Đánh giá Arcane cho Docker: Đã sẵn sàng thay thế Portainer chưa?

Arcane phát hành kiểm soát truy cập dựa trên vai trò đầy đủ vào ngày 7 tháng 6 năm 2026, trong bản v2.0.0. Nó cũng quét các image của bạn để tìm lỗ hổng đã biết theo lịch bạn đặt. Cả hai điều này đều chưa có khi Brandon Lee đăng bài ấn tượng ban đầu về Arcane vào ngày 29 tháng 12 năm 2025, hơn năm tháng trước bản phát hành RBAC.

Khoảng cách đó là phần khó xử của bất kỳ bài đánh giá Arcane cho Docker nào hiện nay. Công cụ đã ở v2.10.2, phát hành ngày 5 tháng 9 năm 2026, chưa đầy hai tuần sau v2.9.0. Bản v2.10.0 đã sửa lỗi rò rỉ bản clone GitOps được bàn bên dưới và thêm quy trình thử nghiệm Convert to Compose cho các container đang chạy. Một danh sách tính năng viết chỉ vài ngày trước đó đã mô tả một sản phẩm khác.

Tóm tắt nhanh

Arcane ở v2.10.2 là lựa chọn thay thế Portainer khả thi cho đúng đối tượng vận hành. Nó cung cấp RBAC đầy đủ, đăng nhập một lần OIDC, quét lỗ hổng bằng Trivy và tái triển khai GitOps mà không mất phí và không giới hạn số node. Portainer giữ hệ thống phân cấp vai trò đó trong Business Edition khi vượt quá ba node. 4 trên 5. Điều kìm hãm nó là tuổi đời còn ngắn, không phải năng lực.

• Hãy chuyển khi bạn đã vượt quá node thứ ba của Portainer và cần các vai trò giới hạn ai được chạm vào cái gì. Bạn có sáu vai trò tích hợp sẵn, vai trò tùy chỉnh, gán theo từng môi trường và ánh xạ group claim OIDC, không mất phí và không đo đếm.
• Quét lỗ hổng có sẵn trong gói. Arcane chạy Trivy, một trình quét image mã nguồn mở, theo lịch cron và lưu kết quả cho từng image.
• Portainer Business Edition miễn phí đến ba node, không giới hạn tính năng. Dưới ngưỡng đó bạn đã có RBAC và SSO, nên lập luận truy cập miễn phí của Arcane yếu đi nhiều.
• Vẫn chưa có tính năng nhập trực tiếp stack của Portainer. v2.10.0 có thể chuyển đổi thử nghiệm các container đang chạy thành dự án Compose, giúp giảm bớt việc thủ công, nhưng bạn vẫn cần rà soát YAML được sinh ra và lên kế hoạch chuyển đổi, vì tên và các cổng đã publish có thể xung đột khi bản gốc còn chạy. Hãy sao lưu volume trước.
• Hãy siết chặt ENCRYPTION_KEY trước khi lên production, và đặt APP_URL cho đúng. ENCRYPTION_KEY vẫn có giá trị mặc định dành cho phát triển, và đăng nhập bằng passkey sẽ không hoạt động cho đến khi APP_URL trỏ tới hostname HTTPS mà người dùng thực sự truy cập. JWT_SECRET không còn được dùng nữa, theo tài liệu cài đặt hiện tại.
• Lỗi GitOps làm cạn ổ đĩa được báo cáo trên v2.8.0 và v2.9.0 đã được sửa trong v2.10.0. Bản sửa dọn sạch các thư mục tạm của bản clone Git còn sót lại thay vì để chúng tích tụ trên host manager.
• LDAP vẫn chưa có. Tích hợp danh tính chỉ qua OIDC.

