Cập nhật Docker: Hướng dẫn từng bước

Cập nhật Docker có thể mang nghĩa ba việc hoàn toàn khác nhau. Bạn có thể cần cập nhật Docker Engine, Docker Desktop hoặc các ảnh mà container của bạn chạy trên đó.

Hầu hết nhà phát triển không biết mình thực sự cần cập nhật cái nào, nên họ hoặc cập nhật tất cả (và có nguy cơ làm hỏng thiết lập) hoặc né cập nhật hoàn toàn (và tự phơi bày trước lỗ hổng bảo mật). Để cập nhật Docker an toàn, bạn chỉ cần biết rõ mình đang cập nhật gì và làm đúng các bước cho từng tình huống.

Trong bài viết này, tôi sẽ hướng dẫn bạn những lộ trình cập nhật an toàn và phổ biến nhất, không cần phỏng đoán. Bạn sẽ hiểu mỗi loại cập nhật Docker thực sự làm gì, khi nào cần dùng và cách thực hiện từng bước mà không làm gián đoạn các container hiện có.

Nếu bạn mới làm quen với Docker, hãy bắt đầu với Giới thiệu về Docker để xây nền tảng trước khi xử lý cập nhật và bảo trì.

“Cập nhật Docker” thực sự nghĩa là gì?

Như đã nói, “cập nhật Docker” có thể chỉ ba việc khác nhau, và nhầm lẫn giữa chúng là cách bạn vô tình làm hỏng một hệ thống đang chạy ổn. Bạn có thể cập nhật Docker Engine (phần mềm lõi chạy container), Docker Desktop (ứng dụng giao diện đồ họa), hoặc các ảnh container mà ứng dụng của bạn dùng.

Mỗi loại cập nhật tác động đến hệ thống theo cách khác nhau. Để tôi giải thích.

Cập nhật Docker Engine so với cập nhật ảnh

Docker Engine là runtime quản lý các container của bạn.

Khi bạn cập nhật Docker Engine, bạn đang nâng cấp phần mềm tạo, chạy và quản lý container trên hệ thống. Đây là thay đổi cấp hệ thống, ảnh hưởng đến cách Docker vận hành. Bạn cài đặt các binary mới, cập nhật daemon và có thể thay đổi cách Docker tương tác với hệ điều hành.

Ảnh container là bản thiết kế mà container của bạn chạy theo.

Cập nhật một ảnh nghĩa là kéo về phiên bản mới hơn của ứng dụng được đóng gói trong container đó. Ví dụ, nếu bạn đang chạy PostgreSQL 14 trong container và muốn nâng lên PostgreSQL 18, cập nhật ảnh tức là kéo phiên bản mới đó. Bản thân Docker Engine không đổi - chỉ phần mềm bên trong container thay đổi.

Điều cần ghi nhớ là cập nhật Docker Engine có thể ảnh hưởng đến tất cả container của bạn, còn cập nhật một ảnh chỉ ảnh hưởng đến các container được tạo từ ảnh cụ thể đó.

Điều gì xảy ra với các container đang chạy

Cập nhật Docker Engine không tự động khởi động lại container của bạn.

Khi bạn cập nhật Docker Engine trên Linux, Docker daemon sẽ khởi động lại, nhưng trong hầu hết thiết lập hiện đại, container của bạn vẫn tiếp tục chạy. Docker dùng một tính năng gọi là live restore để giữ container “sống” trong quá trình cập nhật daemon. Bạn có thể kiểm tra tính năng này bằng lệnh docker info và tìm “Live Restore Enabled: true”.

Docker Desktop lại là câu chuyện khác.

Trên macOS và Windows, cập nhật Docker Desktop sẽ dừng tất cả container đang chạy. Toàn bộ máy ảo Docker sẽ khởi động lại trong quá trình cập nhật. Container của bạn sẽ không tự khởi động lại sau khi cập nhật xong. Bạn cần khởi động thủ công hoặc dùng chính sách khởi động lại.

Cập nhật ảnh yêu cầu bạn tạo lại container.

Kéo về phiên bản ảnh mới không đụng chạm gì đến các container đang chạy. Nếu muốn dùng ảnh đã cập nhật, bạn cần dừng container cũ, xóa nó và tạo container mới từ ảnh được cập nhật.

Đó là lý do hiểu sự khác biệt giữa cập nhật Engine và cập nhật ảnh rất quan trọng. Một bên có thể cần lên kế hoạch downtime, bên kia thì không.

