Portainer vẫn là lựa chọn tốt trong năm 2026 nếu bạn muốn một giao diện quản lý Docker quen thuộc, hỗ trợ nhiều runtime, và một công cụ kham được nhiều hơn một hệ thống đơn máy chủ cơ bản. Nếu hệ thống hiện tại của bạn chỉ cần quản lý container cơ bản, các stack Compose, phân quyền truy cập đơn giản và khả năng quan sát nhiều môi trường, thì chẳng có lý do gì phải vội rời bỏ Portainer CE.
Dù vậy, Portainer thôi là lựa chọn gọn gàng nhất khi bạn muốn những thứ như OIDC/SSO miễn phí, quản lý Compose theo hướng ưu tiên file, quét lỗ hổng tích hợp sẵn, hay một quy trình đa máy chủ do Git điều khiển mà không phải nâng lên Portainer Business Edition. Đó là lúc các lựa chọn thay thế trong hướng dẫn này bắt đầu có ý nghĩa.
Nói ngắn gọn thì thế này: nếu Portainer đã hợp với nhu cầu của bạn, cứ dùng tiếp. Còn nếu bạn muốn bỏ qua khâu cài đặt thủ công, ứng dụng Portainer một cú nhấp của Cloudzy cho phép bạn khởi chạy Portainer trên VPS chỉ trong vài cú nhấp, kèm quyền root, lưu trữ NVMe và môi trường sẵn sàng cho Docker. Nếu bạn đã đụng phải một trong những giới hạn của Portainer CE, phần còn lại của bài viết nói về các lựa chọn thay thế đáng cân nhắc: Dockge, Arcane, Dockhand và Komodo.
Tóm tắt nhanh
- Dockge nếu bạn chạy một homelab đơn nút và muốn nhìn thấy các file compose nằm trên đĩa dưới dạng YAML thuần.
- Arcane nếu bạn cần OIDC/SSO miễn phí và một bản cài đặt gói gọn trong một binary cho nhóm nhỏ.
- Dockhand nếu bạn muốn quét lỗ hổng tích hợp sẵn và kéo image an toàn hơn mà không phải mua Portainer BE, và bạn chấp nhận được giấy phép BSL.
- Komodo nếu bạn chạy Docker trên nhiều VPS và muốn lấy Git làm nguồn dữ liệu chuẩn.
- Portainer CE nếu bạn không cần bất kỳ thứ gì kể trên.
Bài viết này không đề cập đến điều gì
Một vài nhóm công cụ được chủ ý để ngoài bài so sánh này. Coolify và Dokploy là công cụ PaaS, chúng cố trở thành Heroku tự vận hành chứ không phải giao diện quản lý Docker. Bài toán khác hẳn. Rancher và OpenShift là trình quản lý cụm Kubernetes, sai quy mô với nhóm người dùng chỉ có một tới vài VPS. Lazydocker rất hay nhưng chỉ có TUI, thuộc một hạng mục trải nghiệm khác. Còn UsulNet, thứ xuất hiện trong một số bài so sánh khác, tính đến tháng 2 năm 2026 vẫn đang ở bản beta công khai đầu tiên với đúng một lập trình viên, quá sớm để đặt cạnh những công cụ đã đi qua các chu kỳ phát hành thực sự.
Vì sao người ta rời bỏ Portainer
Thứ đầu tiên đẩy người dùng rời Portainer không phải là lỗi phần mềm. Nhiều tính năng nâng cao dành cho nhóm và doanh nghiệp nằm bên phía Business Edition, trong đó có:
- OIDC
- RBAC chi tiết
- AD/LDAP
- GitOps
- Tự động cập nhật
- Nhật ký kiểm toán
- Quản lý registry
- Cấp phát cụm Kubernetes
Với một người dùng homelab đơn lẻ, có thể bạn chẳng bận tâm. Nhưng với một nhóm vận hành ba người cần SSO và nhật ký kiểm toán, bạn bận tâm ngay lập tức.