Bài đánh giá này được thực hiện thế nào: đây là bài đánh giá dựa trên bằng chứng, không phải thử nghiệm thực tế. Không tài trợ, không thanh toán, không sản phẩm được cung cấp, không liên hệ với người bảo trì. Mọi tuyên bố về tính năng đều được đối chiếu với tài liệu và ghi chú phát hành hiện tại của Arcane, và mọi tuyên bố về độ tin cậy đều dẫn về một issue có ngày tháng trên trình theo dõi công khai của dự án hoặc về một người vận hành có tên viết về hệ thống của chính họ. Không ai ở đây chạy Arcane để viết bài này, nên ở những chỗ điều đó giới hạn nhận định (cảm giác giao diện thế nào, nó chịu tải liên tục ra sao), bài viết nói thẳng thay vì đoán.

Arcane cho bạn miễn phí những gì mà Portainer không cho?

Chủ yếu là một thứ: kiểm soát truy cập dựa trên vai trò đầy đủ. Portainer CE cho bạn quản lý người dùng cơ bản; hệ thống phân cấp vai trò thuộc về Business Edition. Arcane cung cấp nó miễn phí ở mọi số node, cùng với quét Trivy, tái triển khai GitOps, hỗ trợ Swarm, đăng nhập bằng passkey, agent từ xa và sao lưu S3 được thêm trong v2.9.0.

RBAC là phần đáng xem kỹ, vì "có RBAC" bao hàm rất nhiều thứ khác nhau. Tài liệu kiểm soát truy cập của Arcane mô tả sáu vai trò tích hợp bất biến: Admin, Editor, No-Shell Editor, Deployer, Monitor và Viewer. Bạn có thể nhân bản bất kỳ vai trò nào thành vai trò tùy chỉnh và tích chọn từng quyền riêng lẻ, theo dạng <resource>:<action> chẳng hạn như containers:start. Việc gán có thể toàn cục hoặc theo từng môi trường, và một người dùng có thể giữ nhiều vai trò cùng lúc. Tài liệu đưa thẳng ví dụ: Editor trên prod, Viewer trên staging.

Điều quan trọng khi triển khai SSO là việc gán vai trò có thể do chính nhà cung cấp danh tính điều khiển: "Ở mỗi lần đăng nhập, Arcane đọc group claim của người dùng và đồng bộ lại các vai trò được gán từ OIDC," và người dùng thuộc nhiều nhóm được ánh xạ sẽ nhận hợp của tất cả. Đó là mô hình phân quyền mà Portainer CE chưa bao giờ có.

Quét lỗ hổng là mảnh ghép thứ hai. Tài liệu quét của Arcane nêu rằng "việc quét là tùy chọn, chạy theo lịch cron, và kết quả được lưu theo từng image," với kết quả hiển thị trong giao diện. Mặc định là hằng ngày vào nửa đêm, trivyIgnoreUnfixed thu hẹp kết quả về những lỗ hổng đã có bản vá, và Trivy được đóng gói trong một image công cụ với phiên bản cố định, nên việc cập nhật trình quét không phải việc của bạn.

Giờ đến phần đối trọng, và nó không nhỏ. Trang so sánh CE với BE của chính Portainer nói rằng Business Edition "miễn phí vĩnh viễn cho tối đa 3 node. Không thời gian dùng thử. Không cần thẻ tín dụng. Không giới hạn tính năng." Đó là trọn bộ BE: RBAC với hệ thống phân cấp vai trò riêng, OIDC, nhật ký kiểm toán có xuất Syslog, GitOps nâng cao. Điều khoản Take 3 cấp giấy phép một năm được gia hạn hằng năm miễn phí chừng nào bạn giữ ở ba node trở xuống.

Vậy nên phép tính ở gói miễn phí chỉ bắt đầu nghiêng về Arcane từ node thứ tư. Dưới mức đó, không có tường phí. Arcane vẫn mang lại điều gì đó ở một hoặc hai node: không khóa giấy phép, không phải nhớ gia hạn, một dự án bạn có thể fork. Nhưng đó không phải cùng một lập luận với "RBAC tốn tiền."