Vì sao bạn nên cập nhật Docker

Phiên bản Docker lỗi thời khiến bạn đối mặt với các lỗ hổng bảo mật đã biết và vấn đề tương thích. Nếu chừng đó chưa đủ thuyết phục, hãy đọc tiếp.

Bảo mật và ổn định

Mỗi bản phát hành Docker đều vá các lỗ hổng bảo mật được phát hiện ở phiên bản trước.

Chạy bản cũ nghĩa là bạn dễ bị khai thác bởi những lỗ hổng mà kẻ tấn công đã biết. Các nhà nghiên cứu bảo mật và cộng đồng Docker chủ động tìm và báo cáo các vấn đề này, và công ty đứng sau Docker sửa chúng trong các bản phát hành mới. Nếu bạn không cập nhật, tức là bạn để ngỏ cánh cửa.

Bên cạnh đó, độ ổn định được cải thiện qua mỗi bản phát hành. Các bản sửa lỗi mới giải quyết những điểm khó chịu với đa số người dùng và có thể khiến container của bạn sập trong môi trường production.

Bạn không cần cập nhật mỗi khi có phiên bản mới, nhưng bỏ qua cập nhật trong nhiều tháng đồng nghĩa bỏ lỡ hàng chục bản vá bảo mật và cải thiện ổn định.

Tương thích với hệ thống hiện đại

Hệ điều hành và công cụ phát triển vẫn tiến lên dù bạn có cập nhật Docker hay không.

Hệ điều hành của bạn nhận cập nhật, công cụ CI/CD có tính năng mới, và các nền tảng điều phối như Kubernetes cuối cùng sẽ ngừng hỗ trợ các phiên bản Docker cũ. Nếu bạn chạy Docker từ hai năm trước, bạn sẽ bắt đầu thấy cảnh báo tương thích, rồi lỗi, và rồi hỏng hoàn toàn.

Các ảnh container hiện đại cũng kỳ vọng tính năng Docker mới hơn. Những người xây dựng ảnh dùng multi-stage build, tối ưu hóa BuildKit và driver lưu trữ mới mà các phiên bản Docker cũ không hỗ trợ. Bạn có thể kéo một ảnh nhưng nó đơn giản là không chạy được trên thiết lập lỗi thời.

Nếu bạn dự định dùng công cụ điều phối cùng Docker, khóa học Giới thiệu về Kubernetes của chúng tôi là lựa chọn tuyệt vời để bắt đầu.

Cách kiểm tra phiên bản Docker hiện tại

Trước khi cập nhật, nên kiểm tra phiên bản hiện có.

Xác minh phiên bản đã cài đặt

Chạy lệnh này để xem phiên bản Docker hiện tại:

docker --versionĐược hỗ trợ bởi

Lệnh này hiển thị phiên bản Docker Engine được cài trên hệ thống của bạn:

Số phiên bản tuân thủ semantic versioning: major.minor.patch. Trong ví dụ này, 29 là phiên bản chính, 1 là phiên bản phụ và 3 là bản vá.

Để biết thêm chi tiết về thiết lập Docker của bạn, hãy chạy lệnh sau:

docker infoĐược hỗ trợ bởi

Lệnh này đổ ra rất nhiều thông tin về cài đặt Docker của bạn, gồm phiên bản máy chủ, driver lưu trữ, phiên bản kernel và liệu các tính năng như live restore có được bật không. Bạn không cần tất cả thông tin này cho một lần cập nhật cơ bản, nhưng nó hữu ích khi cần khắc phục sự cố.

Quyết định có cần cập nhật hay không

Các bản cập nhật phiên bản phụ thường an toàn và nên được áp dụng thường xuyên.

Nếu bạn đang ở Docker 29.1.0 và có 29.1.3, đó là cập nhật nhỏ với bản sửa lỗi và vá bảo mật. Các cập nhật này hiếm khi gây lỗi và bạn nên áp dụng khi thuận tiện.

Cập nhật phiên bản chính cần thận trọng hơn. Nhảy từ Docker 24 lên Docker 29 có thể mang đến thay đổi phá vỡ tương thích, tính năng bị loại bỏ hoặc yêu cầu mới. Trước khi cập nhật qua phiên bản chính, hãy xem ghi chú phát hành Docker của phiên bản đích để biết những thay đổi.

Bạn có thể tìm phiên bản Docker mới nhất trên tài liệu chính thức của Docker hoặc trang phát hành GitHub. So sánh với những gì docker –version hiển thị để biết bạn đang chậm bao xa.

