Examen nivel 2 — Docker

Examen — preguntas inéditas

12 preguntas inéditas : recuerdo + aplicación + arbitraje sobre Dockerfile, build, etiquetas, configuración y seguridad.
Responde a todo y pulsa Corregir: aparecerán tu puntuación y las explicaciones.

2.1 · Recuerdo

1. En un Dockerfile, ¿qué hace RUN frente a CMD ?

Ambos lanzan el servidor CMD instala, RUN lanza RUN instala durante el build (capa fijada), CMD lanza al arrancar Es lo mismo

RUN = construcción (instalar), CMD = ejecución (arrancar) en cada run.

2.1 · Aplicación

2. Idir escribe su primer Dockerfile Node. ¿Qué orden es correcto ?

CMD primero, FROM al final, sin WORKDIR RUN node server.js y luego COPY, sin FROM FROM sin CMD ni EXPOSE, lanzamiento en RUN FROM node:20-slim, WORKDIR /app, COPY, RUN npm ci, EXPOSE, CMD

Base, directorio, código, install en el build, puerto declarado, arranque en el run.

2.1 · Aplicación

3. El build de Idir falla. ¿Dónde busca primero ?

En el archivo .env de Compose En los logs del contenedor de prod En el registro Docker Hub En la última etapa mostrada del build

La última etapa acusa : dependencia faltante, errata, red.

2.2 · Recuerdo

4. ¿Por qué colocar las dependencias ANTES del código en un Dockerfile ?

Para que la imagen sea pública Para preservar la caché : un cambio de código no reejecuta el install Para suprimir el CMD Para evitar el docker login

Estable primero (en caché), cambiante después (reejecutado solo).

2.2 · Aplicación

5. La imagen de Idir supera 1 GB con el SDK entregado en prod. ¿Qué hace ?

Pone la contraseña en ENV Sube en latest sin etiqueta Suprime el CMD Pasa a multi-etapa : build equipado, runtime slim vía COPY --from=build

Construir grande, entregar ligero : solo lo ejecutable llega a la imagen final.

2.2 · Arbitraje

6. Idir duda entre optimizar por intuición o medir. ¿Qué le aconsejas ?

Suprimir el .dockerignore para ir rápido Entregar el SDK para simplificar Optimizar a ciegas, es más rápido Medir con docker images + history antes/después, y luego optimizar

Se optimiza lo que se mide : tamaño total + peso por capa.

2.3 · Aplicación

7. Idir publica la versión 1.2.0 probada. ¿Qué secuencia es correcta ?

push con secreto en ENV, sin login docker build -t micuenta/mi-app:1.2.0, login, push 1.2.0, pull en otro lugar push sin build ni etiqueta, en root build sin etiqueta y luego run en prod

Etiquetar en el build (cuenta incluida), autenticar, subir, tirar en otro lugar.

2.3 · Arbitraje

8. La prod de Idir tira de latest y deriva con cada push. ¿Qué política impone ?

Ninguna etiqueta, build en cada run Reescribir la 1.2.0 con cada correctivo Una etiqueta inmutable por entrega (1.2.0) para la prod, alias para dev Seguir en latest, es más simple

Prod = etiqueta fijada y probada, nunca reescrita ; latest queda como comodidad de dev.

2.4 · Recuerdo

9. ¿Qué diferencia hay entre ARG y ENV ?

Ninguna diferencia ENV sirve en el build y luego desaparece, ARG persiste en el run ARG y ENV lanzan el servidor ARG sirve durante el build y luego desaparece, ENV persiste en el run y se sobrecarga

ARG construye (build), ENV ejecuta (run) : no confundirlos.

2.4 · Aplicación

10. Idir sirve a dev (3000) y a receta (8080) con la misma imagen 1.0. ¿Cómo ?

ENV PORT=3000 por defecto, sobrecarga -e PORT=8080 al lanzar Dos imágenes distintas por puerto Puerto en duro + rebuild por entorno Secreto en ENV fijado en el Dockerfile

Valor por defecto sano + sobrecarga -e : una imagen, N entornos.

2.5 · Aplicación

11. La imagen de Idir funciona en root. ¿Qué refuerzo aplica ?

Quedarse en root para simplificar Suprimir el CMD y el EXPOSE USER dedicado antes de CMD, propiedad ajustada, whoami verificado Poner el secreto en ENV en el Dockerfile

Dos líneas (USER dedicado) + verificación : fin del root por defecto.

2.5 · Arbitraje

12. Idir debe gestionar una clave sensible antes de un push público. ¿Qué elige ?

Ponerla en ENV fijado en el Dockerfile Copiarla vía COPY en la imagen Inyectarla en el run (secretos gestionados), excluida del contexto y del historial Hacer commit de ella en el .env subido a git

Cero secretos en la imagen : inyectado en el run, nunca con commit, push público irreversible.

¿Y ahora qué?

Puntuación ≥ 80 % : pasa al Nivel 3 — Compose y stacks multi-contenedor, manteniendo tus reflejos (Dockerfile ligero, etiquetas fijadas, config fuera de la imagen, non-root).
Puntuación 60-79 % : repasa las secciones falladas (2.1 RUN/CMD, 2.2 caché y multi-etapa, 2.3 etiquetas inmutables, 2.4 ARG/ENV, 2.5 non-root y secretos) y rehace los desafíos 48h.
Puntuación < 60 % : reconstruye la app de Idir paso a paso (Dockerfile 7 líneas, caché + multi-etapa, push 1.0.0, ENV PORT, USER + escaneo), y vuelve a pasar el test.
En todos los casos : mantén los reflejos — RUN construye y CMD arranca, estable primero, etiquetas fijadas, config fuera de la imagen, cero secretos embarcados.