説明
Docker Hub 上のイメージが公式イメージであることを示すことは、Docker Content Trust の目的ではありません。公式イメージは、Docker, Inc. または上流のソフトウェア メンテナによって提供および維持される厳選されたイメージです。公式イメージには、Docker Hub 上にそのステータスを示す特別なバッジが付いています。公式イメージは必ずしも Docker Content Trust によって署名されているわけではありませんが、一部には署名されています。Docker Content Trust の目的は、イメージ タグに署名して検証することであり、公式イメージを示すことではありません。参考文献:
https://docs.docker.com/docker-hub/official_images/、https://docs.docker.com/engine/security/trust/

説明
このコマンドは、UDP プロトコルを使用してポート 53 でのみリッスンする swarm サービスを作成します。これは、-p フラグで公開ポートとターゲット ポートをコロン (:) で区切ってプロトコル名 (/udp) で区切って指定するためです。
公式ドキュメントによると、これはサービスのポートを公開するために公開オプションの短縮版を使用する例です。
参考文献:
https://docs.docker.com/engine/reference/commandline/service_create/#publish-service-ports-externally-to-the-s

説明
= これは、7 つのマネージャーを 3 つのデータセンターまたは可用性ゾーンに分散する方法ではありません。swarm クラスターは、swarm モードで実行され、マネージャーまたはワーカーとして機能する Docker ホストのグループです1。マネージャー ノードは、swarm 状態を維持し、サービスを調整する責任があります2。swarm クラスターが動作するには、マネージャーのクォーラムが必要です。つまり、マネージャーの大部分が利用可能であり、相互に通信できる必要があります3。
7 つのマネージャーを 4-2-1 として分散する場合の問題は、1 つのデータセンターまたは可用性ゾーンに障害が発生した場合にクラスターがクォーラムを失う可能性があるスプリット ブレイン シナリオが作成されることです。たとえば、4 人のマネージャーがいるデータセンターがダウンした場合、残りの 3 人のマネージャーはクォーラムを形成するのに十分な投票を持たず、クラスターは機能を停止します。同様に、1 人のマネージャーがいるデータセンターがダウンした場合、クラスターは同点投票を失い、リーダーを選出できなくなります4。
7 つのマネージャーを 3 つのデータセンターまたは可用性ゾーンに分散するより良い方法は、3-2-2 を使用することです。これにより、クラスターが 1 つのデータセンターまたは可用性ゾーンの障害に耐え、クォーラムを維持できるようになります。たとえば、3 人のマネージャーがいるデータセンターがダウンした場合、残りの 4 人のマネージャーは定足数を形成してリーダーを選出するのに十分な票を持っています。同様に、2 人のマネージャーがいるデータセンターがダウンした場合、残りの 5 人のマネージャーが定足数を形成してリーダーを選出するのに十分な票を獲得します4。参考文献:
* Swarm モードの概要 | ドッカードキュメント
* Docker エンジンの群れを管理および保守する | ドッカードキュメント
* swarm モードでの Raft コンセンサス | ドッカードキュメント
* Docker Swarm: アベイラビリティ ゾーン全体にマネージャーを分散するにはどうすればよいですか? - スタックオーバーフロー

説明
コントロール グループ (cgroup) は、必要に応じてリソースを制限、変更、または割り当てることができる Linux カーネル機能です1。Docker は cgroup を使用して、CPU、メモリ、ディスク I/O、ネットワークなど、コンテナによって使用されるリソースを分離します2。これは、各コンテナが独自のリソース制限と制約を設定できること、およびコンテナが相互に干渉したり、ホスト システムと干渉したりできないことを意味します2。これにより、コンテナーとシステム全体のセキュリティ、パフォーマンス、信頼性が向上します。参考文献:
* ラボ: コントロール グループ (cgroups) | ドッカーラボ
* Docker 実行リファレンス | ドッカードキュメント