Como você moveria um serviço legado em uma VM configurada na mão para containers?

Documente a realidade primeiro, já que ninguém sabe tudo o que está instalado em uma máquina de vida longa. Levante os processos rodando, os pacotes, os arquivos de configuração, os jobs de cron e as dependências de saída, e depois reconstrua aquilo como um Dockerfile em vez de importar a imagem de disco. Externalize estado e configuração locais, rode o container em paralelo com a VM contra tráfego real espelhado, e faça a virada aos poucos com a VM mantida como caminho de rollback.

O passo um é arqueologia, porque uma máquina que está de pé há quatro anos faz coisas que ninguém documentou. Eu levantaria os processos rodando, as portas escutando, os pacotes instalados, a tabela de cron, os arquivos de configuração e, principalmente, as conexões de saída ao longo de uma semana, já que isso revela dependências que nenhum diagrama mostra. Depois eu construo um Dockerfile do zero com base nisso, em vez de importar o disco, porque copiar a imagem só carrega a bagunça adiante e eu perco o sentido todo. As partes difíceis são sempre estado e configuração. Arquivos escritos em disco local precisam ir para object storage ou um volume, configuração que vive em arquivos precisa vir de variáveis de ambiente ou de um gerenciador de segredos, e jobs de cron precisam virar jobs agendados em vez de ficarem embutidos em um container de longa duração. Depois eu rodo o container ao lado da VM, espelhando tráfego real ou pegando uma pequena porcentagem, e comparo o comportamento. A virada é gradual e a VM fica ligada até a gente estar satisfeito por umas duas semanas, porque ela é o único rollback que definitivamente funciona.