Đáp án Quiz Docker — 75 câu hỏi có giải thích

Đáp án: A

Image là template bất biến gồm các layer chỉ đọc. Container là instance đang chạy tạo từ image, có thêm một writable layer và namespace/process riêng. Một image chạy được thành nhiều container. Thay đổi trong writable layer mất khi container bị xóa nếu không dùng volume.

Đáp án: A

Cả hai copy file/thư mục từ build context vào image. ADD thêm hành vi: tự giải nén tar archive local và hỗ trợ URL trong một số trường hợp. Vì các hành vi ẩn này dễ gây bất ngờ, production nên ưu tiên COPY cho rõ ràng, chỉ dùng ADD khi thực sự cần giải nén tar có chủ đích.

Đáp án: A

VM ảo hóa phần cứng: mỗi VM chạy một guest OS đầy đủ với kernel riêng trên hypervisor. Container ảo hóa ở tầng OS: nhiều container chia sẻ chung kernel host, mỗi cái chỉ đóng gói app cùng userspace riêng. Hệ quả: container nhẹ (MB) và start mili-giây, mật độ cao hơn; VM nặng hơn nhưng cô lập mạnh hơn nhờ ranh giới kernel riêng.

Đáp án: D

Bind mount map trực tiếp một path của host vào container — sửa file host thấy ngay trong container, hợp local development nhưng phụ thuộc cấu trúc host. Volume do Docker quản lý trong khu vực lưu trữ riêng, portable hơn và hợp dữ liệu bền vững như database data. Cả hai đều nằm ngoài writable layer nên dữ liệu không mất khi container bị xóa.

Đáp án: D

.dockerignore loại file/thư mục khỏi build context trước khi context được gửi cho Docker builder. Lợi ích: build nhanh hơn (ít dữ liệu gửi đi), cache ổn định hơn (COPY . . ít bị nhiễu bởi file không liên quan), và tránh lỡ đưa secrets, .git, node_modules local hoặc artifacts lớn vào image. Nó hoạt động lúc build, không xóa file trên host.

Đáp án: C

docker stop gửi SIGTERM, chờ khoảng ân hạn mặc định 10 giây rồi mới SIGKILL — ứng dụng kịp đóng kết nối và xả việc dở. docker kill gửi thẳng SIGKILL, tiến trình chết ngay. Đổi thời gian chờ bằng docker stop -t <giây>.

Đáp án: D

Không. EXPOSE chỉ ghi lại "container này phục vụ ở port nào" như tài liệu cho người đọc và cho docker run -P. Nó không tạo ánh xạ port ra host. Muốn truy cập từ host phải publish rõ ràng bằng -p 3000:3000.

Đáp án: C

Vào /. Mỗi RUN là một layer với shell riêng, nên cd /app không còn hiệu lực ở lệnh tiếp theo. Cách đúng là WORKDIR /app — nó đặt thư mục làm việc cho mọi lệnh phía sau và tự tạo thư mục nếu chưa có.

Đáp án: C

--network host bỏ network namespace riêng: container dùng luôn stack mạng của host. Port mở trong container là port mở trên host, không cần và không dùng -p. Đổi lại mất cách ly, dễ đụng port với tiến trình khác. Đầy đủ tính năng trên Linux.

Đáp án: A

Lấy nginx:latest. latest chỉ là tag mặc định khi không ghi gì, hoàn toàn do người publish gán — không hề đảm bảo là bản mới nhất. Ở production nên ghim tag phiên bản cụ thể, hoặc chắc chắn hơn nữa là ghim digest.

Đáp án: D

Vì định danh người dùng được chia sẻ với nhân hệ điều hành: root trong container ánh xạ về root ngoài host. Nếu có lỗ hổng cho phép thoát khỏi container, kẻ tấn công có ngay quyền cao nhất trên máy chủ.