Arcane là một trong bốn công cụ cạnh tranh nghiêm túc cho vị trí của Portainer, và những công cụ còn lại chia theo những hướng khác.

Đọc

Các lựa chọn thay thế Portainer: hướng dẫn theo tình huống dùng Dockge, Arcane, Dockhand và Komodo

Arcane đáng tin cậy đến đâu ở thời điểm này?

Tốt hơn so với vẻ ngoài ở v2.9.0, nhưng vẫn còn non trẻ. Lịch sử lỗi của Arcane đọc như một dự án tích cực sửa lỗi, và lỗi GitOps nghiêm trọng làm cạn ổ đĩa được báo cáo trên v2.8.0 và v2.9.0 đã được sửa trong v2.10.0 vào ngày 31 tháng 8 năm 2026.

Một người vận hành báo cáo vào ngày 26 tháng 8 năm 2026 rằng đồng bộ GitOps để rò rỉ một thư mục clone: "gitops-<N> các thư mục clone tích tụ khoảng 1.000 mỗi ngày (~9 GB/ngày) và không bao giờ được dọn, cuối cùng làm đầy ổ đĩa." Sáu ngày như vậy lên tới khoảng 6.467 thư mục và 40 GB. Khi ổ đĩa đầy, manager không thể ghi vào cơ sở dữ liệu SQLite của nó nữa và rơi vào vòng lặp khởi động lại, đạt tới 389 lần khởi động lại và kéo sập cả kết nối của edge agent lẫn các lệnh gọi API. Issue này hiện đã đóng, và v2.10.0 mang theo bản sửa dọn dẹp các thư mục tạm của bản clone Git còn sót lại.

Nếu bạn vẫn đang ở v2.8.0 hoặc v2.9.0: hãy nâng cấp trước khi dựa vào đồng bộ GitOps thường xuyên. Bản sửa lỗi rò rỉ clone có trong v2.10.0.

Lịch sử cũ hơn thì đáng khích lệ hơn. Một lỗi treo sau khi cập nhật giữa 2.0 và 2.0.1 đã được giải quyết. Một lỗi mà "Update Projects" tác động lên mọi container trên host thay vì chỉ container của dự án được chọn đã được đóng bằng PR sửa lỗi #2289 đã gộp. Việc thăm dò image âm thầm không kích hoạt ở v1.13.2 đã được sửa trong v1.14.0. Ba lỗi, ba bản sửa.

Số lượng issue đang mở tự nó nói rất ít về một dự án phát hành nhanh như thế này. Những dự án không ai báo lỗi không vì thế mà đáng tin hơn.

Nhận định của tôi vẫn là đây là vấn đề tuổi đời chứ không phải vấn đề năng lực. Phát hành nhanh là lý do các khoảng trống về RBAC và quét lỗ hổng được lấp, và cũng là lý do v2.10.0 phải sửa một lỗi GitOps nghiêm trọng chưa đầy một tuần sau v2.9.0. Rủi ro nằm ở mã mới, và chấp nhận nó là một lựa chọn.

Chuyển từ Portainer thực sự tốn những gì?

Đại khái là một khoảng thời gian ngừng hoạt động và một chút dọn dẹp thủ công. Arcane vẫn chưa có tính năng nhập trực tiếp stack của Portainer, nhưng v2.10.0 thêm một thao tác thử nghiệm Convert to Compose cho các container đang chạy. Nó sinh ra file Compose trong khi bản gốc vẫn chạy, giúp bỏ bớt một phần công việc dựng lại YAML. Bạn vẫn cần rà soát bind mount, mạng, giá trị môi trường và chính bước chuyển đổi; tên và cổng đã publish có thể xung đột cho đến khi bản gốc dừng lại, nên đây không phải nút di chuyển không gián đoạn.

