Передаём образ коллеге

Коллеге недостаточно фразы «запусти мой последний образ». Передайте версию, команду запуска и ожидаемый ответ. Удобная метка связывается с релизом или ревизией исходников: по ней можно найти сборку, которую тестировали.

docker build -t qa-api:1.0.0 .
docker tag qa-api:1.0.0 registry.example.com/team/qa-api:1.0.0
# После настройки доступа к вашему реестру:
docker push registry.example.com/team/qa-api:1.0.0

build создаёт образ из проекта, tag добавляет ссылку с другим именем, push отправляет образ в реестр. Tag не пересобирает исходники и не загружает файлы в сеть. Адрес registry.example.com здесь пример; заменять его нужно адресом реестра вашей команды.

Эти команды предназначены для своей рабочей среды с настроенным доступом. Сайт не публикует ученические образы в реестр: лаборатория проверяет их во временной машине. В итоговой задаче результатом будет прошедший проверки образ, а не публичный релиз.

Подробнее: docker tag в документации Docker.

Подробнее: docker push в документации Docker.

Тестовому и демонстрационному стендам может понадобиться разный текст ответа. Не обязательно пересобирать образ ради несекретной настройки. Задайте значение по умолчанию в Dockerfile, а приложение пусть читает окружение во время запуска или обработки запроса.

ENV MESSAGE="Ready for production"

# Фрагмент app.py:
# import os
# message = os.environ["MESSAGE"]

При запуске можно переопределить значение: docker run --env MESSAGE="Runtime wins!" qa-api:1.0.0. Если в Python по-прежнему записана строка "Ready for production", настройка Docker ничего не изменит. Проверяйте эффект в HTTP-ответе, а не только наличие переменной.

В финале понадобятся два запуска одного образа: с настройкой по умолчанию и с переопределением. Это проверяет связь конфигурации с поведением. Название сообщения «Ready for production» — учебное значение, а не гарантия готовности сервиса к промышленной эксплуатации.

Подробнее: переменные сборки и окружения в документации Docker.

Широкая команда COPY . . копирует доступные файлы контекста. Если рядом с исходником лежит .env, секрет может оказаться в образе. Удаление файла следующей инструкцией не делает предыдущий слой безопасным. Правильнее не передавать такой файл в сборку.

.env
__pycache__/
*.pyc
.git/

Эти строки в .dockerignore исключают локальную конфигурацию, кэш Python и историю Git из контекста. Это не механизм выдачи секретов приложению. Для секретов, нужных при сборке, Docker предоставляет secret mounts; обычные ARG и ENV не подходят для хранения токенов в образе.

В лаборатории нет настоящих секретов: проверяющая среда добавляет безвредные контрольные файлы и убеждается, что они не скопированы в итоговый образ. Важен результат COPY, а не только наличие красивого списка исключений. Не добавляйте реальные пароли в редактор.

Подробнее: секреты сборки в документации Docker.