Arcane Docker İncelemesi: Portainer'ın Yerini Almaya Hazır mı?

Arcane, tam rol tabanlı erişim denetimini 7 Haziran 2026'da v2.0.0 sürümüyle yayınladı. Ayrıca imajlarınızı sizin belirlediğiniz zamanlamayla bilinen güvenlik açıklarına karşı tarıyor. Brandon Lee, 29 Aralık 2025'te Arcane hakkındaki ilk izlenim yazısını yayınladığında bunların hiçbiri doğru değildi; RBAC sürümünden beş ayı biraz aşkın süre önceydi.

Bu boşluk, şu anda her Arcane Docker incelemesinin can sıkıcı kısmı. Araç, v2.9.0'dan iki haftadan kısa süre sonra, 5 Eylül 2026'da yayınlanan v2.10.2'ye çoktan ulaştı. v2.10.0 sürümü aşağıda ele alınan GitOps klon sızıntısını düzeltti ve çalışan konteynerler için deneysel bir Convert to Compose akışı ekledi. Birkaç gün önce yazılmış bir özellik listesi bile farklı bir ürünü anlatıyor.

Özetle

v2.10.2 sürümündeki Arcane, doğru operatör için işe yarar bir Portainer alternatifi. Tam RBAC, OIDC tek oturum açma, Trivy güvenlik açığı taraması ve GitOps yeniden dağıtımını ücretsiz ve düğüm sınırı olmadan sunuyor. Portainer bu rol hiyerarşisini üç düğümün ötesinde Business Edition'da tutuyor. 5 üzerinden 4. Onu geride tutan şey yetenek değil, kısa geçmişi.

• Portainer'ın üçüncü düğümünü geçtiğinizde ve kimin neye dokunabileceğini sınırlayan rollere ihtiyaç duyduğunuzda geçin. Altı yerleşik rol, özel roller, ortam başına atama ve OIDC grup claim eşlemesi alırsınız; ücretsiz ve ölçümsüz.
• Güvenlik açığı taraması kutudan çıkıyor. Arcane, açık kaynaklı bir imaj tarayıcısı olan Trivy'yi cron zamanlamasıyla çalıştırır ve sonuçları imaj başına saklar.
• Portainer Business Edition üç düğüme kadar ücretsiz ve özellik kısıtlaması yok. Bu çizginin altında zaten RBAC ve SSO'ya sahipsiniz, dolayısıyla Arcane'in ücretsiz erişim argümanı orada çok daha zayıf.
• Hâlâ doğrudan Portainer stack içe aktarma yok. v2.10.0, çalışan konteynerleri deneysel olarak Compose projelerine dönüştürebiliyor; bu, elle yapılan işin bir kısmını azaltıyor, ancak orijinaller çalışırken adlar ve yayınlanan portlar çakışabileceğinden üretilen YAML'ı yine de gözden geçirmeniz ve bir geçiş planlamanız gerekiyor. Önce birimleri yedekleyin.
• Üretime geçmeden önce ENCRYPTION_KEY değerini sağlamlaştırın ve APP_URL değerini doğru ayarlayın. ENCRYPTION_KEY hâlâ geliştirme amaçlı bir varsayılan değere sahip ve APP_URL kullanıcıların gerçekten ziyaret ettiği HTTPS ana bilgisayar adına işaret edene kadar passkey ile oturum açma çalışmayacak. JWT_SECRET güncel kurulum belgelerine göre artık kullanılmıyor.
• v2.8.0 ve v2.9.0 için bildirilen GitOps disk tükenmesi hatası v2.10.0'da düzeltildi. Düzeltme, artık Git klon geçici dizinlerini yönetici ana makinesinde birikmeye bırakmak yerine temizliyor.
• LDAP hâlâ yok. Kimlik entegrasyonu yalnızca OIDC.