Cách cập nhật Docker Engine

Quy trình cập nhật phụ thuộc vào việc bạn chạy Docker Engine trên Linux hay Docker Desktop trên macOS/Windows.

Cập nhật Docker trên Linux

Linux dùng trình quản lý gói của hệ thống để cập nhật Docker Engine.

Câu lệnh cụ thể tùy theo bản phân phối, nhưng quy trình thì giống nhau:

• Cập nhật danh sách gói
• Nâng cấp Docker

Cách làm trên Ubuntu và các hệ Debian:

sudo apt update
sudo apt upgrade docker-ce docker-ce-cli containerd.ioĐược hỗ trợ bởi

Với các hệ Red Hat như CentOS hoặc Fedora, chạy:

sudo yum update docker-ce docker-ce-cli containerd.ioĐược hỗ trợ bởi

Docker daemon sẽ tự động khởi động lại trong quá trình cập nhật.

Nếu bạn bật live restore (kiểm tra với docker info), các container đang chạy sẽ tiếp tục hoạt động. Nếu không, chúng sẽ dừng và bạn cần khởi động lại thủ công.

Sau khi cập nhật xong, bạn có thể xác minh phiên bản mới:

docker --versionĐược hỗ trợ bởi

Nếu bạn cài Docker bằng script tiện lợi thay vì kho gói, bạn sẽ cần tải và chạy lại script để cập nhật.

Cập nhật Docker Desktop trên macOS và Windows

Docker Desktop xử lý cập nhật khác với Docker Engine trên Linux.

Tự động cập nhật được bật theo mặc định. Docker Desktop kiểm tra cập nhật khi khởi động và hiển thị thông báo khi có phiên bản mới. Nhấp vào thông báo, Docker Desktop sẽ tải và cài đặt bản cập nhật cho bạn.

Nếu bạn thích cập nhật thủ công, mở phần cài đặt Docker Desktop và tìm tùy chọn "Check for updates". Bạn có thể tắt tự động cập nhật tại đây và kiểm tra thủ công bất cứ khi nào muốn.

Cập nhật Docker thủ công cũng hoàn toàn ổn.

Chỉ cần tải trình cài đặt Docker Desktop mới nhất từ trang Docker và chạy. Trình cài đặt sẽ phát hiện cài đặt hiện có và nâng cấp mà không xóa ảnh hay container của bạn.

Chỉ cần nhớ rằng Docker Desktop sẽ dừng tất cả container trong quá trình cập nhật. Toàn bộ máy ảo Docker khởi động lại, nên hãy dự trù vài phút downtime. Container của bạn sẽ không tự khởi động lại trừ khi bạn cấu hình chính sách như --restart always.

Sau khi cập nhật, mở Docker Desktop và để nó khởi động hoàn tất trước khi chạy docker –version để xác nhận phiên bản mới.

Quản lý nhiều container riêng lẻ không phải là điều đáng tự hào. Xem Hướng dẫn Docker Compose của chúng tôi để tìm hiểu về xây dựng đa container.

Cách xác minh bản cập nhật Docker

Docker giờ đây đáng lẽ đã được cập nhật - nhưng hãy xác minh cho chắc.

Xác nhận phiên bản đã cài

Trước tiên, kiểm tra số phiên bản:

docker --versionĐược hỗ trợ bởi

Kết quả trả về phải hiển thị phiên bản đích của bạn. Nếu vẫn hiện phiên bản cũ, cập nhật chưa hoàn tất đúng cách hoặc bạn cần khởi động lại terminal để nạp binary mới.

Phiên bản trên máy tôi không đổi, chỉ vì tôi đã ở phiên bản mới nhất.

Bước tiếp theo là kiểm tra trạng thái Docker daemon:

docker infoĐược hỗ trợ bởi

Nếu lệnh lỗi với “Cannot connect to the Docker daemon”, daemon chưa chạy. Trên Linux, khởi động lại bằng lệnh sau:

sudo systemctl restart dockerĐược hỗ trợ bởi

Trên macOS và Windows, chỉ cần mở Docker Desktop và chờ nó khởi động.

Tìm hiểu các lệnh thiết yếu cho công việc hằng ngày với container trong bài viết gần đây của chúng tôi về 18 lệnh Docker hàng đầu.

Chạy một container kiểm tra

Để xác nhận không có gì hỏng sau khi cập nhật, hãy thử kéo và chạy một container đơn giản:

docker run hello-worldĐược hỗ trợ bởi

Lệnh này kéo ảnh hello-world nhỏ gọn và chạy nó. Bạn sẽ thấy thông điệp cho biết Docker đang hoạt động đúng:

Cách cập nhật ảnh Docker sau khi cập nhật Engine

Cập nhật Docker Engine không cập nhật ảnh container của bạn - bạn cần xử lý riêng phần này.

