Из чего состоит Docker-образ?

Docker-образ содержит неизменяемые слои файловой системы и конфигурацию запуска. Манифест связывает конфигурацию со слоями; тег — изменяемое имя ссылки на образ.

В слоях находятся файлы приложения, библиотек и базовой среды. Конфигурация задаёт, например, Entrypoint, Cmd, Env и рабочий каталог. При запуске контейнер получает отдельный записываемый слой. Образ обычно не содержит собственного ядра: Linux-контейнер использует ядро среды исполнения. Удаление секрета в следующем слое не удаляет его из предыдущего.