Bu değerlendirme nasıl yapıldı: bu, uygulamalı bir test değil, kanıta dayalı bir inceleme. Sponsorluk yok, ödeme yok, sağlanan ürün yok, geliştiriciyle temas yok. Her yetenek iddiası Arcane'in güncel belgeleri ve sürüm notlarıyla karşılaştırıldı; her güvenilirlik iddiası projenin herkese açık izleyicisindeki tarihli bir kayda ya da kendi dağıtımı hakkında yazan adı belirtilmiş bir operatöre dayanıyor. Burada kimse bu yazı için Arcane'i çalıştırmadı; bu nedenle okumayı sınırladığı yerlerde (arayüzün nasıl hissettirdiği, sürekli yük altında nasıl dayandığı) yazı tahmin yürütmek yerine bunu açıkça söylüyor.

Arcane Portainer'ın Vermediği Neyi Ücretsiz Veriyor?

Esas olarak tek bir şey: tam rol tabanlı erişim denetimi. Portainer CE temel kullanıcı yönetimi sunar; rol hiyerarşisi Business Edition'a ait. Arcane bunu her düğüm sayısında ücretsiz sunuyor; yanında Trivy taraması, GitOps yeniden dağıtımı, Swarm desteği, passkey ile oturum açma, uzak ajanlar ve v2.9.0'da eklenen S3 yedekleri var.

RBAC yakından bakmaya değer kısım, çünkü "RBAC var" ifadesi birbirinden çok farklı şeyleri kapsıyor. Arcane'in erişim denetimi belgeleri altı değiştirilemez yerleşik rol tanımlıyor: Admin, Editor, No-Shell Editor, Deployer, Monitor ve Viewer. Bunlardan herhangi birini özel bir role klonlayıp tek tek izinleri işaretleyebilirsiniz; izinler <resource>:<action> biçimini izliyor, örneğin containers:start. Atamalar genel ya da ortam başına olabiliyor ve bir kullanıcı aynı anda birkaçına sahip olabiliyor. Belgeler örneği doğrudan veriyor: prod ortamında Editor, staging ortamında Viewer.

Bir SSO geçişinde önemli olan, rol atamasının kimlik sağlayıcının kendisinden yönetilebilmesi: "Her oturum açmada Arcane kullanıcının grup claim'ini okur ve OIDC kaynaklı atamalarını yeniden eşitler" ve birden fazla eşlenmiş gruptaki bir kullanıcı bunların birleşimini alır. Bu, Portainer CE'nin hiç sahip olmadığı izin modeli.

Güvenlik açığı taraması ikinci parça. Arcane'in tarama belgeleri "taramaların isteğe bağlı olduğunu, cron zamanlamasıyla çalıştığını ve sonuçların imaj başına saklandığını" belirtiyor; sonuçlar arayüzde gösteriliyor. Varsayılan olarak her gün gece yarısı çalışıyor, trivyIgnoreUnfixed sonuçları bilinen bir düzeltmesi olan açıklarla sınırlıyor ve Trivy sürümü sabitlenmiş bir araç imajıyla geliyor, dolayısıyla tarayıcı güncellemelerini takip etmek size düşmüyor.

Şimdi karşı ağırlık, ve büyük bir ağırlık. Portainer'ın kendi CE ile BE karşılaştırma sayfası Business Edition'ın "3 düğüme kadar sonsuza dek ücretsiz olduğunu" söylüyor: "Deneme süresi yok. Kredi kartı yok. Özellik kısıtlaması yok." Bu, BE'nin tam seti: kendi rol hiyerarşisiyle RBAC, OIDC, Syslog dışa aktarımlı denetim günlükleri, gelişmiş GitOps. Take 3 koşulları üç düğüm veya daha azında kaldığınız sürece her yıl ücretsiz yenilenen bir yıllık lisans veriyor.

Dolayısıyla ücretsiz katman hesabı Arcane lehine ancak dördüncü düğümde işlemeye başlıyor. Bunun altında ödeme duvarı yok. Arcane bir ya da iki düğümde de bir şey sunuyor: lisans anahtarı yok, hatırlanacak yenileme yok, çatallayabileceğiniz bir proje var. Ama bu, "RBAC para tutuyor" argümanıyla aynı şey değil.