Đáp án: A

Lệnh đầu chạy một tiến trình mới bên trong container — thường là một shell để xem xét. Lệnh sau nối vào đầu vào ra của tiến trình chính đang chạy. Vì vậy thoát khỏi phiên nối vào bằng tổ hợp phím dừng có thể dừng luôn container.

Đáp án: A

Container đã dừng, mạng không còn dùng, ảnh không có tên và bộ đệm build. Nó không xoá volume trừ khi thêm cờ tương ứng — chủ ý thiết kế để tránh mất dữ liệu ngoài ý muốn.

Đáp án: B

Lệnh mặc định chỉ liệt kê container đang chạy, còn tuỳ chọn kia liệt kê cả những container đã dừng. Container đã thoát vẫn tồn tại cùng log và mã thoát, nên tuỳ chọn đó là bước đầu tiên khi chẩn đoán sự cố.

Đáp án: A

Đó là thư mục được gửi cho trình build làm ngữ cảnh. Toàn bộ nội dung thư mục được đóng gói gửi đi, nên lệnh sao chép trong Dockerfile chỉ lấy được file nằm trong phạm vi đó.

Đáp án: D

Nó đặt thư mục làm việc cho các chỉ thị phía sau và tạo thư mục nếu chưa có. Các đường dẫn tương đối trong lệnh sao chép và lệnh chạy đều được tính từ đó.

Đáp án: B

Nó hiển thị đầu ra chuẩn và luồng lỗi của tiến trình chính. Log mà ứng dụng ghi vào file bên trong container không xuất hiện ở đây — đó là lý do ứng dụng chạy trong container nên ghi log ra đầu ra chuẩn.

Đáp án: C

Đó là kho lưu trữ và phân phối image. Các lệnh tải về và đẩy lên đều làm việc với nó. Registry có thể là dịch vụ công cộng, dịch vụ của nhà cung cấp đám mây, hoặc hệ thống tự vận hành trong mạng nội bộ.

Đáp án: A

Container chạy nền và terminal được trả lại ngay. Không có tuỳ chọn này thì đầu ra gắn vào terminal, và đóng cửa sổ đó có thể làm container dừng theo.

Đáp án: B

Đó là phần thay đổi hệ thống file do một chỉ thị tạo ra. Các layer xếp chồng lên nhau, được lưu đệm riêng, và dùng chung được giữa nhiều image — nên hai image cùng nền chỉ tốn dung lượng cho phần khác nhau.

Đáp án: C

Chạy python -m app --port 9000. ENTRYPOINT cố định executable chính (python -m app); CMD chỉ cung cấp default arguments (--port 8000). Arguments truyền sau tên image khi docker run sẽ thay thế toàn bộ CMD, rồi được nối vào sau ENTRYPOINT. Muốn thay chính ENTRYPOINT phải dùng cờ --entrypoint.

Đáp án: A

Restart policy quyết định Docker có tự start lại container khi nó thoát hoặc khi daemon khởi động lại, đặt qua --restart. no (mặc định) không bao giờ restart. on-failure[:N] chỉ restart khi thoát lỗi (exit khác 0), giới hạn được số lần. always luôn restart. unless-stopped giống always nhưng tôn trọng lần stop thủ công của bạn. Không kết hợp được với --rm — Docker báo lỗi "conflicting options".

Đáp án: E

Dữ liệu ghi vào writable layer mất khi container bị xóa nếu không dùng volume/bind mount. Volume tồn tại độc lập với container (xóa container không xóa volume) và nhiều container gắn chung được. Hai hiểu nhầm cần tránh: instruction VOLUME không đưa dữ liệu vào image, và docker commit không lưu nội dung volume vào image mới.

Đáp án: B

Host truy cập qua port 8080. Cú pháp -p là host:container, nên -p 8080:8000 nghĩa là host port 8080 chuyển tiếp tới container port 8000. Container có network namespace riêng: port process nghe bên trong (8000) không tự lộ ra host nếu không publish. Muốn host gọi được, phải publish port đó.

