Docker — containers

Chạy được trên máy mình

Câu nói nổi tiếng nhất trong ngành phần mềm — và là lý do container tồn tại. Cùng code, máy khác nhau, kết quả khác nhau.

code giống hệt nhau · môi trường thì không — và chính môi trường là thứ làm hỏng việc

Một chiếc hộp nhỏ đồng nhất

Container đóng gói app cùng mọi thứ nó cần, để chiếc hộp — chứ không phải cái máy — quyết định app hoạt động ra sao.

Image vs container — công thức vs món ăn

Cặp từ quan trọng nhất trong Docker. Hiểu đúng hai từ này, phần còn lại tự theo.

Một image, nhiều container

Bạn build một image. Rồi chạy được bao nhiêu bản tùy ý — chúng không làm phiền nhau.

image = công thức · container = một món nấu từ nó · nhiều món từ một công thức

Container và máy ảo

Cả hai đều "chạy phần mềm tách biệt" — nhưng ảo hóa những thứ khác nhau. Sự khác nhau đó giải thích toàn bộ chuyện kích thước và tốc độ của container.

Bên trong hộp thực sự có gì

Bốn thứ, và một thứ cố tình không có.

Cả một app, trong tám dòng

Dockerfile này đóng gói app Flask của chủ đề trước. Đọc từ trên xuống: mỗi dòng thêm một lớp.

# recipe for our Flask app
FROM python:3.11-slim          # start from a ready-made base
WORKDIR /app
COPY app.py .                  # put your code in
COPY requirements.txt .
RUN pip install -r requirements.txt   # install deps
EXPOSE 5000                    # document the port
CMD ["python", "app.py"]        # what to run at start

Dòng đầu tiên là dòng duy nhất bắt buộc. Phần còn lại là gia vị tùy chọn.

Năm lệnh bạn sẽ dùng 95%

Docker có khoảng 15 lệnh. Năm lệnh này đủ cho gần như mọi app.

Lúc build vs lúc chạy

Chỗ hay nhầm nhất trong Docker: chuyện gì xảy ra khi build, và khi run. Hai cái đồng hồ khác nhau.

docker build thực sự làm gì

Bốn nhịp giữa một thư mục code và một image đã đóng hộp.

1. 1

   Đọc Dockerfile

   Từ trên xuống, từng dòng. Mỗi dòng là một bước trong khâu lắp ráp.

2. 2

   Lớp nền

   Kéo FROM python:3.11-slim từ registry — hoặc dùng bản cục bộ nếu đã có.

3. 3

   Thực thi từng dòng

   COPY sao, RUN cài… mỗi dòng xong trở thành một lớp đã lưu, chồng lên lớp trước.

4. 4

   Đánh dấu kết quả

   Cả chồng lớp là image của bạn, lưu cục bộ dưới tên myapp:1.0 — sẵn sàng để chạy.

Build nó

Một lệnh biến thư mục thành image đã đóng hộp.

Hai lệnh quan trọng nhất

Build làm ra hộp; run làm ra một bản đang chạy của hộp. Đây là 90% Docker hàng ngày.

# 1. turn the Dockerfile into an image
docker build -t myapp:1.0 .

# 2. turn the image into a running container
docker run \
  -d --name web \
  -p 8080:5000 \
  -v myapp-data:/app/data \
  myapp:1.0

-t đánh tên image; dấu chấm cuối nghĩa là "đọc Dockerfile từ thư mục này".

Bốn cờ, 90% công việc

Học bốn cờ này là đọc được mọi lệnh docker run bạn sẽ gặp.

Chạy và quan sát

Container chạy nền; chính port map là thứ khiến nó tiếp cận được.

Container nhìn thấy gì

Bên trong, container là một vũ trụ nhỏ riêng. Bên ngoài, host tiếp cận nó chỉ qua một cánh cửa duy nhất.

container không thấy file hay process của host; host tiếp cận nó chỉ qua cổng đã ánh xạ — đó là sự cách ly

Vì sao cách ly quan trọng

Ba bức tường, một kết quả: container không phá được host, và host không lẻn vào được container.

EXPOSE và -p — hai thứ khác nhau

Một thứ là ghi chú; thứ kia là cánh cửa. Nhầm hai thứ này là lỗi cổng phổ biến nhất trong Docker.

Một file, cả một hệ thống

App Flask của chúng ta cùng database. Cùng app như trước — giờ có thêm Postgres thật.

services:
  web:
    build: .
    ports:
      - "8080:5000"
    depends_on:
      - db
  db:
    image: postgres:16
    volumes:
      - db-data:/var/lib/postgresql/data
volumes:
  db-data:

web build từ Dockerfile của chúng ta; db là có sẵn từ registry.

Năm key của compose

Cả file đó là năm ý tưởng. Học các key là mọi file compose đều đọc được.

Một lệnh, cả hệ thống

Up đưa cả gia đình vào đời sống; down thu dọn. Volume thì ở lại trong cả hai trường hợp.

Gia đình đang chạy

Các service trong cùng file compose nói chuyện với nhau bằng tên — không IP, không mở cổng, không firewall.

từ bên trong, web chỉ cần nối tới db:5432 — tên service. Docker tự giải quyết. Vì thế container không cần cấu hình IP.

Hai hệ file, hai cuộc đời khác nhau

Cùng một hộp có hai loại lưu trữ, và chúng chết vào những thời điểm rất khác nhau.

Cái nào sống qua cái nào

Bảng quan trọng nhất trong khóa slide này. Ghi nhớ cột bên phải.

Xem dữ liệu sống lâu hơn container

Đập cả hệ thống xuống rồi dựng lại. Container mới; ký ức của nó thì không.

Cùng một hộp, từ máy cá nhân đến production

Đây là phần hái quả: app Flask của bạn thành một image, và chính image đó — không phải một thư mục code — là thứ bạn ship.

build một lần trên máy cá nhân · cùng những byte đó chạy trên server test và production — với nginx ở phía trước (chủ đề sau)

Những gì cố tình bỏ qua

Container có một hộp công cụ rất sâu. Bốn thứ sau là thật — nhưng không phải bước tiếp theo của bạn.