Arcane, Portainer'ın koltuğu için ciddi biçimde yarışan dört araçtan biri ve diğerleri farklı çizgilerde ayrışıyor.

OKU

Portainer alternatifleri: Dockge, Arcane, Dockhand ve Komodo için kullanım senaryosu rehberi

Arcane Şu Anda Ne Kadar Güvenilir?

v2.9.0'da göründüğünden daha iyi, ama hâlâ genç. Arcane'in hata geçmişi, sorunları düzelten aktif bir proje gibi okunuyor ve v2.8.0 ile v2.9.0 için bildirilen ciddi GitOps disk tükenmesi hatası 31 Ağustos 2026'da v2.10.0'da düzeltildi.

Bir operatör 26 Ağustos 2026'da şunu bildirdi: GitOps eşitlemesi bir klon dizini sızdırıyor: "gitops-<N> klon dizinleri günde kabaca 1.000 adet (~9 GB/gün) birikiyor ve hiç temizlenmiyor, sonunda diski dolduruyor." Bunun altı günü kabaca 6.467 dizin ve 40 GB'a ulaştı. Disk dolunca yönetici artık SQLite veritabanına yazamadı ve yeniden başlatma döngüsüne girdi; 389 yeniden başlatma sayısına ulaştı ve edge ajan bağlantılarıyla API çağrılarını da beraberinde düşürdü. Kayıt artık kapalı ve v2.10.0, artık Git klon geçici dizinleri için temizleme düzeltmesini içeriyor.

Hâlâ v2.8.0 veya v2.9.0 kullanıyorsanız: sık GitOps eşitlemesine güvenmeden önce yükseltin. Klon sızıntısı düzeltmesi v2.10.0 ile geliyor.

Daha eski kayıtlar daha umut verici. Bir 2.0 ile 2.0.1 arasındaki güncelleme sonrası takılma çözüldü. Şu hata, "Update Projects"in her konteyneri etkilemesi yani seçili projenin konteynerleri yerine ana makinedeki tümünü etkilemesi, birleştirilen #2289 numaralı düzeltme PR'ıyla kapatıldı. Sessizce tetiklenmeyen imaj yoklaması v1.13.2'de v1.14.0'da düzeltildi. Üç hata, üç düzeltme.

Açık kayıtların ham sayısı bu hızda sürüm çıkaran bir proje için tek başına çok az şey söylüyor. Kimsenin kayıt açmadığı projeler bu yüzden daha güvenilir olmuyor.

Benim okumam hâlâ bunun bir yetenek sorunu değil, geçmiş süresi sorunu olduğu yönünde. Hızlı sürüm çıkarmak, RBAC ve tarama açıklarının kapanmasının nedeni; aynı zamanda v2.10.0'ın v2.9.0'dan bir haftadan kısa süre sonra ciddi bir GitOps kusurunu düzeltmek zorunda kalmasının da nedeni. Risk yeni kodda ve onu benimsemek bir tercih.

Portainer'dan Geçişin Gerçek Maliyeti Ne?

Kabaca, bir kesinti penceresi ve biraz elle temizlik. Arcane'de hâlâ doğrudan Portainer stack içe aktarma yok, ancak v2.10.0 çalışan konteynerler için deneysel bir Convert to Compose eylemi ekliyor. Orijinaller çalışmaya devam ederken bir Compose dosyası üretiyor ve bu, YAML yeniden oluşturma işinin bir kısmını ortadan kaldırıyor. Bind mount'ları, ağları, ortam değerlerini ve geçişin kendisini yine de gözden geçirmeniz gerekiyor; orijinaller durdurulana kadar adlar ve yayınlanan portlar çakışabilir, dolayısıyla bu kesintisiz bir geçiş düğmesi değil.

v2.10.0'dan önce projenin kendi forumu tamamen elle yapılan bir yolu yansıtıyordu. Beş sunucuda 80'den fazla konteyner çalıştıran bir operatör canlı geçişin mümkün olup olmadığını sordu ; hem de web'e açık servisleri önce kapatmadan. Bunu zaten yapmış birinin yanıtı: "mevcut konteynerleri (dolayısıyla Portainer stack'lerini) silip Arcane'de sıfırdan yeniden oluşturmaktan başka seçeneğiniz olmayacak." Sıralaması: temizce kapat, yedekle, sil, verileri kopyala, yeniden oluştur ve yeniden dağıt.

