Doker 教程

Docker 实践

简介

Docker 使用 Google 公司推出的 Go 语言进行开发实现，基于 Linux 内核的 cgroup ，namespace ，以及 OverlayFS类的 Union FS等技术，对进程进行封装隔离，属于 操作系统层面的虚拟化技术 。由于隔离的进程独立于宿主和其它的隔离的进程，因此也称其为容器。最初实现是基于 LXC，从 0.7 版本以后开始去除 LXC，转而使用自行开发的 libcontainer，从 1.11 版本开始，则进一步演进为使用 runC和。

runc 是一个 Linux 命令行工具，用于根据 OCI容器运行时规范创建和运行容器。

containerd 是一个守护程序，它管理容器生命周期，提供了在一个节点上执行容器和管理镜像的最小功能集。

基本概念

Docker 包括三个基本概念

• 镜像（Image）
• 容器（Container）
• 仓库（Repository）

镜像

Docker 镜像 是一个特殊的文件系统，除了提供容器运行时所需的程序、库、资源、配置等文件外，还包含了一些为运行时准备的一些配置参数（如匿名卷、环境变量、用户等）。镜像 不包含 任何动态数据，其内容在构建之后也不会被改变。

分层存储

在 Docker 设计时，就充分利用 Union FS的技术，将其设计为分层存储的架构。所以严格来说，镜像并非是像一个 ISO 那样的打包文件，镜像只是一个虚拟的概念，其实际体现并非由一个文件组成，而是由一组文件系统组成，或者说，由多层文件系统联合组成。

在构建镜像的时候，需要额外小心，每一层尽量只包含该层需要添加的东西，任何额外的东西应该在该层构建结束前清理掉。分层存储的特征还使得镜像的复用、定制变的更为容易。甚至可以用之前构建好的镜像作为基础层，然后进一步添加新的层，以定制自己所需的内容，构建新的镜像。

容器

容器的实质是进程，但与直接在宿主执行的进程不同，容器进程运行于属于自己的独立的 命名空间。

容器内的进程是运行在一个隔离的环境里，使用起来，就好像是在一个独立于宿主的系统下操作一样。这种特性使得容器封装的应用比直接在宿主运行更加安全。

每一个容器运行时，是以镜像为基础层，在其上创建一个当前容器的存储层，我们可以称这个为容器运行时读写而准备的存储层为 容器存储层。

容器存储层的生存周期和容器一样，容器消亡时，容器存储层也随之消亡。因此，任何保存于容器存储层的信息都会随容器删除而丢失。

容器不应该向其存储层内写入任何数据，容器存储层要保持无状态化。所有的文件写入操作，都应该使用 数据卷（Volume）、或者 绑定宿主目录，在这些位置的读写会跳过容器存储层，直接对宿主（或网络存储）发生读写，其性能和稳定性更高。

仓库

一个 Docker Registry 中可以包含多个 仓库（Repository）；每个仓库可以包含多个 标签（Tag）；每个标签对应一个镜像。

通常，一个仓库会包含同一个软件不同版本的镜像，而标签就常用于对应该软件的各个版本。我们可以通过 <仓库名>:<标签> 的格式来指定具体是这个软件哪个版本的镜像。如果不给出标签，将以 latest 作为默认标签。

镜像

基础命令

获取镜像

1

docker pull [选项] [Docker Registry 地址[:端口号]/]仓库名[:标签]

运行镜像

1

docker run -it --rm ubuntu:18.04 bash

参数：

• -it：这是两个参数，一个是 -i：交互式操作，一个是 -t 终端。交互式终端。
• --rm：这个参数是说容器退出后随之将其删除。因此使用 --rm 可以避免浪费空间。
• ubuntu:18.04：这是指用 ubuntu:18.04 镜像为基础来启动容器。
• bash：放在镜像名后的是 命令，有个交互式 Shell，用的是 bash。

列出镜像

1
2
3
4
5
6
7
8
9

docker image ls
# 显示中间层镜像
docker image ls -a
# 根据仓库名列出镜像
docker image ls ubuntu
# 过滤器参数 --filter，或者简写 -f
docker image ls -f since=mongo:3.2
# 格式化显示
docker image ls --format "{{.ID}}: {{.Repository}}"

列表包含了 仓库名、标签、镜像 ID、创建时间 以及 所占用的空间。

1

docker system df

查看镜像、容器、数据卷所占用的空间

删除镜像

1

docker image rm [选项] <镜像1> [<镜像2> ...]