Portainer có cho ba nút Business Edition miễn phí. Điều đó thực sự hữu ích cho các hệ thống nhỏ xíu. Vượt quá ba nút là bạn bước vào vùng "liên hệ để báo giá". Tôi sẽ không nêu con số cụ thể ở đây vì mức giá công bố cứ thay đổi liên tục, và câu trả lời đúng là hãy xem trang giá của họ đúng lúc bạn định mua.
Thứ hai là chuyện kiến trúc. Các stack được tạo qua trình soạn thảo web của Portainer sẽ được lưu trong cơ sở dữ liệu của Portainer, còn các bản triển khai dựa trên Git thì giữ kho mã làm nguồn bên ngoài. Điều đó không sao cả, cho tới khi bạn muốn mọi stack Compose quản lý cục bộ đều hiện diện trên máy chủ dưới dạng một file YAML bình thường. Những công cụ như Dockge lấy mô hình ưu tiên file đó làm mặc định: file Compose của bạn nằm trên đĩa, và giao diện chỉ quản lý những gì đã có sẵn ở đó. Chuyện này có quan trọng hay không tùy vào cách bạn muốn quản lý và sao lưu các stack của mình.
Thứ ba là độ nặng của giao diện. Portainer được xây để kham Docker, Swarm, Kubernetes, các đội agent trải trên nhiều môi trường, và đủ thứ khác. Nó đáp ứng tốt những môi trường phức tạp, và đó cũng chính là lý do một người dùng homelab đơn nút thấy nó nặng hơn nhu cầu của mình. Bài trên XDA Developers về chuyện quay lại với Dockge diễn đạt điều này rất chuẩn: Portainer hợp lý khi bạn mới bắt đầu và cần đủ bộ tính năng; còn khi hệ thống đã ổn định, một công cụ nhỏ hơn và tôn trọng cấu trúc dựa trên file của các stack có thể là lựa chọn hợp hơn.
Bốn công cụ thực sự cạnh tranh được
Có hàng chục "giao diện quản lý Docker" trôi nổi trên GitHub. Nhiều cái đã bị bỏ rơi, còn ở giai đoạn beta, hoặc giải một bài toán khác. Bốn công cụ được nói đến ở đây trùng khớp rõ nhất với công việc cốt lõi của Portainer đối với nhóm người dùng này: quản lý Docker trên một hoặc nhiều VPS qua giao diện web với đủ khả năng để dùng hằng ngày.
Bên dưới tôi sẽ đi qua từng công cụ, nói trước điều làm nên khác biệt của nó, rồi chỉ ra các hạn chế.
Dockge: quản lý Compose theo hướng ưu tiên file
Điểm bán hàng của Dockge nằm ở đúng một quyết định thiết kế: các stack compose của bạn nằm trên đĩa dưới dạng file YAML thuần, không nằm trong cơ sở dữ liệu. Bạn có thể cat, vim, git commit hay rsync chúng như bất kỳ file cấu hình nào khác. Giao diện chỉ là công cụ xem và sửa những gì đã có sẵn ở đó.
Tác giả là Louis Lam, cũng chính là người duy trì Uptime Kuma. Đó là một tín hiệu hữu ích, vì Uptime Kuma nổi tiếng với việc bảo trì chắc tay và ít drama, còn Dockge thừa hưởng đúng phong cách đó. Bản phát hành mới nhất là v1.5.0 (30 tháng 3, 2025), theo trang phát hành GitHub của Dockgecủa Louis Lam. Bản v1.4.0 bổ sung hỗ trợ đa agent ban đầu; bản v1.5.0 mang theo một thay đổi bảo mật gây phá vỡ tương thích: Console trong trình duyệt nay bị tắt theo mặc định, và bạn bật lại bằng DOCKGE_ENABLE_CONSOLE=true nếu vẫn muốn dùng. Compose cũng được nâng lên 2.34.0 trong cùng bản phát hành đó.
Không có OIDC, không RBAC, không quét lỗ hổng tích hợp, không nhật ký kiểm toán. Dockge không cố làm một Portainer BE giá rẻ. Nó cố làm công cụ nhỏ gọn và sạch sẽ nhất để quản lý các stack compose trên một máy chủ duy nhất (hoặc vài máy chủ thông qua chế độ đa agent).