Trước v2.10.0, diễn đàn của chính dự án phản ánh một con đường hoàn toàn thủ công. Một người vận hành với hơn 80 container trên năm máy chủ đã hỏi liệu có thể di chuyển trực tiếp hay không mà không cần tắt trước các dịch vụ hướng ra web. Câu trả lời từ người đã làm việc đó: "bạn sẽ không có lựa chọn nào khác ngoài xóa các container hiện có (và do đó cả các stack Portainer) rồi tạo lại từ đầu trong Arcane." Trình tự của họ: tắt sạch sẽ, sao lưu, xóa, sao chép dữ liệu sang, tạo lại và triển khai lại.

Trên thực tế: sao lưu volume trước khi chạm vào bất cứ thứ gì, và một khung bảo trì được ước lượng theo cả số stack bạn chạy lẫn lượng dữ liệu cần chuyển. Tạo lại container thường là phần nhanh; sao chép các volume lớn và đưa các dịch vụ phụ thuộc trở lại đúng thứ tự có thể kéo dài khung thời gian. Một lưu ý thuật ngữ khi lên kế hoạch: thứ Portainer gọi là stack thì Arcane gọi là project.

Chi phí thời gian hiện rõ ngay cả ở quy mô homelab. Moises Aguirre, viết ngày 28 tháng 2 năm 2026 về việc chuyển homelab ra khỏi Portainer, gọi đó là "một cuối tuần làm việc thực sự (và đối mặt với những con quỷ của tôi)," và những con quỷ đó là sự lệch lạc của chính anh: anh phải rà soát mọi container đang chạy và viết YAML cho những dịch vụ trước đây anh "chỉ bấm chuột mà có." Đó là trải nghiệm của anh chứ không phải quy tắc, nhưng hình dạng của nó thì đúng với nhiều người.

Một điều cần để ý trước khi bạn mang các file Compose sang. Ghi chú phát hành v2.7.0 đã thu hẹp việc phân giải biến về bốn nguồn: biến toàn cục của bạn trong .env.global, file .env của chính dự án, giá trị mặc định ghi ngay trong file compose, cùng múi giờ và locale từ môi trường của Arcane. Hiệu ứng được nêu là một dự án triển khai qua Arcane phân giải biến giống hệt cách docker compose up làm trong thư mục dự án. Đó là hành vi đúng đắn hơn. Nó cũng có nghĩa là bất cứ thứ gì âm thầm thừa hưởng giá trị từ môi trường container của manager giờ sẽ phân giải thành thứ khác, hoặc thành rỗng, và làm vậy mà không hề báo gì.

Không điều nào trong số này là lỗi của sản phẩm. Đó là chi phí một lần, đủ dễ đoán để lên kế hoạch, và đó là điều chính bạn muốn ở một cuộc di chuyển.

Xây dựng trên VPS Linux với quyền root, NVMe và sức mạnh AMD EPYC.

Xem các gói Linux

Bạn phải siết chặt những gì trước khi lên production?

Một khóa mã hóa, URL công khai và TLS. Arcane tạo tài khoản admin mặc định ở lần chạy đầu và bắt buộc đổi mật khẩu ở lần đăng nhập đầu, một mặc định hợp lý. Hai thiết lập cần đúng trước khi lên production. Thứ nhất là ENCRYPTION_KEY; thứ hai là APP_URL.

Tài liệu tham chiếu biến môi trường vẫn liệt kê ENCRYPTION_KEY với giá trị mặc định là arcane-dev-key-32-characters!!!, trong khi tài liệu cài đặt yêu cầu bạn cung cấp một giá trị 32 byte duy nhất. Hãy đổi nó trước khi lên production. Thêm một điều đã thay đổi: tài liệu cài đặt nay nói rằng JWT_SECRET không còn được dùng. Arcane tự sinh khóa ký phiên; để lại JWT_SECRET trong cấu hình chỉ tạo ra cảnh báo lúc khởi động, nên hãy gỡ nó khỏi môi trường. Tài liệu cài đặt quy định rằng ENCRYPTION_KEY "phải dài 32 byte (thô, base64 hoặc hex)."