Kéo về các phiên bản ảnh mới hơn

Bạn có thể chạy lệnh docker pull để lấy phiên bản mới nhất của một ảnh:

docker pull postgresĐược hỗ trợ bởi

Lệnh này kéo phiên bản mới nhất của ảnh PostgreSQL với thẻ latest. Nhưng “latest” không phải lúc nào cũng đúng như bạn nghĩ - đó chỉ là một thẻ mà người bảo trì ảnh có thể trỏ đến bất kỳ phiên bản nào họ muốn.

Luôn nên chỉ định rõ thẻ để tránh bất ngờ:

docker pull postgres:18Được hỗ trợ bởi

Lệnh này kéo cụ thể PostgreSQL phiên bản 18. Nếu phiên bản 18.1 được phát hành, chạy lại lệnh này sẽ kéo ảnh 18.1 đã cập nhật nhưng vẫn nằm trong nhánh phiên bản 18.

Với các ảnh khác, trước tiên hãy kiểm tra phiên bản hiện tại bằng lệnh docker images. Sau đó kéo các phiên bản mới hơn khi cần. Các container hiện có của bạn vẫn chạy ảnh cũ cho đến khi bạn tạo lại chúng với ảnh mới.

Biên dịch lại ảnh tùy chỉnh

Nếu bạn tự xây dựng ảnh bằng Dockerfile, bạn cần biên dịch lại sau khi kéo các bản cập nhật ảnh nền tảng (base image).

Giả sử Dockerfile của bạn bắt đầu với FROM python:3.14. Ngay cả khi bạn đã kéo ảnh python:3.14 mới nhất, ảnh tùy chỉnh của bạn vẫn dùng các lớp cache cũ. Hãy biên dịch lại để lấy các cập nhật:

docker build --no-cache -t myapp:latest .Được hỗ trợ bởi

Lệnh này bỏ qua toàn bộ lớp cache và biên dịch lại mọi thứ từ đầu. Sẽ mất nhiều thời gian hơn nhưng đảm bảo bạn dùng các ảnh nền tảng và phụ thuộc mới nhất.

Sau khi biên dịch lại, hãy dừng các container cũ và khởi động container mới với ảnh đã cập nhật — các cập nhật không tự áp dụng cho container đang chạy.

Cần giải phóng dung lượng đĩa sau khi cập nhật? Hướng dẫn Docker Prune của chúng tôi sẽ chỉ bạn cách dọn dẹp ảnh và container không dùng đến một cách an toàn.

Các sự cố thường gặp khi cập nhật Docker

Cập nhật Docker hay lỗi theo những cách có thể đoán được, và hầu hết vấn đề đều có cách khắc phục nhanh. Tôi sẽ chỉ bạn vài trường hợp tôi từng gặp.

Lỗi quyền, dịch vụ, và cài đặt

Lỗi "Permission denied" nghĩa là người dùng của bạn không thể truy cập socket của Docker.

Trên Linux, thêm người dùng của bạn vào nhóm docker:

sudo usermod -aG docker $USERĐược hỗ trợ bởi

Đăng xuất và đăng nhập lại để thay đổi có hiệu lực. Sau đó bạn không cần dùng sudo cho các lệnh docker nữa.

Lỗi "Cannot connect to the Docker daemon" nghĩa là Docker chưa chạy.

Kiểm tra trạng thái dịch vụ:

sudo systemctl status dockerĐược hỗ trợ bởi

Nếu bị dừng hoặc lỗi, hãy khởi động nó:

sudo systemctl start dockerĐược hỗ trợ bởi

Nếu không khởi động được, kiểm tra nhật ký bằng journalctl -u docker để xem nguyên nhân.

Trên macOS và Windows, chỉ cần mở ứng dụng Docker Desktop.

Xung đột gói trong quá trình cài đặt xảy ra khi các gói Docker cũ can thiệp vào gói mới.

Bạn có thể chạy lệnh này để gỡ các gói Docker cũ trước khi cài phiên bản cập nhật:

sudo apt remove docker docker-engine docker.io containerd runcĐược hỗ trợ bởi

Sau đó cài lại Docker theo hướng dẫn cài đặt chính thức của bản phân phối bạn dùng.

