Вопросы на собеседовании: Контейнеры

Чем образ отличается от контейнера и куда попадают файлы, которые процесс создаёт после запуска?

как ответить Образ — неизменяемый шаблон: конфигурация и набор content-addressed слоёв файловой системы. Контейнер — запущенный или остановленный экземпляр образа с собственным runtime-состоянием и верхним writable layer. Файлы в этом слое живут только вместе с контейнером; важные данные выносят в volume или внешнее хранилище.

Почему COPY . . перед установкой зависимостей делает сборку медленной и как порядок инструкций влияет на build cache?

как ответить Изменение слоя инвалидирует зависящие от него последующие шаги. Если сначала скопировать весь репозиторий, любое изменение исходника заставит заново устанавливать зависимости. Обычно отдельно копирую lockfile и manifest, ставлю зависимости, а затем добавляю часто меняющийся код; лишнее исключаю через .dockerignore.

База записала данные в /var/lib/app, контейнер пересоздали — данные исчезли. Чем volume отличается от bind mount и writable layer и что выберешь для production?

как ответить Writable layer принадлежит конкретному контейнеру и исчезает вместе с ним. Volume управляется runtime и живёт независимо от контейнера; bind mount напрямую показывает процессу выбранный путь хоста. Для production выбираю storage по требованиям к durability, backup и размещению, а не считаю любой volume автоматической защитой данных.

Контейнер сразу завершается или постоянно перезапускается. Какие данные соберёшь до изменения image и команды запуска?

docker ps -a --no-trunc
docker inspect app
docker logs --timestamps app
docker events --since 10m

как ответить Сохраняю exit code, signal/OOM state, фактические Entrypoint и Cmd, mounts, environment и события runtime. Затем читаю stdout/stderr и проверяю тот же immutable image с диагностическим entrypoint, если это безопасно. Restart policy временно останавливаю или ограничиваю, чтобы цикл не стирал контекст и не нагружал зависимости.

Приложение в одном контейнере подключается к localhost:5432, но база работает в другом контейнере на том же хосте. Почему это не работает и как настроить связь без привязки к случайному IP?

как ответить У каждого контейнера свой network namespace, поэтому localhost указывает на него самого, а не на соседний контейнер и не на хост. Подключаю оба контейнера к общей пользовательской сети и обращаюсь к базе по стабильному service name и внутреннему порту. Публикация порта на хост нужна только тем клиентам, которые приходят извне этой сети.

Почему shell-form ENTRYPOINT может ломать graceful shutdown контейнера и какие обязанности появляются у процесса с PID 1?

как ответить Shell-form запускает команду через shell, поэтому приложение может оказаться дочерним процессом и не получить stop signal. Предпочитаю exec-form, а wrapper завершает подготовку через exec "$@", чтобы приложение стало PID 1. Главный процесс должен корректно обрабатывать сигнал остановки и собирать потомков либо делегировать reaping минимальному init.

Контейнер ограничили по CPU и памяти. Что произойдёт при превышении каждого ресурса и как отличить CPU throttling от cgroup OOM?

как ответить CPU quota обычно не убивает процесс, а throttling-ит cgroup, из-за чего растёт latency при низком среднем CPU хоста. Жёсткий memory limit может привести к reclaim и cgroup OOM, после чего один или несколько процессов будут убиты согласно политике. Сверяю runtime state, cgroup events и kernel log; один exit code не доказывает причину.

Production-образ огромный, долго отправляется в registry и содержит компилятор с исходниками. Как помогут build context, .dockerignore и multi-stage build?

как ответить Build context ограничивает файлы, доступные builder; .dockerignore не даёт отправлять ненужные каталоги и секреты. В multi-stage build компилятор и зависимости сборки остаются в builder stage, а в финальный stage копируется только runtime-артефакт. Это уменьшает размер и поверхность атаки, но не заменяет проверку содержимого и зависимостей результата.

Процесс имеет UID 0 внутри контейнера. Означает ли это root на хосте и чем здесь отличаются USER, user namespace remapping и rootless runtime?

как ответить UID 0 — root относительно user namespace процесса, но его полномочия дополнительно ограничены capabilities, namespaces и security policy. Без user namespace container UID 0 численно совпадает с host UID 0, хотя обычный контейнер не получает все host-права; с remapping он отображается в непривилегированный host UID. USER снижает права приложения внутри контейнера, а rootless runtime дополнительно запускает daemon и контейнеры без host root.

За счёт чего Linux-контейнер изолирует процессы и ресурсы и чем эта граница принципиально отличается от виртуальной машины?

как ответить mount, PID, network, UTS и IPC namespaces дают контейнеру отдельные представления файловой системы, PID, сети, hostname и IPC. User namespace может дополнительно отделить отображение UID/GID; без настройки runtime контейнер остаётся в initial user namespace. Cgroups учитывают и ограничивают ресурсы. Capabilities, seccomp и MAC-политики сужают разрешённые операции. Контейнеры при этом используют kernel хоста, тогда как VM обычно запускает отдельный guest kernel за гипервизором, поэтому модель изоляции и цена запуска различаются.

Один тег образа должен запускаться на amd64 и arm64, но часть узлов получает exec format error. Как устроен multi-platform OCI image и как сделаешь сборку и публикацию проверяемыми?

как ответить Multi-platform tag обычно указывает на OCI image index, где для каждой пары OS/architecture лежит отдельный manifest со своими config и layers. Runtime выбирает подходящий platform manifest. exec format error обычно означает, что внутри выбранного manifest оказался executable другой архитектуры либо stage собрали или скопировали для неверной target platform; отсутствие подходящего platform manifest должно обнаруживаться при выборе образа до запуска. Собираю платформы нативно либо контролируемой cross-build/QEMU-схемой, тестирую каждую и публикую общий index только после их успеха.

В Dockerfile токен записали в файл в одном RUN, а следующим слоем удалили. Почему секрет всё равно считается скомпрометированным и как передавать build secrets правильно?

как ответить Удаление в новом слое скрывает путь в итоговом rootfs, но байты остаются в предыдущем immutable layer и могут попасть в cache или registry. ARG и ENV тоже не предназначены для секретов. Использую secret mount builder, который доступен только нужной инструкции и не сохраняется в слое, а затем проверяю, что команда не скопировала и не вывела значение.