Vệ sinh phiên bản cũng thuộc danh sách đó. Arcane đã công bố vài thông báo bảo mật trong năm 2026; một thông báo mức nghiêm trọng cao, công bố ngày 29 tháng 7 năm 2026, liệt kê các bản trước v2.5.0 là bị ảnh hưởng và cho phép quyền users:update được ủy quyền đặt lại mật khẩu của quản trị viên. Thông báo nêu v2.6.0 là bản đã vá, nên v2.10.0 không bị ảnh hưởng, nhưng đó là lý do cụ thể để không để hệ thống production nằm mãi trên một tag cũ.

APP_URL mặc định là http://localhost:3552, và điều này có hệ quả chức năng vượt ngoài chuyện vệ sinh. Đăng nhập bằng passkey và MFA bằng passkey đều chạy trên WebAuthn, và tài liệu passkey của Arcane nói rõ: "Trình duyệt chỉ cung cấp API WebAuthn trong ngữ cảnh bảo mật, nên passkey cần HTTPS (hoặc localhost)." ID relying party được suy ra từ APP_URL, passkey gắn với hostname đó, và nếu APP_URL không chứa hostname thì dịch vụ passkey không khởi tạo. Trên HTTP thường, Arcane ẩn hoàn toàn các điều khiển passkey. Triển khai trên một IP trần với cổng, và tính năng xác thực nổi bật của v2 sẽ không xuất hiện. Tài liệu nói thẳng: "Đặt APP_URL thành URL mà người dùng của bạn thực sự truy cập, qua HTTPS, trước khi có ai đăng ký passkey."

Agent từ xa quyết định bạn phải mở những gì. Tài liệu về môi trường của Arcane nói rằng ở chế độ trực tiếp "Manager kết nối tới Agent qua TCP 3553," nên cổng đó phải nhận được kết nối vào trên host từ xa. Ở chế độ edge, "Agent kết nối ra ngoài tới Manager" và không cần cổng vào nào cả.

Ngoài những điều đó, tôi thà chỉ ra còn hơn giả vờ. Arcane công bố một hướng dẫn thiết lập socket proxy với tiền đề rằng việc mount socket trực tiếp "cho Arcane toàn quyền truy cập Docker," và một proxy thu hẹp điều đó về những lệnh gọi API cần thiết. Cùng một mức phơi nhiễm khiến việc cô lập Docker socket đáng làm ở bất cứ đâu, và ở đây cũng đáng làm. Tôi đọc những tài liệu này theo cách của người triển khai, không phải kiểm toán cơ chế token.

Arcane vẫn chưa làm được gì?

Hai khoảng trống vẫn còn khi đối chiếu với tài liệu hiện tại của Arcane: không có LDAP và không có trình duyệt chung cho hệ thống tệp của chính container. Vài khoảng trống khác tồn tại trước v2 đã được lấp từ đó.

LDAP không có. Tài liệu đăng nhập một lần của Arcane chỉ nói về OIDC và chỉ OIDC, và cả tài liệu đó lẫn trang kiểm soát truy cập đều không nhắc tới LDAP hay Active Directory ở bất cứ đâu. Business Edition của Portainer, ngược lại, tích hợp với "Active Directory, LDAP và các nhà cung cấp danh tính tương thích OIDC." Nếu tổ chức của bạn xác thực qua một thư mục không có lớp OIDC phía trước, đây là điểm dừng cứng, không phải thứ có thể lách qua.

Không có trình duyệt tệp chung bên trong container. Giao diện container của Arcane hiển thị cấu hình, mount, log và mã nguồn Compose, nhưng không có trình duyệt cho hệ thống tệp của chính container. Giờ nó đã có Volume Workspace có thể duyệt và chỉnh sửa tệp bên trong volume Docker, nên khoảng trống còn lại hẹp hơn mô tả cũ "không có trình duyệt tệp."