Đáp án: B

Dùng tên service làm hostname: host là db, port 5432. Docker Compose tạo một network mặc định và cấp DNS nội bộ, nên các service cùng network phân giải nhau bằng service name. Không dùng localhost — mỗi service có network namespace riêng nên localhost trỏ về chính container đó. Không cần publish port của db để api gọi nội bộ.

Đáp án: D

Tag là tên tham chiếu dễ đọc như app:1.2.0 hay app:latest, và có thể bị push đè để trỏ sang image khác. Digest là tham chiếu theo hash nội dung (sha256:...), bất biến — cùng một digest luôn là đúng một image. Production nên tránh phụ thuộc latest, dùng version tag rõ ràng và pin digest khi cần tính tái lập cao.

Đáp án: B

Docker Compose mô tả và chạy nhiều container bằng một file cấu hình, thường cho local development, integration test và môi trường nhỏ — giúp app, database, cache, broker chạy cùng network và cấu hình nhất quán. Compose không thay thế Kubernetes cho orchestration production quy mô lớn (scaling, self-healing, rolling update đa node), nhưng rất hữu ích để onboarding dev và mô phỏng dependencies.

Đáp án: B

ARG là biến build-time: truyền bằng --build-arg, không tồn tại trong container đang chạy. ENV được ghi vào image, tiến trình đọc được lúc runtime và ghi đè được bằng docker run -e. Cả hai đều KHÔNG dùng để chứa secret vì đều lộ qua docker history / docker inspect.

Đáp án: B

HEALTHCHECK cho Docker biết cách tự kiểm tra ứng dụng bên trong container còn phục vụ được không. Kết quả là trạng thái starting/healthy/unhealthy, thấy ở docker ps và docker inspect. Compose dùng nó cho condition: service_healthy. Engine không tự restart container unhealthy.

Đáp án: B

Vì cache đánh theo từng layer. Sửa dòng install thì layer update phía trên vẫn hit cache, kết quả là cài package dựa trên danh sách mirror đã cũ — dễ lỗi 404 hoặc dính bản lỗi thời. Gộp lại một RUN nối bằng && để hai bước luôn chạy cùng nhau.

Đáp án: C

Vẫn thấy nội dung của image. Named volume rỗng được Docker nạp sẵn nội dung của thư mục đích trong image ở lần mount đầu. Từ lần sau volume đã có dữ liệu nên giữ nguyên. Bind mount thì ngược lại — luôn che nội dung image.

Đáp án: C

Alpine dùng musl libc, không phải glibc. Native module thường chỉ có sẵn bản dựng cho glibc nên phải biên dịch lại (cần thêm build toolchain, build lâu hơn), và vài hành vi ở tầng libc như DNS hay locale khác đi. Bản -slim (Debian, glibc) là lựa chọn trung dung khi chưa muốn đổi libc.

Đáp án: A

Exit 137 = 128 + 9, tức tiến trình bị SIGKILL. Với container có --memory, thủ phạm gần như luôn là OOM killer của kernel khi vượt giới hạn. Xác nhận bằng docker inspect --format "{{.State.OOMKilled}}" <container>.

Đáp án: A

Không. depends_on dạng danh sách chỉ xếp thứ tự khởi động container. Postgres mất vài giây nữa mới nhận kết nối, trong khi api đã chạy và gọi ngay. Cách đúng: thêm healthcheck cho db và dùng condition: service_healthy — kèm theo đó ứng dụng vẫn nên tự retry.

Đáp án: A

Dạng shell chạy lệnh dưới một shell, nên shell là tiến trình số 1 chứ không phải ứng dụng. Shell không chuyển tiếp tín hiệu dừng, nên container luôn bị dừng cưỡng bức sau thời hạn chờ — mất khả năng tắt nhẹ nhàng.