Có một lưu ý đáng nói: Dockge chưa chắc đã nhẹ RAM hơn. Một chủ đề thảo luận trên GitHub kéo dài từ tháng 9 năm 2024 tới tháng 12 năm 2025 ghi nhận việc người dùng báo mức tiêu thụ 500MB+ với các hệ thống nhỏ, và cuộc thảo luận vẫn chưa ngã ngũ, nên hãy tự thử trên máy chủ của bạn trước khi chuyển sang chỉ để tiết kiệm tài nguyên.
Mẹo hay: Đừng chuyển sang Dockge với kỳ vọng nó nhẹ hơn Portainer. Cái được là nhìn thấy file compose ngay trên đĩa và một giao diện đơn giản hơn. Nếu RAM là giới hạn chính của bạn, hãy thử trước khi quyết.
Hợp nhất với: người vận hành homelab đơn lẻ chạy vài stack compose trên một máy, coi trọng việc thấy file YAML nằm trên đĩa, và không cần SSO hay quét lỗ hổng.
Arcane: trình quản lý nhẹ viết bằng Go với OIDC miễn phí
Arcane được phát hành dưới dạng một binary Go biên dịch sẵn duy nhất, có sẵn OIDC/SSO ngay ở gói miễn phí, và làm được GitOps với tự động triển khai lại. Ba thứ đó gộp lại chính là điểm khác biệt.
Bản phát hành mới nhất là v2.4.0 (ngày 11 tháng 7 năm 2026), theo trang phát hành Arcane trên GitHub. Arcane đã đi qua khá nhiều bản phát hành với khá nhiều người đóng góp, một tín hiệu đáng tin về độ chín. Giấy phép là BSD-3-Clause; số sao trên GitHub vào khoảng 6.500 tính đến tháng 7 năm 2026.
Những gì bạn có ngay từ đầu: OIDC/SSO miễn phí (thứ mà Portainer bắt trả tiền), GitOps với tự động triển khai lại khi kho mã thay đổi, một REST API, một công cụ CLI cho những ai không thích ngồi bấm chuột, quản lý máy chủ từ xa, và một SBOM mà nhóm phát triển công bố để minh bạch.
Cái bạn không có là tính năng quét lỗ hổng tích hợp ngay trong luồng triển khai theo kiểu Dockhand, và quy trình cập nhật của Arcane cũng không giống cách kéo image an toàn của Dockhand. Nếu yêu cầu quyết định của bạn là quét image và chặn các lượt kéo rủi ro ngay trong cùng một giao diện, Dockhand vẫn là lựa chọn rõ ràng hơn.
Hợp nhất với: các nhóm nhỏ hoặc người vận hành đơn lẻ cần SSO miễn phí và một bản cài đặt gọn gàng chỉ gồm một binary. Nếu bạn từng dựng Portainer chỉ để tạo tài khoản đăng nhập riêng cho hai đồng nghiệp rồi phát hiện OIDC chỉ có ở bản BE, thì Arcane là bước đi tiếp theo quá rõ ràng.
Dockhand: trình quản lý đặt bảo mật lên trước với quét lỗ hổng tích hợp
Tính năng nổi bật nhất của Dockhand là quét lỗ hổng được tích hợp thẳng vào luồng triển khai. Cả Grype lẫn Trivy đều được hỗ trợ đầy đủ như công dân hạng nhất, cộng thêm chế độ "safe-pull" giữ lại các bản cập nhật image nếu lần quét phát hiện vấn đề. OIDC/SSO cũng miễn phí. Không công cụ nào khác trong danh sách này có được tổ hợp đó.
Đây cũng là công cụ non trẻ nhất ở đây. Tác giả Jarek Krochmalski phát hành bản đầu tiên vào tháng 12 năm 2025. Kho mã Dockhand trên GitHub ghi nhận v1.0.37 (ngày 11 tháng 7 năm 2026) là bản mới nhất. Hãy hiểu điều đó như sau: bộ tính năng bảo mật là thật và tốc độ phát triển rất nhanh, nhưng dự án vẫn có bề dày chạy thực tế ngắn hơn các lựa chọn lâu đời hơn ở đây.