Quay lui hoặc hạ cấp Docker

Nếu bản cập nhật làm hỏng thiết lập của bạn, bạn có thể hạ cấp về phiên bản trước đó.

Trên Linux, tìm các phiên bản sẵn có trong trình quản lý gói:

apt list -a docker-ceĐược hỗ trợ bởi

Cài một phiên bản cũ cụ thể:

sudo apt install <specific-version>Được hỗ trợ bởi

Thay thẻ bằng phiên bản bạn cần. Container và ảnh của bạn vẫn còn nguyên trong quá trình hạ cấp.

Với macOS và Windows, quay lui đơn giản hơn. Tải bộ cài cũ từ kho phát hành của Docker và chạy nó. Trình cài đặt sẽ thay thế phiên bản hiện tại bằng phiên bản cũ hơn mà không động đến container hay ảnh của bạn.

Thực tiễn tốt khi cập nhật Docker

Lời khuyên tốt nhất là giữ Docker được cập nhật thường xuyên. Nếu bạn đã để nhiều năm không cập nhật, hãy xem các trang phát hành để tìm thay đổi phá vỡ tương thích (breaking changes).

Giữ Docker luôn cập nhật một cách an toàn

Hãy đặt lời nhắc kiểm tra cập nhật Docker thay vì chờ đến khi gặp vấn đề.

Kiểm tra cập nhật hàng tháng — không phải vì bạn cần cài mọi bản, mà vì bạn cần biết có gì mới. Và bạn cần thứ gì đó để nhắc. Bản vá bảo mật quan trọng hơn cập nhật tính năng, nên hãy ưu tiên khi chúng được phát hành.

Một thực hành tốt là ghi lại thiết lập hiện tại trước khi cập nhật. Ghi phiên bản Docker của bạn, liệt kê container đang chạy với docker ps, và lưu ý mọi cấu hình tùy chỉnh. Nếu có sự cố, bạn sẽ biết chính xác điều gì đã thay đổi.

Hãy thử cập nhật trên máy phát triển trước nếu bạn chạy Docker trong môi trường sản xuất. Dựng một môi trường tương tự, cập nhật Docker ở đó, và đảm bảo container vẫn hoạt động trước khi đụng vào sản xuất.

Khi nào nên tự động hóa cập nhật

Tự động hóa phù hợp với môi trường phát triển nơi thời gian ngừng hoạt động không quan trọng.

Bạn có thể cấu hình Docker Desktop tự động cập nhật hoặc thiết lập unattended upgrades trên Linux cho các bản vá bảo mật. Cách này hiệu quả với máy phát triển cục bộ nơi việc khởi động lại không làm gián đoạn dịch vụ quan trọng.

Đừng tự động hóa cập nhật trong môi trường sản xuất nếu không có biện pháp bảo vệ phù hợp.

Bạn cần giám sát, chiến lược quay lui, và kiểm thử trước khi áp dụng cập nhật cho các hệ thống chạy tải thực. Cập nhật Docker có thể làm hỏng thứ gì đó — bạn cần con người tham gia vòng kiểm soát cho hệ thống sản xuất.

Cập nhật thủ công qua lời nhắc hàng tháng là cách tôi ưa thích, và tôi chưa từng gặp vấn đề.

Kết luận

Cập nhật Docker bắt đầu từ việc hiểu bạn thực sự đang cập nhật điều gì.

Cập nhật Docker Engine, Docker Desktop, và cập nhật ảnh là ba việc khác nhau với tác động khác nhau lên hệ thống của bạn. Biết mình cần cái nào, làm đúng quy trình cho nền tảng của bạn, và kiểm thử sau đó. Vậy là xong.

Đặt lời nhắc trên điện thoại. Kiểm tra cập nhật hàng tháng, ưu tiên bản vá bảo mật, và ghi lại những gì bạn đang chạy trước khi thay đổi bất cứ thứ gì. Cập nhật không nên là thứ khiến bạn căng thẳng — đó nên là một tác vụ bảo trì định kỳ.

Với môi trường sản xuất, hãy nhớ container của bạn phụ thuộc vào việc Docker hoạt động chính xác. Hãy xử lý cập nhật với sự cẩn trọng như mọi thay đổi hạ tầng quan trọng khác — có chủ đích, có kiểm thử, và có kế hoạch quay lui nếu có sự cố.

Giờ bạn đã biết cách cập nhật Docker — bước tiếp theo là nâng cao kỹ năng về container với khóa học Intermediate Docker của chúng tôi. Bạn sẽ học về mạng, ảnh container nâng cao, và Docker Compose.