Đáp án: C

Các tầng của ảnh là chỉ đọc và dùng chung giữa mọi container. Khi một container sửa một tệp, tệp đó được chép lên tầng ghi riêng của nó rồi mới sửa. Nhờ vậy nhiều container chạy cùng một ảnh mà không nhân bản dữ liệu.

Đáp án: A

Khi tệp thực thi tự chứa mọi thứ nó cần — điển hình là chương trình Go biên dịch tĩnh — và muốn giảm tối đa bề mặt tấn công. Không có shell, không có trình quản lý gói, nên kẻ vào được cũng gần như không có công cụ nào.

Đáp án: B

Vì ảnh tạo ra không tái lập được: không có bản ghi nào về việc đã cài gì và sửa gì. Sáu tháng sau, không ai dựng lại được ảnh đó và cũng không ai biết bên trong có những gì.

Đáp án: B

Nó dựng đồ thị phụ thuộc rồi build song song các giai đoạn độc lập, bỏ qua các giai đoạn không cần cho kết quả cuối. Nó cũng thêm gắn kết cache, gắn kết bí mật, và build nhiều kiến trúc. Từ Docker 23 nó là trình build mặc định.

Đáp án: B

Nó tương đương cấp quyền root trên host. Có socket đó, container tạo được một container mới gắn toàn bộ hệ thống tệp của host với quyền cao nhất — nên mọi ranh giới cách ly đều vô nghĩa.

Đáp án: A

Gắn hệ thống tệp trong bộ nhớ cho các thư mục ứng dụng cần ghi tạm — thư mục tạm, thư mục chứa tệp khoá tiến trình. Nhiều chương trình vẫn cần ghi vài chỗ dù không lưu dữ liệu nào.

Đáp án: A

Chúng liệt kê các gói trong ảnh rồi so với cơ sở dữ liệu lỗ hổng công khai. Chúng không phân tích mã của bạn — lỗi logic, chèn mã SQL, phân quyền sai đều không phát hiện được. Đó là việc của công cụ phân tích tĩnh riêng.

Đáp án: A

Để hạ tầng lo việc thu thập và lưu trữ, còn ứng dụng chỉ việc phát ra luồng sự kiện. Ghi tệp bên trong container thì log mất khi container được tạo lại, và không ai đọc được từ bên ngoài.

Đáp án: C

Nó bị điều tiết xuống một nửa thời gian CPU của một lõi — tiến trình chạy chậm lại nhưng không bị kết thúc. Đây là khác biệt quan trọng với giới hạn bộ nhớ, vốn làm tiến trình bị kết thúc khi vượt.

Đáp án: B

Tiến trình vượt giới hạn số bộ mô tả tệp được mở. Cần nhớ mỗi socket mạng cũng là một bộ mô tả tệp, nên máy chủ nhiều kết nối chạm giới hạn rất nhanh. Xử lý bằng cách nâng giới hạn, và kiểm tra xem có rò rỉ không.

Đáp án: C

Dạng đầu chỉ lắng nghe trên địa chỉ loopback nên chỉ truy cập được từ chính máy chủ đó. Dạng sau lắng nghe trên mọi giao diện — nếu máy chủ có địa chỉ công khai thì dịch vụ lộ thẳng ra Internet.

Đáp án: D

Mạng tự tạo có phân giải tên nội bộ: container gọi nhau bằng tên dịch vụ. Trên mạng mặc định thì phải dùng địa chỉ IP, vốn thay đổi mỗi lần container được tạo lại. Nó cũng cách ly tốt hơn.

Đáp án: C

Vì quyền được kiểm tra theo định danh số của người dùng chứ không theo tên. Người dùng trong container mang một số khác với chủ sở hữu tệp trên host, nên nhân từ chối dù tên trông giống nhau.