Pratikte: herhangi bir şeye dokunmadan önce birim yedekleri ve hem kaç stack çalıştırdığınıza hem de ne kadar verinin taşınması gerektiğine göre boyutlandırılmış bir bakım penceresi. Konteynerleri yeniden oluşturmak genellikle hızlı kısım; büyük birimleri kopyalamak ve bağımlı servisleri doğru sırayla geri getirmek pencereyi uzatabilir. Planlama sırasında bir terminoloji notu: Portainer'ın stack dediğine Arcane proje diyor.

Zaman maliyeti homelab ölçeğinde bile hissediliyor. Moises Aguirre, 28 Şubat 2026'da bir homelab'ı Portainer'dan taşımakhakkında yazarken bunu "sağlam bir hafta sonu iş (ve kendi şeytanlarımla yüzleşmek)" olarak tanımladı; şeytanlar kendi dağınıklığıydı: çalıştırdığı her konteyneri denetlemesi ve daha önce "sadece tıklayarak var ettiği" servisler için YAML yazması gerekti. Bu bir kural değil, onun deneyimi; ama şekli tanıdık.

Compose dosyalarını taşımadan önce yakalamanız gereken bir şey var. v2.7.0 sürüm notları değişken çözümlemesini dört kaynağa daralttı: .env.globaliçindeki genel değişkenleriniz, projenin kendi .env dosyası, compose dosyasının kendisine yazılmış varsayılanlar ve Arcane'in ortamından gelen saat dilimi ile yerel ayar. Belirtilen etki, Arcane üzerinden dağıtılan bir projenin değişkenlerini proje dizinindeki docker compose up ile aynı şekilde çözmesi. Bu daha doğru bir davranış. Aynı zamanda, yöneticinin kendi konteyner ortamından sessizce bir değer devralan her şeyin artık başka bir şeye ya da hiçbir şeye çözüleceği ve bunu hiç şikâyet etmeden yapacağı anlamına geliyor.

Bunların hiçbiri üründe bir kusur değil. Tek seferlik, planlanabilecek kadar öngörülebilir bir maliyet; bir geçişten esas olarak beklediğiniz de bu.

Root erişimi, NVMe ve AMD EPYC gücüne sahip bir Linux VPS üzerinde geliştir.

Linux Planlarını Gör

Üretimden Önce Neyi Sağlamlaştırmanız Gerekiyor?

Bir şifreleme anahtarı, genel URL ve TLS. Arcane ilk çalıştırmada varsayılan bir yönetici hesabı oluşturuyor ve ilk oturum açmada parola değişikliğini zorunlu kılıyor; bu makul bir varsayılan. Üretimden önce iki ayarın doğru olması gerekiyor. Birincisi ENCRYPTION_KEY; ikincisi APP_URL.

Ortam değişkeni referansı hâlâ ENCRYPTION_KEY değişkenini arcane-dev-key-32-characters!!!varsayılan değeriyle listeliyor; kurulum belgeleri ise benzersiz 32 baytlık bir değer sağlamanızı söylüyor. Üretimden önce değiştirin. Bir şey daha değişti: kurulum belgeleri artık JWT_SECRET değişkeninin kullanılmadığını söylüyor. Arcane oturum imzalama anahtarını kendisi üretiyor; JWT_SECRET yapılandırılmış bırakılırsa yalnızca başlangıçta bir uyarı üretiyor, bu yüzden onu ortamdan kaldırın. Kurulum belgeleri şunu belirtiyor: ENCRYPTION_KEY "32 bayt uzunluğunda olmalıdır (ham, base64 veya hex)."