镜像的唯一标识是其 ID 和摘要，而一个镜像可以有多个标签。

删除行为分为两类，一类是 Untagged，另一类是 Deleted。删除镜像的时候，实际上是在要求删除某个标签的镜像。当该镜像所有的标签都被取消了，该镜像很可能会失去了存在的意义，因此会触发删除行为。

有用这个镜像启动的容器存在（即使容器没有运行），那么同样不可以删除这个镜像。

1

docker image rm $(docker image ls -q redis)

commit

docker commit 命令有一些特殊的应用场合，比如被入侵后保存现场等。不要使用 docker commit 定制镜像，定制镜像应该使用 Dockerfile 来完成。

修改了容器的文件，也就是改动了容器的存储层。可以通过 docker diff 命令看到具体的改动。

1

docker diff webserver

运行一个容器的时候（如果不使用卷的话），做的任何文件修改都会被记录于容器存储层。 docker commit 命令，可以将容器的存储层保存下来成为镜像。换句话说，就是在原有镜像的基础上，再叠加上容器的存储层，并构成新的镜像。

1
2
3
4
5
6
7

docker commit [选项] <容器ID或容器名> [<仓库名>[:<标签>]]

docker commit \
    --author "Tao Wang <twang2218@gmail.com>" \
    --message "修改了默认网页" \
    webserver \
    nginx:v2

使用 docker commit 意味着所有对镜像的操作都是黑箱操作，生成的镜像也被称为 黑箱镜像。

导入和导出

docker save 和 docker load 命令，用以将镜像保存为一个文件，然后传输到另一个位置上，再加载进来。

1
2
3
4
5
6
7
8

# 将镜像保存为归档文件
docker save alpine -o filename
# 使用 gzip 压缩
docker save alpine | gzip > alpine-latest.tar.gz
# 加载镜像
docker load -i alpine-latest.tar.gz
# 镜像迁移
docker save <镜像名> | bzip2 | pv | ssh <用户名>@<主机名> 'cat | docker load'

容器操作

启动容器

启动容器有两种方式，一种是基于镜像新建一个容器并启动，另外一个是将在终止状态（exited）的容器重新启动。

命令主要为 docker run。

当利用 docker run 来创建容器时，Docker 在后台运行的标准操作包括：

• 检查本地是否存在指定的镜像，不存在就从 registry 下载
• 利用镜像创建并启动一个容器
• 分配一个文件系统，并在只读的镜像层外面挂载一层可读写层
• 从宿主主机配置的网桥接口中桥接一个虚拟接口到容器中去
• 从地址池配置一个 ip 地址给容器
• 执行用户指定的应用程序
• 执行完毕后容器被终止

利用 docker container start 命令，直接将一个已经终止（exited）的容器启动运行。

后台运行

需要让 Docker 在后台运行而不是直接把执行命令的结果输出在当前宿主机下。此时，可以通过添加 -d 参数来实现。

容器会在后台运行并不会把输出的结果 (STDOUT) 打印到宿主机上面(输出结果可以用 docker logs 查看)。

要获取容器的输出信息，可以通过 docker container logs 命令。

终止容器

可以使用 docker container stop 来终止一个运行中的容器。

终止状态的容器可以用 docker container ls -a 命令看到。

docker container restart 命令会将一个运行态的容器终止，然后再重新启动它。

进入容器

docker exec 后边可以跟多个参数，这里主要说明 -i -t 参数。当 -i -t 参数一起使用时，则可以看到 Linux 命令提示符。

删除容器

可以使用 docker container rm 来删除一个处于终止状态的容器。

清理所有处于终止状态的容器。

1

$ docker container prune

数据管理

在容器中管理数据主要有两种方式：

• 数据卷（Volumes）
• 挂载主机目录 (Bind mounts)

数据卷

数据卷 是一个可供一个或多个容器使用的特殊目录，它绕过 UFS，可以提供很多有用的特性：

• 数据卷 可以在容器之间共享和重用
• 对 数据卷 的修改会立马生效
• 对 数据卷 的更新，不会影响镜像
• 数据卷 默认会一直存在，即使容器被删除

数据卷操作

1
2
3
4
5
6

# 创建
docker volume create my-vol
# 查看
docker volume ls
# 查看指定 数据卷 的信息
docker volume inspect my-vol

用 docker run 命令的时候，使用 --mount 标记来将 数据卷 挂载到容器里。

下面创建一个名为 web 的容器，并加载一个 数据卷 到容器的 /usr/share/nginx/html 目录。

1
2
3
4
5

$ docker run -d -P \
    --name web \
    # -v my-vol:/usr/share/nginx/html \
    --mount source=my-vol,target=/usr/share/nginx/html \
    nginx:alpine

