docker

分析容器与虚拟机在资源隔离、启动速度、性能损耗的差异，理解 Docker 的技术定位与适用场景。

了解 Docker Daemon、CLI Client、Registry 的核心职责与交互流程。

了解容器技术发展背景，完成 Docker Engine 安装与环境配置。

理解镜像的只读分层架构与容器的运行时实例关系。

使用 docker pull 从 Registry 下载镜像，使用 docker search 查找可用镜像。

使用 docker images 列出本地镜像，使用 docker rmi 安全删除无用镜像。

使用 docker create/run 创建容器，理解前台与后台运行模式区别。

使用 docker rm 删除停止的容器，使用 docker container prune 批量清理。

使用 docker logs 实时查看容器输出，掌握 -f/--tail/--since 参数用法。

使用 docker start/stop/restart/pause 控制容器生命周期与运行状态。

使用 docker exec 在运行中容器内执行命令，了解 docker attach 连接终端的局限。

配置数据卷的只读访问模式，处理容器内文件权限与用户映射问题。

使用 docker volume 创建命名卷，理解卷驱动与数据生命周期。

使用 -p 参数将容器端口映射到宿主机，处理端口冲突与绑定地址。

使用 -v 将宿主机目录挂载到容器，实现配置文件与数据持久化。

掌握 FROM、RUN、CMD、COPY 等基础指令的用法与执行顺序。

使用 EXPOSE 声明容器监听端口，理解声明与实际端口映射的区别。

设置容器工作目录与环境变量，理解指令间的状态传递机制。

使用 docker build 从 Dockerfile 构建镜像，理解构建上下文概念。

部署关系型数据库容器，配置初始密码、数据持久化与字符集。

快速部署 Nginx 反向代理容器，配置静态文件挂载与端口映射。

部署 Redis 缓存容器，配置密码认证与 AOF/RDB 数据持久化。

使用官方镜像部署常见应用如 WordPress、Jenkins、GitLab。

排除 node_modules、.git 等无关文件，减小构建上下文并提升构建速度。

掌握 ADD 自动解压 tar 包与远程 URL 下载特性，优先使用 COPY。

使用 ARG 在构建时传入变量，理解 ARG 与 ENV 的作用域差异。

理解 ENTRYPOINT 设置默认执行程序与 CMD 提供默认参数的组合用法。

使用 FROM 别名实现编译与运行环境分离，显著减小最终镜像体积。

定义共享网络实现服务发现，配置命名卷实现跨容器数据持久化。

掌握 services、networks、volumes 三级配置结构与依赖关系声明。

使用 docker-compose up 一键启动完整应用栈，处理服务启动顺序。

使用 docker-compose up --scale 横向扩展服务副本，配合反向代理负载。

使用 depends_on 与 healthcheck 确保下游服务就绪后再启动上游服务。

使用 env_file 与 .env 管理多环境配置，避免敏感信息硬编码。

理解 docker0 桥接网络原理，配置自定义 bridge 网络实现容器互通。

使用 --network host 共享宿主机网络栈，获得最高网络性能。

配置 Docker Swarm overlay 网络，实现多节点容器间透明通信。

利用 Docker 内置 DNS 实现服务名解析，理解网络别名解析优先级。

创建隔离网络防止未授权访问，配置网络策略限制容器间通信路径。

使用 tmpfs 将敏感数据存储在内存中，避免写入磁盘提升安全性。

使用本地/远程卷驱动管理数据，执行容器内数据备份与恢复操作。

理解 overlay2、aufs、devicemapper 差异，根据 OS 选择最优驱动。

使用 docker cp 与 volume 备份实现容器数据迁移与环境克隆。

集成 Fluentd/Logstash 将容器日志推送至 ELK 或 Loki 集中分析。

使用 docker logs 结合时间范围与关键字过滤快速定位容器异常。

设置 max-size/max-file 限制日志大小，防止磁盘被日志占满。

配置 json-file、syslog、journald 等日志驱动，集中管理容器日志。

登录 Docker Hub 认证仓库，使用 docker push 推送私有镜像。