Sürüm hijyeni de bu kontrol listesine ait. Arcane 2026'da birkaç güvenlik duyurusu yayınladı; 29 Temmuz 2026'da yayınlanan yüksek önem dereceli bir duyuru v2.5.0'dan önceki sürümleri etkilenen olarak listeliyor ve devredilmiş bir users:update izninin bir yöneticinin parolasını sıfırlamasına izin verdiğini anlatıyor. Yamalı sürüm olarak v2.6.0'ı gösteriyor, dolayısıyla v2.10.0 etkilenmiyor; ama bu, üretim dağıtımını eski bir etikette bırakmamak için somut bir neden.

APP_URL varsayılan olarak http://localhost:3552değerine sahip ve bunun hijyenin ötesinde işlevsel bir sonucu var. Passkey ile oturum açma ve passkey MFA'nın ikisi de WebAuthn üzerinde çalışıyor ve Arcane'in passkey belgeleri açıkça belirtiyor: "Tarayıcılar WebAuthn API'sini yalnızca güvenli bağlamda sunar, bu nedenle passkey'ler HTTPS gerektirir (ya da localhost)." Relying party kimliği APP_URLdeğerinden türetiliyor, passkey'ler o ana bilgisayar adına bağlanıyor ve APP_URL bir ana bilgisayar adı içermiyorsa passkey servisi başlatılmıyor. Düz HTTP'de Arcane passkey denetimlerini tamamen gizliyor. Çıplak bir IP ve porta dağıtın, v2'nin öne çıkan kimlik doğrulama özelliği orada olmaz. Belgeler açıkça söylüyor: "Kimse passkey kaydetmeden önce APP_URL değerini kullanıcılarınızın gerçekten ziyaret ettiği URL'ye, HTTPS üzerinden ayarlayın."

Uzak ajanlar neyi açacağınızı belirliyor. Arcane'in ortam belgeleri doğrudan modda "Manager'ın Agent'a TCP 3553üzerinden bağlandığını" söylüyor; dolayısıyla o portun uzak ana makinede gelen bağlantılara erişilebilir olması gerekiyor. Edge modunda "Agent, Manager'a giden yönde bağlanıyor" ve hiç gelen porta ihtiyaç duymuyor.

Bunun ötesinde rol yapmaktansa işaret etmeyi tercih ederim. Arcane bir socket proxy kurulum kılavuzu yayınlıyor; kılavuzun temel varsayımı, doğrudan socket bağlamanın "Arcane'e Docker'a tam erişim verdiği" ve bir proxy'nin bunu ihtiyaç duyulan API çağrılarına daralttığı. Bu, Docker socket'ini yalıtmayı her yerde değerli kılan maruziyetin aynısı ve burada da yapmaya değer. Bu belgeleri bir dağıtımcının okuduğu gibi okuyorum, token şemasını denetleyerek değil.

Arcane Hâlâ Neyi Yapmıyor?

Arcane'in güncel belgelerine karşı iki eksik hâlâ ayakta: LDAP yok ve bir konteynerin kendi dosya sistemi için genel bir tarayıcı yok. v2'den önce var olan diğer birkaç eksik o zamandan beri kapandı.

LDAP yok. Arcane'in tek oturum açma belgeleri OIDC'yi ve yalnızca OIDC'yi kapsıyor; ne bu belgeler ne de erişim denetimi sayfası hiçbir yerde LDAP veya Active Directory'den söz ediyor. Portainer'ın Business Edition'ıise "Active Directory, LDAP ve OIDC uyumlu kimlik sağlayıcılarla" entegre oluyor. Kuruluşunuz önünde OIDC katmanı olmayan bir dizine karşı kimlik doğruluyorsa bu, aşılabilecek bir engel değil, kesin bir durak.

Konteynerlerin içinde genel dosya tarayıcısı yok. Arcane'in konteyner görünümü yapılandırmayı, bağlama noktalarını, günlükleri ve Compose kaynağını gösteriyor; ancak konteynerin kendi dosya sistemi için bir tarayıcı sunmuyor. Artık Docker birimlerinin içindeki dosyalara göz atıp düzenleyebilen bir Volume Workspace var, dolayısıyla kalan boşluk eski "dosya tarayıcısı yok" tanımından daha dar.

