Docker Desktop 4.35 : terminal intégré GA, OAT et boost Apple Silicon

Docker Desktop 4.35, sorti le 4 novembre 2024, apporte trois évolutions qui méritent l'attention — même si tu fais partie de ceux qui ne consultent les changelogs que quand quelque chose casse. Le terminal embarqué et l'export de volumes passent en disponibilité générale, les Organisation Access Tokens arrivent en bêta, et le VMM Apple Silicon reçoit une optimisation mesurable. Voici ce que ça change concrètement pour ton quotidien.

Terminal intégré et export de volumes : les outils de confort enfin stables

Le terminal embarqué était en bêta depuis la 4.33. Il est maintenant stable. Depuis l'onglet Containers de Docker Desktop, tu sélectionnes un conteneur, tu cliques sur Exec — et tu as un shell directement à l'intérieur, sans quitter l'interface. Plus besoin de jongler avec docker exec -it <id> /bin/sh depuis un terminal séparé. Ce n'est pas révolutionnaire, mais la réduction de friction sur le debug quotidien est réelle et immédiate.

L'export de volumes (Volumes Backup & Share) passe aussi en GA. Docker Desktop expose désormais cette fonctionnalité dans l'interface pour créer des snapshots portables d'un volume. En complément, l'approche CLI reste la plus universelle et fonctionne sur toutes les versions :

# Sauvegarde d'un volume vers une archive tar.gz
docker run --rm \
  -v mon-volume:/data \
  -v "$(pwd)":/backup \
  alpine tar czf /backup/mon-volume-$(date +%Y%m%d).tar.gz -C /data .

# Restauration sur une autre machine ou un autre environnement
docker volume create mon-volume-cible
docker run --rm \
  -v mon-volume-cible:/data \
  -v "$(pwd)":/backup \
  alpine tar xzf /backup/mon-volume-20241104.tar.gz -C /data

Organisation Access Tokens : la fin du token personnel en CI/CD

C'est la vraie nouveauté de sécurité de cette release. Le flux habituel dans les équipes : un développeur crée un Personal Access Token (PAT) sur son compte Docker Hub, le colle dans les secrets GitHub ou GitLab, et tout le monde oublie que ce token est lié à son compte personnel. Quand il quitte l'équipe, c'est la chasse aux pipelines à mettre à jour — et on en oublie toujours un.

Les Organisation Access Tokens (OAT) — en bêta dans la 4.35 — attachent le token à l'organisation Docker Hub plutôt qu'à un individu. Tu définis des permissions granulaires par dépôt (pull only, push, admin) et tu révoques sans toucher aux accès des autres membres. C'est exactement ce que les équipes attendaient pour sortir du pattern "token partagé sur Slack" :

# .github/workflows/deploy.yml
jobs:
  push-image:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Login Docker Hub avec OAT
        uses: docker/login-action@v3
        with:
          username: ${{ secrets.DOCKERHUB_ORG_USERNAME }}
          password: ${{ secrets.DOCKERHUB_OAT }}  # Organisation Access Token, pas un PAT

      - name: Build et push multi-platform
        uses: docker/build-push-action@v6
        with:
          push: true
          tags: monorg/mon-app:${{ github.sha }}
          platforms: linux/arm64,linux/amd64

La fonctionnalité est en bêta : il faut l'activer dans les paramètres de l'organisation Docker Hub. Les tokens existants (PAT) restent valides, la migration peut être progressive. À planifier dès maintenant plutôt qu'après le prochain départ d'un dev.

Apple Silicon M1/M2/M3 : activer le bon VMM fait une vraie différence

Docker Desktop 4.35 embarque un VMM (Virtual Machine Monitor) revu, qui exploite plus directement le framework Apple Hypervisor natif sur les puces M-series. Moins de couche d'émulation, plus d'utilisation des capacités matérielles. Sur un M2 Pro, le pull d'une image php:8.3-fpm-alpine en linux/arm64 passe de ~18 s à ~11 s avec les bons paramètres — à réseau constant. Les builds multi-stage gagnent également du terrain, notamment sur les étapes composer install et npm ci exécutées nativement ARM.

Pour en profiter, vérifie ces paramètres dans Docker Desktop → Settings → General et Resources → Advanced :

• Virtual Machine Manager : choisir Apple Hypervisor (et non QEMU)
• VirtioFS activé pour le filesystem (plus rapide que gRPC-FUSE)
• Rosetta 2 activé si tu dois faire tourner des images x86/amd64 sur ARM

// ~/Library/Group Containers/group.com.docker/settings.json
// (vérifier via l'UI, ce fichier reflète la configuration active)
{
  "vmType": "apple",
  "useVirtualizationFrameworkVirtioFS": true,
  "useVirtualizationFrameworkRosetta": true
}

Si tu builds des images multi-platform (ARM + AMD64) pour déployer sur du cloud Linux, Rosetta 2 te permet d'émuler x86 nativement sur le Mac sans avoir à monter une instance Linux séparée. Le gain de temps est surtout visible sur les images lourdes : Node, Java, images Symfony avec extensions PHP compilées.

Ce qu'on retient de la 4.35

• Terminal embarqué GA : debug de conteneur sans quitter Docker Desktop, assez stable pour le quotidien
• Volumes Backup & Share GA : outil pratique pour les migrations dev → staging ou les sauvegardes rapides
• Organisation Access Tokens (bêta) : à adopter dès maintenant pour sortir des Personal Access Tokens en CI/CD — le risque sécurité vaut le coût de migration
• Apple Silicon : activer Apple Hypervisor + VirtioFS si ce n'est pas déjà fait — gain immédiat sans changement de code

Si tu veux une revue complète de ta configuration Docker — gestion des accès, sécurité des images, pipeline CI/CD, performances en environnement dev — c'est exactement ce que couvre le Bear Scan : un audit ciblé de ton stack pour identifier les points de friction et les risques avant qu'ils deviennent des incidents.