docker

Docker: контейнеры как система

За пределы «напиши Dockerfile» — как на самом деле работают образы, namespaces, BuildKit и реестры, и как контейнеры ведут себя в проде.

10 юнитов·34 уроков·~9 ч

Начать трек →

Образы и слои

Образ — это контентно-адресуемые, наслоённые, read-only слои файловой системы плюс конфиг, а не tar запущенной машины.

01 Что такое образ на самом деле: конфиг плюс стек контентно-адресуемых слоёв, а не снапшот машины 15 мин 02 Слои и контентная адресация: diff_id против descriptor digest, chain_id и ловушка недетерминизма gzip 16 мин 03 OCI image spec: index, manifest, config и слои как Merkle DAG из дескрипторов 16 мин 04 Механика Dockerfile: какие инструкции становятся слоями, как кеш ключует каждый шаг и почему важен порядок 17 мин

Внутренности рантайма

Контейнер — обычный Linux-процесс, огороженный namespaces и cgroups: изоляция, а не виртуализация.

01 Namespaces: вид ядра, который контейнеру дозволено видеть 16 мин 02 Cgroups: бюджет ресурсов, который ядро действительно навязывает 17 мин 03 Capabilities и seccomp: почему root контейнера — это root с вырванными когтями 17 мин 04 Жизненный цикл контейнера: от docker run до пожатого выхода 16 мин

Сеть контейнеров

Сеть контейнеров — это network namespaces, соединённые через bridge, плюс NAT и встроенный DNS.

01 Сетевые namespace и мосты: что на самом деле подключает 'docker run' 16 мин 02 Публикация портов и встроенный DNS: DNAT, bind-адреса и 127.0.0.11 17 мин 03 Container-to-container: один хост, разные хосты и иллюзия overlay 16 мин

Хранилище и тома

Записываемый слой — эфемерный copy-on-write; устойчивое состояние живёт в томах, а не в контейнере.

01 Записываемый слой: copy-on-write, upperdir и почему состояние контейнера испаряется 16 мин 02 Тома, bind mount и tmpfs: три способа сбежать из записываемого слоя 17 мин 03 Драйверы хранилища: overlay2, гранулярность copy-up и ловушка inode 16 мин

BuildKit и кеш

BuildKit превращает Dockerfile в параллельный контентно-адресуемый граф сборки — попадания в кеш зависят от дайджестов, а не от номеров строк.

01 BuildKit как граф сборки: LLB, контентно-адресуемые ключи кеша и почему сборка — это DAG, а не скрипт 16 мин 02 Многостадийные сборки: жирный билдер, тонкий runtime и как COPY --from схлопывает 1.2 ГБ в 28 МБ 16 мин 03 Кеш-маунты и секреты сборки: --mount=type=cache держит загрузки тёплыми, --mount=type=secret держит токены вне слоёв 16 мин 04 Воспроизводимые сборки: SOURCE_DATE_EPOCH, базы запиненные по дайджесту и почему пляшущий дайджест слоя ломает подпись 16 мин

Compose и локальная разработка

Compose декларирует топологию из нескольких контейнеров — локальное окружение становится файлом, а не вики-страницей команд.

01 Модель Compose: проект, сеть и сервисы, находящие друг друга по имени 16 мин 02 Порядок старта — не готовность: depends_on, healthcheck и restart-политики 17 мин 03 Dev-цикл: override, watch/sync, profiles и недрейфование от prod 17 мин

Безопасность контейнеров

По умолчанию контейнеры слишком привилегированы; rootless, сброшенные capabilities, сканирование и подписанная цепочка поставок закрывают разрыв.

01 Rootless Docker и user namespaces: почему root контейнера — это root хоста и как разорвать связь 16 мин 02 Сканирование образов: почему жирная база везёт бэклог CVE и что Trivy и Grype реально измеряют 15 мин 03 Секреты и supply chain: как держать секреты вне слоёв и подписывать образы, чтобы их нельзя было подменить 17 мин

Реестры и распространение

Реестр — контентно-адресуемое хранилище блобов за протоколом pull/push; теги двигаются, дайджесты — нет.

01 Протокол pull/push реестра: манифесты, блобы и контент-адресуемая дистрибуция 16 мин 02 Теги двигаются, дайджесты — нет: пиннинг и подпись для проверяемой supply chain 17 мин 03 Pull-through кэши и зеркала: пережить rate limits, не отдавая устаревшие образы 15 мин

Отладка контейнеров

Контейнер отлаживают, входя в его namespaces: exec, inspect, логи и события показывают, что делает чёрный ящик.

01 docker exec и inspect: вход в namespace'ы контейнера и чтение истинного состояния от движка 16 мин 02 docker logs и events: ротация, съедающая улики, и поток демона, который их сохранил 16 мин 03 Отладка distroless: ни шелла, ни exec — вносим свои инструменты в namespace'ы чужого контейнера 17 мин

Продакшен-паттерны

Продакшен-контейнеры — это про ограниченные ресурсы, честное здоровье, тонкие образы и аккуратный жизненный цикл под оркестратором.

01 Лимиты ресурсов и OOM: потолок cgroup, код 137 и рантаймы, которые его игнорируют 16 мин 02 Здоровье и жизненный цикл: честные пробы, окно grace при SIGTERM и preStop 16 мин 03 Утоньшение образа: multi-stage, distroless и слои, которые тянутся за секунды 16 мин 04 Капстоун: mini-PaaS — реестр, сборка, run, здоровье и zero-downtime раскат 18 мин

Проекты по этому треку

Guided-проекты, которые закрепляют изученное здесь.

◆ Проекты

Защищённый домашний стек

Разверни self-hosted стек медиасервера и домашнего сервера на nas01.example, где пять сервисов делят сетевое пространство имён одного VPN-контейнера — kill-switch обрывает весь трафик в момент разрыва туннеля, список split-tunnel сохраняет LAN-доступ, а три кольца доступа (localhost / LAN 10.0.0.0/24 / mesh-VPN 100.64.0.30) держат нужные двери открытыми для нужных людей. Усиль хост: SSH только по ключу, fail2ban, автоматические обновления безопасности; напиши скрипт ротирующего резервного копирования с шифрованием age; и уходи зная, что стек уходит в тень при любом сбое.

◆ Проекты

Трёхзвенное приложение на AWS через IaC

Подними настоящую трёхзвенную систему на AWS — балансировщик спереди, вычислительный слой посередине, управляемый Postgres за ним и S3 для объектов — целиком из кода, который можно прогнать заново. Суть не в том, чтобы один раз прокликать консоль; суть в том, чтобы описать всю топологию, её IAM и сетевые границы как Terraform (или CDK), который можно передать коллеге, снести и пересоздать байт в байт. Это тот проект, где «инфраструктура» перестаёт быть кучей консолей и становится артефактом, который можно ревьюить.

Следующий трек

Основы безопасности

Кросс-режущая база, нужная каждому инженеру, чтобы рассуждать о безопасности: моделирование угроз, прикладная криптография, идентичность, сетевая безопасность и модели контроля доступа.