Bu düzeltmeleri açıkça belirtmekte fayda var, çünkü Arcane'in "RBAC yok, güvenlik açığı taraması yok" tanımı artık geçerli değil. RBAC 7 Haziran 2026'da v2.0.0ile geldi ve Trivy taraması belgelenmiş durumda, zamanlamayla çalışıyor. Etkinlik günlüğü de ilerledi: Arcane'in etkinlik belgeleri çekmeleri, derlemeleri, yaşam döngüsü eylemlerini, taramaları ve temizlemeleri kapsayan bir Activity Center'ı ve yanında önem derecesi, tür, zaman damgası ve Arcane'in atfedebildiği yerlerde her eylemi tetikleyen kullanıcıyı taşıyan bir olay günlüğünü anlatıyor. Portainer'ın Business katmanının yaptığı gibi Syslog'a dışa aktarıp aktarmadığı, belgelerin netleştirdiği bir konu değil.

Sürüm hızının düzeltmediği şey yaş. Arcane deposu Nisan 2025'te oluşturuldu. Portainer'ın arkasında yıllar içinde birikmiş Stack Overflow yanıtları, üçüncü taraf kılavuzlar ve entegrasyonlar var; gece 11'de tuhaf bir şeyle karşılaştığınızda hissettiğiniz fark bu.

Kim Arcane'e Geçmeli, Kim Geçmemeli?

Portainer'da üç düğümü geçtiyseniz ve lisans görüşmesi olmadan git ile izlenen Compose eşliğinde kapsamlandırılmış çok kullanıcılı erişim istiyorsanız Arcane'e geçin. Üç düğüm veya daha azındaysanız yerinizde kalın. Ana makineleri saymak bunun çoğunu herhangi bir özellik listesinden daha hızlı çözüyor.

Arcane'in net bir evet olduğu üç profil:

• Portainer'ın üç düğüm sınırını aşmış ve kapsamlandırılmış erişime ihtiyaç duyan operatörler. Üç düğümün üzerinde bu yeteneklerin Portainer'da bir bedeli var, Arcane'de yok; roller de birine bir ortamda Deployer, diğer her yerde Viewer verecek kadar ayrıntılı.
• Compose dosyalarını gerçeğin kaynağı olarak isteyen operatörler. Geçişi tetikleyen şey stack tanımlarının bir depo yerine veritabanında yaşamasıysa, bu bir tercih değil, yapısal bir uyum. Geçiş hafta sonu çoğunlukla zaten çalıştırdıklarınızı yazıya dökmekle geçiyor; bu da zaten borçlu olduğunuz bir iş.
• NAT arkasındakiler dahil birden fazla ana makineyi birleştiren operatörler. Edge modundaki ajanlar uzak tarafta gelen port gerektirmiyor, Swarm kümeleri yönetici düğümünden yönetiliyor ve uzak ortamların hiçbir maliyeti yok.

Olmadığı iki profil:

• Üç düğüm veya daha azında olan herkes. Business Edition bu boyutta tam özellik setiyle ücretsiz; dolayısıyla geçiş, zaten sahip olduğunuz yetenekleri elde etmek için bir kesinti penceresi ve bir hafta sonu harcıyor. Bir Portainer alternatifi olarak Arcane yetenekli; bu yine de taşınmak için bir neden değil.
• LDAP'a ihtiyaç duyan ya da stack'leri kapatamayan herkes. Dizin kimlik doğrulaması mevcut değil ve geçiş hâlâ planlı bir kesinti gerektiriyor. İkisinin de akıllıca bir dolambaçlı yolu yok.

Bu karara bir koşul eşlik ediyor. Taşınma nedeniniz özellikle GitOps yeniden dağıtımıysa v2.10.0 veya daha yenisini kullanın. v2.8.0 ve v2.9.0 için bildirilen disk tükenmesi hatası orada düzeltildi.

OKU

VPS'te Docker Nasıl Edinilir: Containerization İçin VPS Kullanımına Kapsamlı Rehber 🗂️

Sıkça Sorulan Sorular