查看 web 容器的信息

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

$ docker inspect web

"Mounts": [
    {
        "Type": "volume",
        "Name": "my-vol",
        "Source": "/var/lib/docker/volumes/my-vol/_data",
        "Destination": "/usr/share/nginx/html",
        "Driver": "local",
        "Mode": "",
        "RW": true,
        "Propagation": ""
    }
],

删除数据卷

1

docker volume rm my-vol

数据卷 是被设计用来持久化数据的，它的生命周期独立于容器，Docker 不会在容器被删除后自动删除 数据卷，并且也不存在垃圾回收这样的机制来处理没有任何容器引用的 数据卷。如果需要在删除容器的同时移除数据卷。可以在删除容器的时候使用 docker rm -v 这个命令。

挂载主机目录

使用 --mount 标记可以指定挂载一个本地主机的目录到容器中去。

1
2
3
4
5

$ docker run -d -P \
    --name web \
    # -v /src/webapp:/usr/share/nginx/html \
    --mount type=bind,source=/src/webapp,target=/usr/share/nginx/html \
    nginx:alpine

上面的命令加载主机的 /src/webapp 目录到容器的 /usr/share/nginx/html目录。

以前使用 -v 参数时如果本地目录不存在 Docker 会自动为你创建一个文件夹，现在使用 --mount 参数时如果本地目录不存在，Docker 会报错。

查看 web 容器的信息

1
2
3
4
5
6
7
8
9
10
11
12

docker inspect web

"Mounts": [
    {
        "Type": "bind",
        "Source": "/src/webapp",
        "Destination": "/usr/share/nginx/html",
        "Mode": "",
        "RW": true,
        "Propagation": "rprivate"
    }
],

挂载一个本地主机文件作为数据卷

记录在容器输入过的命令

1
2
3
4
5
6
7
8
9

$ docker run --rm -it \
   # -v $HOME/.bash_history:/root/.bash_history \
   --mount type=bind,source=$HOME/.bash_history,target=/root/.bash_history \
   ubuntu:18.04 \
   bash

root@2affd44b4667:/# history
1  ls
2  diskutil list

网络管理

Docker 允许通过外部访问容器或容器互联的方式来提供网络服务。

外部访问容器

容器中可以运行一些网络应用，要让外部也可以访问这些应用，可以通过 -P 或 -p 参数来指定端口映射。

当使用 -P 标记时，Docker 会随机映射一个端口到内部容器开放的网络端口。

-p 则可以指定要映射的端口，并且，在一个指定端口上只可以绑定一个容器。支持的格式有 ip:hostPort:containerPort | ip::containerPort | hostPort:containerPort。

1

$ docker run -d -p 80:80 nginx:alpine

查看映射端口配置

1

docker port fa 80

注意：

• 容器有自己的内部网络和 ip 地址（使用 docker inspect 查看，Docker 还可以有一个可变的网络配置。）
• -p 标记可以多次使用来绑定多个端口

容器互联

建议将容器加入自定义的 Docker 网络来连接多个容器，而不是使用 --link 参数。

创建Docker 网络

1

docker network create -d bridge my-net

-d 参数指定 Docker 网络类型，有 bridge overlay。其中 overlay 网络类型用于 Swarm mode

连接容器

1
2

docker run -it --rm --name busybox1 --network my-net busybox sh
docker run -it --rm --name busybox2 --network my-net busybox sh

如果你有多个容器之间需要互相连接，推荐使用 Docker Compose。

配置 DNS

如何自定义配置容器的主机名和 DNS ，Docker 利用虚拟文件来挂载容器的 3 个相关配置文件。

使用 mount 命令可以看到挂载信息：

1
2
3
4

mount
/dev/disk/by-uuid/1fec...ebdf on /etc/hostname type ext4 ...
/dev/disk/by-uuid/1fec...ebdf on /etc/hosts type ext4 ...
tmpfs on /etc/resolv.conf type tmpfs ...

这种机制可以让宿主主机 DNS 信息发生更新后，所有 Docker 容器的 DNS 配置通过 /etc/resolv.conf 文件立刻得到更新。

使用 docker run 命令启动容器时加入如下参数：

-h HOSTNAME 或者 --hostname=HOSTNAME 设定容器的主机名，它会被写到容器内的 /etc/hostname 和 /etc/hosts。

--dns=IP_ADDRESS 添加 DNS 服务器到容器的 /etc/resolv.conf 中，让容器用这个服务器来解析所有不在 /etc/hosts 中的主机名。

--dns-search=DOMAIN 设定容器的搜索域，当设定搜索域为 .example.com 时，在搜索一个名为 host 的主机时，DNS 不仅搜索 host，还会搜索 host.example.com。