部署 Harbor 镜像仓库，配置项目权限、漏洞扫描与复制策略。

部署 registry 私有镜像仓库，配置 TLS 与访问认证控制。

配置 registry-mirrors 加速镜像拉取，理解 Docker 层缓存复用机制。

使用 Docker Content Trust 对镜像签名，验证镜像来源防篡改。

配置容器安全策略限制系统调用，阻止容器逃逸与提权攻击。

使用 Docker Secret 管理密码/API Key，避免明文传递敏感配置。

使用 Trivy/Clair 扫描镜像漏洞，根据 CVE 报告升级基础镜像版本。

使用 alpine/distroless 基础镜像，删除无用软件包减小攻击面。

使用 USER 指令切换容器内运行用户，避免以 root 权限执行进程。

使用 --cpus/--cpu-shares 限制容器 CPU 使用，防止单容器占满宿主资源。

使用 --memory/--memory-swap 设置内存上限，理解 OOM Killer 触发行为。

使用 docker stats 实时查看容器资源消耗，结合 cgroups 深入分析。

配置 --pids-limit 防止容器内 Fork 炸弹耗尽宿主进程资源。

在 CI 容器中运行 Docker 命令，理解 DinD 与 socket 绑定方案差异。

使用 Compose 配置文件覆盖实现 dev/test/prod 多环境差异化部署。

使用 Docker Compose 拉起数据库/缓存/消息队列完整测试依赖栈。

在 Jenkins/GitLab CI 中自动构建镜像并推送至仓库，关联代码版本。

掌握 Cgroups v1/v2 层级结构，实现 CPU/内存/IO 配额精细化控制。

深入理解 PID/NET/IPC/MNT/UTS/User 六种 Namespace 实现进程隔离。

分析 overlay2 驱动的分层挂载原理，理解写时复制与镜像层复用。

理解容器共享宿主内核特性，分析内核版本兼容性与模块加载限制。

追踪 docker run 到 containerd/runc 的调用链，理解 OCI 规范落地。

选择 optimal 存储驱动，配置 direct-lvm 模式提升数据库 IO 性能。

优化 ENTRYPOINT 脚本逻辑，预拉取镜像减少冷启动延迟。

根据业务特征规划单机容器密度，平衡资源利用率与故障爆炸半径。

合理安排 Dockerfile 指令顺序最大化缓存命中，处理缓存失效场景。

调整 bridge 网络 MTU 与缓冲区大小，优化高吞吐场景下的网络延迟。

合并 RUN 指令减少层数，使用多阶段构建剔除编译中间产物。

配置 Rootless Docker 以普通用户运行守护进程，消除 root 权限风险。

实施 CIS Docker Benchmark 安全基线检查，记录容器操作审计日志。

分析特权容器、挂载 Docker Socket、内核漏洞等逃逸路径与防御。

配置网络策略限制容器间通信，使用 mTLS 加密服务间通信流量。

集成 Falco/eBPF 监控容器运行时行为，检测异常进程与网络连接。

实施镜像签名验证与来源溯源，配置准入策略阻止未签名镜像运行。

处理 SIGTERM/SIGKILL 信号实现优雅停机，配置 stop_grace_period 超时时间。

配置 HEALTHCHECK 指令实现容器健康探测，结合 restart policy 自动恢复。

制定容器化应用备份策略，演练数据恢复流程验证 RTO/RPO 指标。

熟练使用 nsenter/tcpdump/strace 深入容器排查网络与性能问题。

部署 Prometheus+Grafana 监控容器指标，配置告警规则与通知渠道。

规划 Docker Engine 与 Compose 版本升级路径，处理 Breaking Changes。

理解 Docker 镜像与 K8s Pod 的关系，了解容器运行时演进历程。

使用 Kompose 将 Compose 文件转换为 K8s 资源，处理配置差异。

使用 Kind 基于 Docker 构建本地 K8s 集群，加速微服务开发调试。

配置 K8s ImagePullSecret 拉取私有镜像，处理认证失败与限流问题。

优化 MySQL/PostgreSQL 容器参数，处理 WAL 日志与 Checkpoint 性能。

评估数据库容器化适用场景，制定生产数据库容器化部署规范。

理解有状态容器与无状态容器的差异，处理数据一致性与身份标识问题。