAC-Adressen werden nicht mehr an Ersatzadressen geheftet, während explizit konfigurierte MAC-Adressen des primären Netzwerks erhalten bleiben.
• Leisere Abfrage lokaler Bilder – Lokal erstellte oder geladene Bilder ohne Registry-Digest überspringen Remote-Suchen, anstatt wiederkehrende Autorisierungsfehler zu generieren.

Vollständiger Verlauf in CHANGELOG.md.

✅ = unterstützt   ❌ = nicht unterstützt   ⚠️ = teilweise / begrenzt   † = archiviert, nicht mehr gepflegt

Daten basieren auf öffentlich zugänglicher Dokumentation, Stand März 2026. Beiträge willkommen, wenn Informationen ungenau sind.

Drydock v1.6 lädt zur Laufzeit keine WUD_*-Umgebungsvariablen oder wud.*-Labels mehr. Schreiben Sie sie neu, bevor Sie den aktualisierten Dienst starten. Der persistente Status wird weiterhin automatisch migriert. Verwenden Sie docker exec -it drydock node dist/index.js config migrate --dry-run für die Vorschau und dann docker exec -it drydock node dist/index.js config migrate --file .env --file compose.yaml, um die Konfiguration in die Namen DD_* und dd.* umzuschreiben.

Nur High-Level-Themes – siehe CHANGELOG.md für Details pro Release.