Образ — стопка слоёв только для чтения, каждый — изменения файловой системы от одной инструкции. Контейнер добавляет сверху тонкий слой для записи. Слои общие между образами и кэшируются. Удаление файла в следующем слое лишь скрывает его — в образе он остаётся, поэтому секрет, попавший в слой, утёк навсегда.
А ещё Тег (latest, v1.2) — подвижный указатель, digest — неизменный
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Union filesystem (overlayfs) складывает слои: верхний перекрывает нижние. Чтение ищет файл сверху вниз; запись в контейнере копирует файл в верхний слой (copy-on-write).
Следствия:
Неизменяемый артефакт. Собрали образ один раз в CI, проверили тестами — и именно этот digest выкатывают на staging и prod. Пересборка «для прода» даёт другой образ (другие версии пакетов) и обесценивает тесты. Конфигурация окружения передаётся переменными и конфигами, а не вшивается в образ.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto