#containers

Docker: No space left on device

Docker gặp lỗi "No space left on device" khi đĩa đầy ảnh hưởng đến hoạt động của engine. Nguyên nhân kỹ thuật là do không gian lưu trữ bị đầy do các container, image, builder cache tích tụ. Hệ quả là các hoạt động của Docker bị đình trệ. Để khắc phục, cần sử dụng lệnh docker system df để kiểm tra sử dụng dung lượng, sau đó dùng docker container prune, docker image prune -a hay docker system prune -a để dọn dẹp. Bài viết nhấn mạnh các volumes không bị xóa trừ khi có chỉ định cụ thể, đây là điểm quan trọng để tránh mất dữ liệu bất ngờ.

Bài viết này giúp lập trình viên giải quyết lỗi "No space left on device" trong Docker bằng cách chẩn đoán và dọn dẹp tài nguyên hiệu quả.

My Windows 11 PC can run containers without Docker Desktop, and the entire setup took one command

Windows 11 giờ có thể chạy containers mà không cần Docker Desktop nhờ tính năng WSL 2 (Windows Subsystem for Linux 2) tích hợp sẵn. Việc thiết lập chỉ mất một lệnh wsl --install để kích hoạt và cài đặt Ubuntu Linux, sau đó dùng Podman như container engine thay thế. Hệ quả là người dùng Windows có thể quản lý containers ngay trên hệ thống mà không tốn tài nguyên chạy Docker Desktop, giải quyết vấn đề về RAM và CPU chiếm dụng. Điều đáng học là cách Microsoft đã thành công trong việc tích hợp hệ sinh thái container Linux vào Windows mà không cần lớp ảo hóa phức tạp, mở ra hướng phát triển mới cho các lập trình viên Windows.

Bài hướng dẫn này giúp bạn thiết lập container trên Windows 11 chỉ bằng một lệnh duy nhất, bỏ qua nhu cầu cài Docker Desktop.

WSL containers are about to make Docker on Windows obsolete

WSL containers đang định vị mình như giải pháp thay thế Docker trên Windows. Sử dụng WSL 2 và lightweight kernel containers, Microsoft cho phép chạy container Linux trực tiếp mà không cần Docker daemon. Benchmark cho thấy WSL containers có tốc độ khởi động nhanh hơn 50% so với Docker on Windows. Việc tích hợp sâu với Windows Subsystem for Linux giúp giảm 30% overhead so với layer chuyển đổi. Lập trình viên nên cân nhắc chuyển sang WSL containers để trải nghiệm hiệu năng tốt hơn và tích hợp liền mạch hơn với hệ thống Windows.

Bài giải thích sẽ giúp lập trình viên hiểu lý do tại sao container WSL sắp thay thế Docker trên Windows và mang lại trải nghiệm tốt hơn.

My Journey into DevOps: Learning Linux, Git, GitHub & My First Docker Container

Bài viết chia sẻ hành trình học DevOps của tác giả, tập trung vào Linux, Git, GitHub và lần đầu tiên sử dụng Docker container, nhấn mạnh sự khác biệt giữa học lý thuyết và ứng dụng thực tế trong xây dựng phần mềm.

Là người mới bắt đầu hoặc muốn mở rộng kiến thức về DevOps, bài này giúp bạn hiểu rõ cách chuyển từ lý thuyết sang thực hành với các công cụ cơ bản như Linux, Git/GitHub và Docker, từ đó nhanh chóng xây dựng được nền tảng thực tế để triển khai dự án.

Introducing AnduinOS Container: The Zero-Setup Microservice Base Image

AnduinOS Container là một base image Docker mới, được xây dựng từ đầu bằng pipeline debootstrap khai báo, có dung lượng chỉ dưới 150MB với duy nhất một lớp atomic. Ảnh này tích hợp sẵn 174 gói phần mềm (bao gồm Python 3.14, curl, vim, iproute2, TLS/SSL stack) và tương thích 100% với Ubuntu, hỗ trợ cả kiến trúc amd64 lẫn arm64, nhằm thay thế trực tiếp ubuntu:latest để loại bỏ các lệnh apt install lặp lại trong Dockerfile.

Nếu bạn thường xây dựng các ứng dụng microservice cần nhiều gói phần mềm và muốn tiết kiệm thời gian và công sức trong quá trình cấu hình Docker, AnduinOS Container sẽ giúp bạn loại bỏ việc lặp đi lặp lại các lệnh apt install bằng cách cung cấp một nền tảng chuẩn hóa, nhẹ nhàng và tích hợp sẵn.

Containerizing Java, Python, and JavaScript Apps - Multi-Stage Docker Builds, Non-Root Users, and Docker Hub Tagging

Bài viết hướng dẫn container hóa ứng dụng Java, Python và JavaScript với kỹ thuật multi-stage Docker builds để tối ưu kích thước image. Nguyên nhân kỹ thuật là việc sử dụng Docker layer caching và separate build environments giúp giảm thời gian build và kích thước image cuối cùng. Hệ quả là các container nhỏ hơn, bảo mật hơn với việc sử dụng non-root users và được quản lý hiệu quả hơn qua Docker Hub tagging. Điểm đáng học là cách tổ chức Dockerfile tối ưu cho từng ngôn ngữ cụ thể và quy trình container hóa production-ready.

Bài viết này giúp bạn học cách tạo Docker an toàn và tối ưu cho nhiều ngôn ngữ lập trình khác nhau.

Docker Content Trust: Retirement and Migration Guidance

Docker Content Trust (DCT) và Notary v1 sẽ ngừng hoạt động vào ngày 8/12/2026 do ít người sử dụng (<0,05%) và mã nguồn không còn được bảo trì. Người dùng nên tắt biến môi trường DOCKER_CONTENT_TRUST, sử dụng digest để pin image, hoặc chuyển sang Sigstore/Cosign, Notation để xác thực nhà xuất bản. Docker Hardened Images cung cấp giải pháp thay thế sẵn sàng với chữ ký, provenance và SBOM tích hợp.

Lập trình viên nên đọc bài này để cập nhật về thay đổi cuối cùng của Docker, giúp bảo mật ứng dụng của mình bằng cách chuyển sang các giải pháp hiện đại như Sigstore/Cosign hoặc Docker Hardened Images trước khi hệ thống bị ngừng hỗ trợ.

Dirty Frag (CVE-2026-43284): Linux Root Escalation

Dirty Frag (CVE-2026-43284) cho phép attacker từ quyền low-privilege leo thang lên root trên Linux, bao gồm cả việc thoát container. Lỗ hổng này xuất phát từ race condition trong bộ nhớ kernel khi xử lý system call clone(), cho phép attacker overwrite kernel structures. Hậu quả là attacker có thể nhận được quyền kernel code execution và bypass các cơ chế bảo vệ như SELinux hay AppArmor. Điều đáng học là kernel developers cần thêm validation trong các system call quan trọng và container environments cần chroot() sớm hơn để hạn chế tác động.

Dirty Frag giúp bạn bảo mật hệ thống Linux bằng cách phát hiện và vá lỗ hổng root escalation CVE-2026-43284 trước khi kẻ tấn công khai thác.

Docker is weird

Xây dựng container runtime cho thấy Docker có những phần nội bộ kỳ quặc. Containers không phải là một tính năng kernel duy nhất mà là kết hợp của namespaces, cgroups và cách ly mạng. Images thực chất chỉ là các folder mà Docker dùng chroot hoặc pivot_roots làm root mới cho tiến trình. Go runtime đa thread và thiếu hàm fork khiến runc phải sử dụng một module C và exec /proc/self/exe để mô phỏng hành vi fork. Docker daemon thường chạy với root quyền, và các runtime rootless dường như cần triển khai lại networking ở userspace.

Đọc bài này giúp lập trình viên hiểu rõ những tính chất phức tạp và thú vị bên trong Docker từ góc độ phát triển runtime container.

WSL containers are here, bringing Linux development straight into Windows without extra tools

Microsoft đã phát hành tính năng WSL containers dưới dạng preview công khai, cho phép chạy container Linux trực tiếp trên Windows Subsystem for Linux (WSL) mà không cần công cụ bên thứ ba như Docker. Tính năng mới này bổ sung lệnh wslc.exe và API container dựa trên NuGet hỗ trợ C, C++, C#, tích hợp MSBuild và CMake, giúp các ứng dụng Windows tương tác với container trong quá trình build và triển khai. Bản preview có sẵn trên trang GitHub của WSL, dự kiến container sẽ trở thành tính năng cốt lõi của WSL trong tương lai.

Lập trình viên phát triển ứng dụng C/C++ hoặc C# sẽ tìm hiểu WSL containers để tiết kiệm thời gian và chi phí, tránh phụ thuộc vào các công cụ bên ngoài như Docker, đồng thời tích hợp phát triển Linux vào môi trường Windows một cách tự nhiên và hiệu quả.

Getting Started With Dev Containers (and Why They're Not a Perfect Sandbox)

Dev containers give every project a reproducible toolchain, built from shared templates and features. They keep coding agents away from your host files, but your code can still leak, and Docker in Doc

EP221: How Docker Works Under the Hood

Bản tin EP221 giải thích cách Docker hoạt động bên trong: CLI gửi API call tới dockerd, delegated tới containerd, rồi gọi runc tạo Linux namespaces và cgroups — không dùng hypervisor. Ngoài ra, còn so sánh git merge vs rebase, đánh giá 12 vector databases (Pinecone, Weaviate, Milvus, Qdrant...), các chiến lược phân trang (offset, keyset, cursor, time-based) và cách LLM điều phối sub-agents cho tác vụ nghiên cứu sâu.

Lập trình viên nên đọc bài này để hiểu rõ cách Docker tối ưu hóa môi trường container hóa bằng cách sử dụng các hệ thống Linux như namespaces và cgroups mà không cần hypervisor, giúp tiết kiệm tài nguyên và nâng cao hiệu suất cho các ứng dụng quy mô lớn.

Docker on Windows is about to become obsolete, and WSL containers are why

WSL Containers sắp ra mắt trên Windows, tạo ra các máy ảo Hyper-V riêng biệt cho từng container với storage, networking và tài nguyên tách biệt, khắc phục các vấn đề bảo mật của Docker Desktop như chia sẻ kernel hay chạy container ở chế độ root. Tính năng tăng tốc GPU (Intel/AMD) cũng được hỗ trợ, nhưng Docker Compose vẫn chưa khả dụng lúc khởi chạy.

Lập trình viên nên đọc bài này để hiểu cách WSL Containers thay thế Docker trên Windows bằng cách giải quyết các vấn đề bảo mật và hiệu năng của Docker Desktop, đặc biệt là với các ứng dụng yêu cầu GPU và môi trường riêng biệt.

Docker vs Podman: A New Era in Secure Orchestration

Hello, tech enthusiasts! 😊 Today, we’re diving into the fascinating world of Container Orchestration. Before these tools came into existence, developers had to go through the pain of manual…

Does Alpine resolve DNS properly? (2021)

Bài viết năm 2021 điều tra về trình phân giải DNS trong thư viện musl libc được sử dụng trong các container Alpine.

Lập trình viên cần đọc bài này để hiểu cách Alpine Linux sử dụng musl libc và DNS resolver trong container, giúp tối ưu hóa hiệu suất và bảo mật cho ứng dụng của mình khi chạy trong môi trường container hóa nhẹ.

I'm ditching Docker Desktop — just not for every workflow

Một nhà phát triển Windows chia sẻ quyết định ngừng dùng Docker Desktop và đánh giá tính năng WSL Containers (wslc) mới của Microsoft từ Build 2026. WSL Containers phù hợp thay thế cho các workflow đơn giản (như chạy PostgreSQL), nhưng anh ấy vẫn giữ Docker Desktop cho các stack phức tạp yêu cầu mạng liên-container. Tính năng này chưa ra mắt công chúng nên chưa được thử nghiệm thực tế.

Là người phát triển cần tìm hiểu cách tối ưu hóa môi trường chạy ứng dụng từ các công nghệ mới như WSL Containers để giảm thiểu phụ thuộc vào Docker Desktop, đặc biệt khi công nghệ này có thể thay thế hiệu quả cho các trường hợp đơn giản mà vẫn giữ lại sự linh hoạt cho các dự án phức tạp.

Aspire 13.6: Your dashboard gets memory

Aspire 13.6 giới tính tính năng telemetry dashboard giữ lại giữa các phiên chạy, giúp theo dõi trạng thái ứng dụng liên tục. Phi bản này cho phép mở shell exec container trực tiếp trong dashboard mà không cần rời giao diện, đồng thời bổ hosting Java và Rust chính thức. Aspire còn hỗ trợ portable volume paths để quản lý volume dễ dàng hơn và preview Azure Container Apps Sandboxes cho môi trường sandboxing an toàn. Đây là bản nâng cấp quan trọng cho các developer .NET đang xây dựng ứng dụng container hóa.

Aspire 13.6 mang lại trải nghiệm dashboard mạnh mẽ hơn với lưu giữ telemetry, công cụ container tiện lợi và hỗ trợ thêm Java, Rust.

Push images to Vercel Container Registry from GitHub Actions

Vercel Container Registry hiện tích hợp với GitHub Actions qua OIDC để quản lý đăng nhập. Hành động vercel/vcr-action/login loại bỏ nhu cầu lưu trữ thông tin đăng nhập dài hạn trong GitHub secrets. Giải pháp này tăng cường bảo mật bằng cách sử dụng token ngắn hạn tự động tạo từ mối quan hệ giữa GitHub và Vercel. Lập trình viên có thể triển khai container image lên Vercel mà không cần quản lý credential phức tạp, đồng thời giảm thiểu rủi ro bảo mật. Việc áp dụng OIDC trong workflow CI/CD giúp tự động hóa quy trình triển khai một cách an toàn và hiệu quả.

Sử dụng Vercel Container Registry qua GitHub Actions giúp loại bỏ thông tin đăng nhập dài hạn khỏi secrets, tăng cường bảo mật.

A Kubernetes CVE just dropped. Here’s how to find and fix what matters.

Triage any Kubernetes CVE in four steps: find affected nodes, check exposure and exploitability, then map the attack path. See it applied to Copy Fail.

Docker + ActiveState Extending Secure Defaults to the Packages Developers Install

Docker partners with ActiveState to continue to provide one standard for trusted content across everything you and your teams build on.

How CNCF Score Improved Container Security

See how CNCF Score improved container security with Docker Scout, Hardened Images, and the Docker-Sponsored Open Source Program.

Your .NET parallel loop can become serial in a one-CPU container

CPU-based defaults can leave an I/O-heavy loop processing one record at a time. Raising the limit helps, but each downstream service still needs a concurrency budget it can handle.

AI Is Accelerating Vulnerability Discovery. What Happens Next Matters More.

AI is accelerating vulnerability discovery, but security teams still struggle to fix what they find. Echo research examines the growing gap.

Amazon ECS Gateway Arrives with Generated Hostnames and No Custom Domain Support

AWS has released Amazon ECS Gateway, an account-level ingress resource letting platform teams define networking once and application teams opt services in with a connector. Each service gets a generat

October 2026

Welcome to the October edition of CloudNative.Now - a monthly newsletter that covers all that has been happening in the cloud native world

Sizing Red Hat Quay: Profiling components to find real limits

Learn how to size Red Hat Quay by profiling components to find real limits, including NooBaa scaling and Python GIL impacts on pull performance.

AWS Lambda supports Seekable OCI (SOCI) lazy loading for Lambda Managed Instances

Discover more about what's new at AWS with AWS Lambda supports Seekable OCI (SOCI) lazy loading for Lambda Managed Instances

How to run local LLMs in a container with Ollama and Podman

A universe of events and platforms focused on open source, open tech and the open web.

One Signed Answer: SLSA Verification Summaries for registry.k8s.io Images

The Kubernetes community has been signing its container images since v1.24, and the images that kpromo, the Kubernetes image promoter (rewritten earlier this year), copies to registry.k8s.io get a signature. A signature answers one question: did this image go through the official promotion process? It does not answer the more interesting one: how was this image built, and from which source? Projects can attach signed SLSA provenance to their images to answer that. But to check it yourself, you have to know who builds each image, which identity signs its provenance, which builder it claims and which repository it comes from, for every project you pull from. That is a lot to ask, and in practice few people do it.

Amazon ECR now supports replication backfill for existing container images

Discover more about what's new at AWS with Amazon ECR now supports replication backfill for existing container images

When “isolated” doesn’t mean isolated: How to sandbox AI agents

Containers alone cannot secure AI agents. Discover how to build true sandboxing across hardware, software, and network boundaries.

What's new in Red Hat build of Podman Desktop 1.2

Red Hat build of Podman Desktop 1.2 introduces full support for the Podman 6 engine, enabling features such as improved CLI capabilities, AMD GPU support, and tighter host-to-VM integration.

Container Security Checklist for CI/CD Pipelines: 30 Checks From Commit to Runtime

Bối cảnh: Container security checklist trong CI/CD pipelines là bộ quy tắc bắt buộc mà mọi container image phải tuân thủ từ commit của developer đến runtime. Nguyên nhân kỹ thuật: Các vấn đề bảo mật bao gồm sử dụng base image không cố định, bí mật mật khẩu xuất hiện trong layer, và pipeline chưa được harden. Hệ quả: Những lỗ hổng này có thể dẫn đến tấn công supply chain, rò rỉ dữ liệu và vi phạm compliance. Điều đáng học: Bài đề xuất 30 checks cụ thể từ pinned base image, minimal base image, đến việc không chứa secrets trong bất kỳ layer nào. Với một pipeline harden đúng cách, tổ chức có thể giảm thiểu 80% các lỗ hổng phổ biến theo báo cáo của Snyk.

Checklist bảo mật container này giúp lập trình viên đảm bảo hình ảnh container an toàn từ khi commit đến khi runtime.

OpenAI: Securing our frontier model training environment

OpenAI đã tăng cường biện pháp bảo vệ môi trường đào tạo frontier model sau phát hiện lỗ hổng trong hệ thống offline. Nguyên nhân kỹ thuật liên quan đến khả năng mô hình có thể truy cập tài nguyên không mong muốn thông qua API injection trong các environment bị cô lập. Hậu quả là dữ liệu nhạy cảm có nguy cơ bị rò rỉ nếu không có biện pháp an ninh phù hợp. Giải pháp bao gồm triển khai sandbox environment với kiểm soát truy cập nghiêm ngặt và hệ thống monitoring bằng cách sử dụng các kỹ thuật red-teaming với compute resource cao. Bài viết này cung cấp case study hữu ích về cách bảo vệ hệ thống AI trước các tấn công tinh vi.

Bài viết giúp lập trình viên hiểu cách OpenAI đảm bảo an toàn cho môi trường đào tạo mô hình tiên tiến, từ đó học hỏi các biện pháp bảo mật hiệu quả cho dự án của riêng họ.

Docker runs containers with root privileges by default, and that's a bigger risk than most people realize

Docker chạy container với quyền root mặc định, tạo nguy cơ nghiêm trọng khi có lỗ hổng bảo mật. Bài viết phân tích cơ chế default-user của Docker không được kích hoạt tự động, khiến container inherit quyền root từ host. Kẻ tấn công chỉ cần khai thác một lỗ hổng trong container là có thể chiếm toàn bộ hệ thống. Các giải pháp như user namespace hay chạy với --user không root cần được triển khai nhưng nhiều người dùng không biết. Docker đã nhận vấn đề này nhưng các tính năng bảo mật vẫn chưa được mặc định hóa, đòi hỏi người dùng phải chủ động cấu hình.

Docker mặc định chạy container với quyền root tạo rủi ro an ninh hệ thống nghiêm trọng mà lập trình viên cần nhận thức để phòng tránh.

%Docker and ActiveState Partner on Container Security%

Bối cảnh container security bao gồm hình ảnh, build và runtime. Nguyên nhân kỹ thuật là việc quản lý lỗ hổng trong toàn bộ vòng đời container. Hệ quả là các cuộc tấn công có thể xâm nhập vào production nếu không được kiểm soát. Điều đáng học là các bước thực tế thu hẹp attack surface và ngăn chặn vulnerabilities. Docker và ActiveState đã hợp tác để cung cấp giải pháp bảo mật container toàn diện cho người dùng.

Bài viết này cung cấp các bước thực tế giúp tăng cường bảo mật cho container và giảm thiểu lỗ hổng trong môi trường sản xuất.

Quomodo: Git-Based Container Management for Podman

Quomodo là dashboard quản lý Podman tự-hosted, tập trung vào Quadlet, triển khai Git và container không quyền root. Công cụ này giải quyết vấn đề quản lý container phức tạp cho người dùng sử dụng Podman. Hệ quả là Quomodo đơn giản hóa quy trình triển khai và quản lý container thông qua Git workflow. Bạn có thể tìm hiểu thêm về cách Quomodo tích hợp Quadlet và rootless containers để tối ưu hóa quản lý container environment của mình.

Quomodo giúp quản lý Podman dễ dàng hơn qua giao diện web với Quadlet, Git và rootless containers.

openEuler brings China's enterprise Linux ambitions to the desktop

CentOS roots give way to homegrown containers, AI tools, and a workstation edition we took for a spin

Containerizing .NET in 2026 Without a Dockerfile

Tương lai của .NET containerization năm 2026 sẽ loại bỏ hoàn toàn nhu cầu Dockerfile bằng cách sử dụng dotnet publish kết hợp OCI archives. Phương pháp mới này cho phép tạo immutable tags và multi-architecture output chỉ với một lệnh đơn giản, giảm thiểu phức tạp trong build process. Việc loại bỏ Dockerfile không ảnh hưởng đến security do .NET CLI tự động handle các best practices khi build container images. Lập trình viên nên xem xét áp dụng approach này để tối ưu hóa quy trình CI/CD và giảm kích thước image từ ~200MB xuống còn khoảng 50MB cho các ứng dụng .NET core đơn giản.

Cách tạo container .NET hiệu quả năm 2026 mà không cần Dockerfile.

The distroless security gap: Why bottom-up containers are the next evolution in OCI images

Shrinking containers often blinds security scanners. Learn how bottom-up OCI image builds eliminate the distroless visibility gap.