Đáp án: B

Chạy một container tạm gắn volume đó cùng một thư mục của host, rồi nén dữ liệu ra. Volume nằm trong thư mục nội bộ do Docker quản lý — đọc thẳng từ host là cách không đáng tin vì đó là chi tiết cài đặt.

Đáp án: C

Dạng thường chỉ chờ container được khởi động, không chờ dịch vụ bên trong sẵn sàng. Thêm điều kiện sức khoẻ thì Compose chờ tới khi bài kiểm tra sức khoẻ báo khoẻ — đây mới là điều bạn thực sự cần.

Đáp án: A

Nó được hợp nhất tự động lên tệp chính nếu tồn tại, ghi đè các giá trị trùng. Nhờ đó giữ một cấu hình nền chung rồi bổ sung riêng cho môi trường phát triển — gắn mã nguồn vào, mở cổng gỡ lỗi, đặt biến môi trường.

Đáp án: C

Cái đầu đọc biến từ một tệp riêng, cái sau khai trực tiếp trong tệp Compose và có độ ưu tiên cao hơn khi trùng tên. Cả hai đều đặt biến cho container lúc chạy.

Đáp án: C

Gán dịch vụ vào các nhóm có tên, và chúng chỉ khởi động khi nhóm đó được bật. Nhờ đó giữ các dịch vụ phụ — công cụ giám sát, bộ nạp dữ liệu mẫu, công cụ quản trị cơ sở dữ liệu — trong cùng một tệp mà không khởi động mặc định.

Đáp án: C

Một mã truy cập ngắn hạn hoặc một tài khoản riêng cho CI với quyền tối thiểu. Tài khoản cá nhân gắn với một người — thu hồi khi họ rời công ty sẽ làm hỏng toàn bộ quy trình mà không ai hiểu vì sao.

Đáp án: A

Một danh sách đầy đủ các thành phần trong ảnh kèm phiên bản — gói hệ điều hành, thư viện ngôn ngữ, và các phụ thuộc gián tiếp. Nó là hoá đơn vật liệu của phần mềm, dùng để tra cứu khi có lỗ hổng mới.

Đáp án: A

Giữ container ở giờ chuẩn quốc tế và chuyển sang giờ địa phương ở tầng hiển thị. Đặt múi giờ địa phương cho máy chủ nghe tiện nhưng làm dữ liệu lệch khi hệ thống mở rộng ra nhiều vùng, và gây lỗi khi có thay đổi quy tắc múi giờ.

Đáp án: C

Để thứ đã kiểm thử chính là thứ được chạy. Build lại cho từng môi trường có thể cho ra nội dung khác vì phụ thuộc và bộ đệm thay đổi theo thời gian — nên bản chạy ở môi trường thật không còn là bản đã kiểm thử.

Đáp án: B

Tổ chức chuẩn hoá định nghĩa đặc tả cho định dạng ảnh và cho thời gian chạy. Thành phần thứ hai là một thời gian chạy hiện thực đặc tả đó. Còn Docker Engine dùng chính nó bên dưới và bổ sung tầng công cụ, mạng và build.

Đáp án: A

Dữ liệu nằm trong bộ nhớ và biến mất hoàn toàn khi container dừng. Nó nhanh hơn ghi đĩa và không để lại dấu vết, nên hợp cho tệp tạm và cho dữ liệu nhạy cảm không muốn chạm tới đĩa.

Đáp án: A

Hai lợi ích: ít tầng hơn, và quan trọng hơn là tệp tạm được xoá trong cùng tầng nên không đi vào ảnh. Xoá ở một lệnh riêng thì tệp vẫn nằm trong tầng trước và dung lượng không giảm chút nào.

Đáp án: D

Khi ứng dụng dùng một tín hiệu khác tín hiệu mặc định để tắt nhẹ nhàng. Một số máy chủ web dùng tín hiệu riêng cho việc đó, còn tín hiệu mặc định lại làm chúng tắt ngay lập tức — cắt đứt các request đang xử lý.

