Examen niveau 4 — Docker

Examen — questions inédites

12 questions pour valider le niveau : registres, healthcheck et restart, reverse proxy, sauvegardes et CI.
Répondez à tout, puis cliquez sur Corriger : score et explications s'affichent.

4.1 · Rappel

1. À quoi sert chaque registre (Hub, GHCR, privé) ?

Les trois sont interchangeables sans différence Hub pour la CI, GHCR pour le public, privé pour tout Un seul registre suffit toujours partout Hub pour partager en public, GHCR lié au code pour la CI, privé pour l'interne sensible

Public pour l'open source, GHCR pour vos CI, privé pour l'interne sensible.

4.1 · Application

2. Idir se connecte au registre dans un script. Quelle commande est correcte ?

Token à droits limités via secret CI et --password-stdin docker login ghcr.io -p monsecret (mot de passe en clair) Partager le mot de passe du compte dans le chat d'équipe Se connecter sans aucun identifiant

Le token limité passé par stdin ne traîne ni dans l'historique ni dans les logs.

4.2 · Rappel

3. Que fait restart: unless-stopped ?

Il relance après crash ou reboot, sauf arrêt volontaire Il empêche tout démarrage Il supprime le conteneur après chaque arrêt Il ne fait rien du tout

Relance après crash ou reboot, mais respecte le stop manuel : le bon défaut durable.

4.2 · Application

4. docker compose ps affiche un service « Up (unhealthy) ». Que fait Idir ?

Il supprime tout le projet Il le diagnostique (logs) au lieu de router vers lui Il ignore l'état affiché Il envoie plus de trafic vers ce service

Up = processus vivant, unhealthy = service malade : on soigne, on ne route pas.

4.2 · Application

5. L'API d'Idir crashait car la base n'était pas prête. Que déclare-t-il ?

restart: no partout Aucune dépendance entre services depends_on avec condition: service_healthy sur un healthcheck réel depends_on sans condition (simple ordre)

La condition attend le vrai prêt prouvé par le healthcheck, pas un simple ordre.

4.3 · Application

6. Trois applications web, un seul port 80 disponible. Que fait Idir ?

Il expose tout sans restriction Un reverse proxy seul publié, routage par hôte vers apps non publiées Il publie trois ports différents au hasard Il fusionne les trois applications en une

Un seul publié (le proxy), routage par noms : un port, N services.

4.3 · Arbitrage

7. La base de données est actuellement sur le réseau frontal avec les applications. Décision d'Idir ?

Publier aussi le port de la base Supprimer la segmentation des réseaux La laisser sur le frontal pour simplifier La cantonner au backend, jointe par nom depuis les apps

Base cantonnée au backend : injoignable directement même si le proxy est compromis.

4.4 · Rappel

8. Quelle sauvegarde est valable ?

Un dump rejoué avec succès sur un volume test, données vérifiées Une capture d'écran du terminal Un dump jamais rejoué Une archive stockée dans le volume lui-même

Seule la restauration testée prouve la sauvegarde.

4.4 · Application

9. Idir sauvegarde le volume sans arrêter la production. Comment ?

Il copie l'archive dans le volume sauvegardé Il ne sauvegarde jamais avant une mise à jour Conteneur jetable --rm montant le volume en lecture seule, archive hors du volume Il stoppe toute la production pour copier

Jetable en lecture seule, archive hors volume : la prod continue, la sauvegarde est ailleurs.

4.5 · Application

10. Quel tag Idir déploie-t-il en production depuis la CI ?

L'alias mouvant de la branche Aucun tag Le nom de la branche Le SHA du commit (ou la version taguée), testé et traçable

La prod déploie un artefact exact et testé, pas un alias mouvant.

4.5 · Arbitrage

11. Le workflow d'Idir a besoin du token de registre. Où le met-il ?

En clair dans le fichier workflow Dans les secrets du dépôt, avec permissions minimales, jamais en dur Affiché en log pour déboguer durablement Dans un commentaire du code partagé

Secrets du dépôt, jamais en dur ni en log, permissions minimales.

4.1 · Arbitrage

12. L'équipe d'Idir déploie en production une image dont personne ne connaît le contenu exact. Que décide-t-il ?

Continuer avec des tags ambigus et des builds locaux Ne plus versionner les images CI seule usine + nom complet avec tag immuable noté dans le compose de prod Pousser l'image interne en public pour comparer

Usine CI unique et tag immuable : chaque image prod a une origine connue et traçable.

Et après ?

Score ≥ 80 % : passez au Niveau 5 — orchestration et production, et industrialisez vos acquis (registre privé, stacks fiabilisées, frontal unique, sauvegardes testées, usine CI).
Score 50-79 % : reprenez les sections ratées (registres 4.1, fiabilité 4.2, proxy 4.3, sauvegardes 4.4, CI 4.5), relisez les explications ci-dessus, puis refaites le test.
Score < 50 % : recommencez le niveau depuis 4.1 en pratiquant chaque geste (push/pull traçable, healthcheck + restart, frontal segmenté, restauration testée, workflow vert), puis retentez l'examen à tête reposée.