Giấy phép mới là thứ cần để mắt. Dockhand phát hành theo Business Source License 1.1, miễn phí cho mục đích cá nhân, sử dụng nội bộ trong doanh nghiệp, tổ chức phi lợi nhuận, giáo dục và đánh giá thử. Đây không phải mã nguồn mở được OSI công nhận. Kho mã xác nhận giấy phép sẽ chuyển sang Apache 2.0 vào ngày 1 tháng 1 năm 2029. Từ giờ đến lúc đó, việc phân phối lại vì mục đích thương mại và bán lại dưới dạng SaaS đều không được phép. Chi tiết các gói trả phí cho doanh nghiệp nhỏ và doanh nghiệp lớn có thể thay đổi, nên hãy kiểm tra dockhand.pro nếu bạn cần giấy phép thương mại.
Những gì bạn có: quét lỗ hổng qua Grype và Trivy, cơ chế bảo vệ safe-pull, OIDC/SSO miễn phí, tự động cập nhật kèm khả năng quay lui, dọn dẹp theo lịch các image và volume không dùng đến, quản lý đa nút thông qua một agent nhỏ tên Hawser, terminal trên web, trình duyệt file, và ghi nhật ký hoạt động. Nền tảng bên dưới là Bun + SvelteKit, mặc định dùng SQLite với tùy chọn PostgreSQL, còn image thì dựa trên Wolfi để thu hẹp bề mặt tấn công. Bài về Dockhand trên XDA Developers mô tả chi tiết giao diện nếu bạn muốn xem trước khi cài.
Hai điều cần biết: RBAC và LDAP/AD vẫn nằm sau bức tường trả phí, ngay cả trong gói miễn phí vốn khá hào phóng. Dockhand nay đã hỗ trợ môi trường Podman, bao gồm cả quét lỗ hổng, nhưng Docker vẫn là hướng chính và chín muồi hơn, nên hãy thử nghiệm đúng quy trình Podman của bạn trước khi chuyển sang.
Hợp nhất với: người dùng homelab coi trọng bảo mật và các nhóm nhỏ muốn có sẵn tính năng quét lỗ hổng mà không phải mua Portainer BE, và chấp nhận chạy một dự án còn non trẻ dưới giấy phép không được OSI công nhận.
Komodo: triển khai đa máy chủ do Git điều khiển
Điểm bán hàng của Komodo là lấy Git làm nguồn dữ liệu chuẩn và tách bạch rành mạch giữa lớp điều khiển với các máy chủ được quản lý. Bạn chạy Komodo Core (giao diện web, API, bộ lập lịch) trên một máy, cài một agent nhỏ không lưu trạng thái tên Periphery lên mọi máy chủ bạn muốn quản lý, rồi định nghĩa các stack, bản build và bản triển khai dưới dạng code trong một kho Git.
Bản phát hành mới nhất là v2.2.0 (ngày 7 tháng 5 năm 2026), theo trang phát hành Komodo trên GitHub. Phần backend được viết bằng Rust, điều mà tài liệu của Komodo gợi ý qua crate Rust komodo_client.
Những thứ nó làm tốt: dựng pipeline build từ Git kèm tự động đánh phiên bản, triển khai các stack tự động chạy lại khi bạn push lên nhánh đã cấu hình, phân quyền chi tiết theo từng tài nguyên, OAuth qua GitHub hoặc Google, API dạng REST + WebSocket, giám sát tài nguyên, và không giới hạn số lượng máy chủ. Về container engine, nó hỗ trợ Docker và (theo tài liệu) cả Podman thông qua một alias podman sang docker, còn hỗ trợ Docker Swarm được bổ sung từ v2.
The setup overhead is real. Komodo needs a database (MongoDB, FerretDB, or PostgreSQL). You also have to think about networking between Core and your Periphery agents. None of this is hard if you've done it before, but it's not "docker run and go" the way Dockge is. The reward for that setup work is a deployment workflow that scales across however many VPS instances you want to run.