Những điều chỉnh này đáng được nói thẳng, vì mô tả Arcane "không có RBAC, không quét lỗ hổng" không còn đúng nữa. RBAC đến cùng v2.0.0 vào ngày 7 tháng 6 năm 2026, và quét Trivy đã được ghi trong tài liệu và chạy theo lịch. Ghi nhật ký hoạt động cũng đã tiến thêm: tài liệu hoạt động của Arcane mô tả một Activity Center bao gồm pull, build, thao tác vòng đời, quét và prune, cùng một nhật ký sự kiện mang mức nghiêm trọng, loại, dấu thời gian và người dùng đã kích hoạt từng hành động ở những chỗ Arcane có thể quy trách. Việc nó có xuất sang Syslog như tầng Business của Portainer hay không thì tài liệu chưa kết luận.

Điều tốc độ phát hành không sửa được là tuổi đời. Kho mã của Arcane được tạo vào tháng 4 năm 2025. Portainer có nhiều năm câu trả lời tích lũy trên Stack Overflow, hướng dẫn bên thứ ba và tích hợp phía sau, và khi bạn gặp điều gì đó lạ lúc 11 giờ đêm, đó chính là khác biệt bạn cảm nhận.

Ai nên chuyển sang Arcane, và ai không nên?

Chuyển sang Arcane nếu bạn đã vượt quá ba node trên Portainer và muốn truy cập đa người dùng có giới hạn phạm vi cùng Compose được theo dõi bằng git, mà không phải bàn chuyện giấy phép. Ở yên nếu bạn có ba node trở xuống. Đếm số host giải quyết phần lớn câu hỏi này nhanh hơn bất kỳ danh sách tính năng nào.

Ba nhóm đối tượng mà Arcane là câu trả lời rõ ràng:

• Người vận hành đã vượt trần ba node của Portainer và cần truy cập có giới hạn phạm vi. Trên ba node, những năng lực đó có giá ở Portainer và miễn phí ở Arcane, và các vai trò đủ chi tiết để trao cho ai đó quyền Deployer trên một môi trường và Viewer ở mọi nơi khác.
• Người vận hành muốn file Compose là nguồn sự thật. Nếu điều thúc đẩy việc chuyển đổi là định nghĩa stack nằm trong cơ sở dữ liệu thay vì trong kho mã, thì đó là sự phù hợp về cấu trúc, không phải sở thích. Cuối tuần di chuyển phần lớn dành để ghi lại những gì bạn đã đang chạy, một việc bạn vốn nợ từ trước.
• Người vận hành gom nhiều host, kể cả host sau NAT. Agent ở chế độ edge không cần cổng vào ở phía từ xa, cụm Swarm được quản lý từ node manager, và các môi trường từ xa không tốn gì cả.

Hai nhóm đối tượng mà Arcane không phải lựa chọn:

• Bất kỳ ai có ba node trở xuống. Business Edition miễn phí ở quy mô đó với trọn bộ tính năng, nên chuyển đổi tốn một khoảng ngừng hoạt động và một cuối tuần chỉ để có những năng lực bạn đã sẵn có. Là lựa chọn thay thế Portainer, Arcane có năng lực; nhưng đó vẫn không phải lý do để chuyển.
• Bất kỳ ai cần LDAP, hoặc không thể tắt các stack. Xác thực qua thư mục không có sẵn và việc di chuyển vẫn đòi hỏi một lần chuyển đổi có kế hoạch. Cả hai đều không có cách lách khéo léo.

Một điều kiện đi kèm kết luận đó. Nếu tái triển khai GitOps chính là lý do bạn chuyển, hãy dùng v2.10.0 trở lên. Lỗi làm cạn ổ đĩa được báo cáo trên v2.8.0 và v2.9.0 đã được sửa ở đó.

Đọc

Cách cài Docker trên VPS: hướng dẫn toàn diện dùng VPS cho containerization 🗂️

Câu hỏi thường gặp