Đáp án: B

Toàn bộ ngữ cảnh được gửi tới trình build trước khi lệnh đầu tiên chạy. Với một thư mục phụ thuộc hàng trăm megabyte hoặc một thư mục lịch sử Git lớn, bước này mất hàng chục giây mỗi lần build.

Đáp án: B

Container được tạo lại. Biến môi trường chỉ đặt được lúc tạo container nên không sửa được trên container đang tồn tại. Compose so sánh cấu hình mong muốn với hiện trạng và thay thế những gì đã lệch.

Đáp án: D

Đọc log của container và xem mã thoát của lần chạy trước. Log thường chứa nguyên nhân trực tiếp, còn mã thoát cho biết tiến trình tự thoát vì lỗi hay bị nhân kết thúc vì hết bộ nhớ.

Đáp án: D

Phiên bản hai là một plugin viết bằng Go tích hợp thẳng vào công cụ dòng lệnh chính, còn phiên bản một là một script Python riêng đã ngừng hỗ trợ. Định dạng tệp cấu hình tương thích nên chuyển đổi gần như không phải sửa gì.

Đáp án: D

Gắn siêu dữ liệu vào ảnh dưới dạng cặp khoá giá trị. Có một bộ khoá quy ước chung cho các thông tin như nguồn mã, phiên bản, thời điểm build và giấy phép — nhờ đó công cụ và người khác tra cứu được một cách thống nhất.

Đáp án: B

Vì máy chạy CI thường là môi trường sạch mỗi lần nên không có bộ đệm cục bộ nào để tái dùng. Cách sửa là xuất bộ đệm lên registry ở lần build trước và nhập lại ở lần sau, qua các tuỳ chọn bộ đệm của trình build.

Đáp án: C

Không, trừ khi thêm tuỳ chọn xoá volume. Dữ liệu được giữ lại có chủ ý để khởi động lại không mất database. Thêm tuỳ chọn đó là thao tác không hoàn tác được nên cần rất cẩn thận.

Đáp án: D

Dùng tên miền đặc biệt trỏ tới host mà Docker cung cấp. Địa chỉ vòng lặp bên trong container trỏ về chính container đó chứ không phải máy chủ — đây là nhầm lẫn phổ biến nhất khi mới dùng.

Đáp án: D

Giới hạn kích thước và số file log được giữ ở cấu hình trình ghi log. Mặc định không có giới hạn nào, nên một ứng dụng ghi log nhiều sẽ làm đầy đĩa và kéo theo mọi container khác trên máy chủ.

Đáp án: C

Nó hiển thị mức dùng CPU, bộ nhớ và lưu lượng mạng theo thời gian thực. Cột bộ nhớ cho thấy cả mức đang dùng lẫn giới hạn đã đặt, nên đây là bước đầu tiên khi nghi container sắp bị dừng vì hết bộ nhớ.

Đáp án: B

Dùng lệnh sao chép file giữa container và host. Nó hoạt động với cả container đang chạy lẫn đã dừng, nên lấy được file chẩn đoán ngay cả sau khi container đã thoát vì lỗi.

Đáp án: D

Không mở rộng và khởi động lại từng phần riêng được. Ba thành phần có nhu cầu tài nguyên và nhịp phát hành khác nhau, nên gộp lại buộc chúng luôn thay đổi cùng nhau và một phần lỗi kéo sập cả container.

Đáp án: A

Image cũ được dùng lại vì không yêu cầu build lại. Lệnh này dùng image đã có nếu tìm thấy, nên khi Dockerfile đổi thì phải thêm tuỳ chọn build lại tường minh.

Đáp án: B

Vì file đi qua lớp chia sẻ giữa máy ảo và hệ thống host. Docker chạy trong một máy ảo Linux trên nền tảng này, nên mỗi thao tác file tốn hơn nhiều so với chạy trực tiếp trên Linux.