Hợp nhất với: người làm DevOps hoặc các nhóm chạy Docker trên nhiều VPS, muốn lấy Git làm nguồn dữ liệu chuẩn, cần phân quyền chi tiết theo từng tài nguyên, và muốn một quy trình đa máy chủ không phụ thuộc vào Kubernetes.
Công cụ nào hợp với nhu cầu của bạn?
Nói ngắn gọn thế này. Tôi đã thử cả bốn, và những câu trả lời dưới đây là thứ tôi sẽ khuyên nếu bạn mô tả hệ thống của mình cho tôi qua tin nhắn riêng trên Slack.
- Homelab cá nhân, một máy chủ duy nhất, muốn thấy các stack compose dưới dạng YAML trên đĩa: Dockge. Tác giả cũng là người duy trì Uptime Kuma, thiết kế ưu tiên file hợp hoàn hảo với một homelab đã ổn định, và bạn sẽ thích giao diện của nó.
- Nhóm nhỏ cần đúng OIDC/SSO miễn phí: Arcane. Cài đặt gói gọn một binary, mã nguồn đã chín, giấy phép BSD, GitOps tích hợp sẵn. Đây là bước chuyển dễ dàng nhất từ Portainer CE sang thứ tốt hơn, nếu bức tường chặn bạn là chuyện xác thực.
- Người dùng coi trọng bảo mật, muốn quét lỗ hổng mà không phải trả tiền cho Portainer BE: Dockhand. Chỉ cần tỉnh táo trước chuyện giấy phép BSL và tuổi đời của dự án.
- Docker đa máy chủ trải trên vài VPS, quy trình do Git điều khiển: Komodo. Đúng, yêu cầu về cơ sở dữ liệu là công sức cài đặt thật sự. Và cũng đúng, nó xứng đáng một khi bạn có hơn hai máy chủ.
- Bạn không cần SSO, nhóm của bạn nhỏ, và giao diện Portainer vẫn ổn: Cứ ở lại với Portainer CE.
Một nhận định thật lòng về các cặp sát nút: Arcane với Dockhand dành cho người dùng cá nhân coi trọng bảo mật thì đúng là khó phân định. Arcane có độ chín và giấy phép mã nguồn mở; Dockhand có các tính năng quét lỗ hổng. Tôi không nghĩ bạn chọn cái nào cũng sai. Hãy chọn theo tiêu chí mà bạn coi trọng hơn.
Nếu bạn đã chốt được một công cụ và muốn bỏ qua khâu cài đặt thủ công, bốn trong số này (Dockge, Arcane, Komodo và chính Portainer) đều triển khai được bằng một cú nhấp từ Marketplace của Cloudzy, và tất cả đều chạy được trên bất kỳ gói nào trong số kế hoạch Linux VPS. Một VPS 2 GB / 1 vCPU là điểm khởi đầu hợp lý cho UI quản lý cộng thêm một khối lượng container nhỏ; hãy dùng 4 GB trở lên cho các thiết lập nhiều stack hoặc khi chạy cơ sở dữ liệu của Komodo song song với Core. Dockhand chưa có trên marketplace, nhưng nó cài được trên cùng loại Linux VPS. so sánh Portainer với Cosmos Cloud trên blog Cloudzy phân tích chi tiết hơn một lựa chọn khác trong marketplace.
| Công cụ | Giấy phép | Số sao GitHub (xấp xỉ) | OIDC/SSO miễn phí | Quét lỗ hổng tích hợp sẵn | Đa nút | Nơi lưu file Compose | Hồ sơ người bảo trì |
|---|---|---|---|---|---|---|---|
| Portainer CE | Zlib | 35k+ | Không (chỉ có ở bản BE) | No | Có (qua agent) | DB | Tổ chức (Portainer Inc.) |
| Dockge | MIT | 22.6k+ | No | No | Có (từ v1.4) | File nằm trên đĩa | Một lập trình viên (Louis Lam) |
| Arcane | BSD-3-Clause | 6.5k+ | Có | No | Có (máy chủ từ xa) | File nằm trên đĩa | Dự án cộng đồng đang hoạt động |
| Dockhand | BSL 1.1 | 5.2k+ | Có | Có (Grype/Trivy) | Có (agent Hawser) | File nằm trên đĩa | Dự án nhỏ, phát triển nhanh |
| Komodo | GPL-3.0 | 11.7k+ | Có (OIDC/OAuth) | No | Có (Core + Periphery) | Git + DB | Dự án cộng đồng đang hoạt động |
Kết luận
Không có một công cụ nào thay thế Portainer cho mọi trường hợp. Dockge hợp nhất cho việc quản lý Compose theo hướng ưu tiên file trên một máy chủ, Arcane là lựa chọn thẳng thắn và mạnh nhất nếu bạn cần SSO miễn phí, Dockhand nổi bật nhờ quét lỗ hổng tích hợp, còn Komodo được xây cho các bản triển khai do Git điều khiển trải trên nhiều máy chủ. Nếu Portainer CE đã đáp ứng đủ nhu cầu, ở nguyên tại chỗ vẫn là một quyết định hợp lý.
Hãy chọn công cụ dựa trên đúng cái giới hạn mà bạn cần gỡ bỏ, rồi thử nó với một bản sao các stack của bạn trước khi chuyển các khối lượng công việc đang chạy thật. Nếu bạn muốn triển khai mà không phải dựng máy chủ từ đầu, marketplace và các gói Linux VPS của Cloudzy là điểm khởi đầu thiết thực cho Portainer, Dockge, Arcane hoặc Komodo.
Câu hỏi thường gặp
Portainer CE và Business Edition khác nhau ở chỗ nào?
Portainer CE miễn phí và đáp ứng các nhu cầu quản lý container cốt lõi, bao gồm môi trường Docker, các stack Compose và quản lý nhiều môi trường thông qua agent. Business Edition bổ sung những khả năng như OAuth/SSO, RBAC chi tiết, AD/LDAP, ghi nhật ký kiểm toán và các cơ chế kiểm soát khác dành cho doanh nghiệp. Hiện Portainer cho miễn phí ba nút Business Edition; vượt quá mức đó, giá phụ thuộc vào gói bạn chọn và số lượng nút.
Dockge có thay thế Portainer hoàn toàn được không?
Với một máy chủ Docker duy nhất chạy các stack compose mà không cần SSO hay RBAC chi tiết thì có, Dockge kham việc hằng ngày rất gọn gàng. Nhưng nó không thay thế được khả năng hỗ trợ Kubernetes, RBAC chi tiết hay tính năng quản lý registry của Portainer. Phần hỗ trợ đa agent thêm vào ở v1.4 đáp ứng được các tình huống đa máy chủ cơ bản, nhưng chưa phải bản thay thế đầy đủ cho mô hình agent của Portainer.
Tôi có thể dùng Dockge để quản lý Docker trên nhiều máy chủ không?
Được, từ v1.4 (và được hoàn thiện thêm ở v1.5), Dockge hỗ trợ quản lý nhiều instance Dockge từ một giao diện duy nhất. Nó nhẹ hơn mô hình agent của Portainer nhưng không sánh được với quy trình liên máy chủ do Git điều khiển của Komodo. Với hai hoặc ba máy chủ thì ổn; còn với một đội máy chủ thực thụ, Komodo là công cụ tốt hơn.
Những lựa chọn thay thế Portainer nào có OIDC/SSO miễn phí?
Cả Arcane lẫn Dockhand đều có OIDC/SSO trong gói miễn phí. Komodo hỗ trợ OIDC cùng các tùy chọn đăng nhập qua nhà cung cấp. Dockge không hỗ trợ OIDC. Còn các tùy chọn xác thực bên ngoài và SSO của Portainer thuộc về Business Edition.
Portainer CE còn đáng dùng trong năm 2026 không?
Có. Portainer CE vẫn được bảo trì tích cực và vẫn phát hành các bản vá CVE trên nhánh LTS. Nếu hệ thống của bạn không cần SSO, RBAC chi tiết hay tự động cập nhật theo GitOps, thì chẳng có lý do gì phải vội chuyển đi. Các lựa chọn thay thế trong bài này dành cho những người đụng phải một giới hạn cụ thể của CE, chứ không dành cho những người đang dùng ổn thỏa.
