能從入門到精通的 Docker 學習指南

1 Docker 簡介

Docker 兩個主要部件：

Docker 使用客戶端 - 服務器 (C/S) 架構模式。Docker 客戶端會與 Docker 守護進程進行通信。Docker 守護進程會處理複雜繁重的任務，例如建立、運行、發佈你的 Docker 容器。Docker 客戶端和守護進程可以運行在同一個系統上，當然你也可以使用 Docker 客戶端去連接一個遠程的 Docker 守護進程。Docker 客戶端和守護進程之間通過 socket 或者 RESTful API 進行通信。

1.1 Docker 守護進程

如上圖所示，Docker 守護進程運行在一臺主機上。用戶並不直接和守護進程進行交互，而是通過 Docker 客戶端間接和其通信。

1.2 Docker 客戶端

Docker 客戶端，實際上是 docker 的二進制程序，是主要的用戶與 Docker 交互方式。它接收用戶指令並且與背後的 Docker 守護進程通信，如此來回往復。

1.3 Docker 內部

要理解 Docker 內部構建，需要理解以下三種部件：

1.3.1 Docker 鏡像

Docker 鏡像是 Docker 容器運行時的只讀模板，每一個鏡像由一系列的層 (layers) 組成。Docker 使用 UnionFS 來將這些層聯合到單獨的鏡像中。UnionFS 允許獨立文件系統中的文件和文件夾 (稱之爲分支) 被透明覆蓋，形成一個單獨連貫的文件系統。正因爲有了這些層的存在，Docker 是如此的輕量。當你改變了一個 Docker 鏡像，比如升級到某個程序到新的版本，一個新的層會被創建。因此，不用替換整個原先的鏡像或者重新建立(在使用虛擬機的時候你可能會這麼做)，只是一個新的層被添加或升級了。現在你不用重新發布整個鏡像，只需要升級，層使得分發 Docker 鏡像變得簡單和快速。

1.3.2 Docker 倉庫

Docker 倉庫用來保存鏡像，可以理解爲代碼控制中的代碼倉庫。同樣的，Docker 倉庫也有公有和私有的概念。公有的 Docker 倉庫名字是 Docker Hub。Docker Hub 提供了龐大的鏡像集合供使用。這些鏡像可以是自己創建，或者在別人的鏡像基礎上創建。Docker 倉庫是 Docker 的分發部分。

1.3.3 Docker 容器

Docker 容器和文件夾很類似，一個 Docker 容器包含了所有的某個應用運行所需要的環境。每一個 Docker 容器都是從 Docker 鏡像創建的。Docker 容器可以運行、開始、停止、移動和刪除。每一個 Docker 容器都是獨立和安全的應用平臺，Docker 容器是 Docker 的運行部分。

1.4 libcontainer

Docker 從 0.9 版本開始使用 libcontainer 替代 lxc，libcontainer 和 Linux 系統的交互圖如下：

圖片來源: Docker 0.9: introducing execution drivers and libcontainer

1.5 命名空間「Namespaces」

1.5.1 pid namespace

不同用戶的進程就是通過 pid namespace 隔離開的，且不同 namespace 中可以有相同 PID。具有以下特徵:

參考文檔：Introduction to Linux namespaces – Part 3: PID

1.5.2 mnt namespace

類似 chroot，將一個進程放到一個特定的目錄執行。mnt namespace 允許不同 namespace 的進程看到的文件結構不同，這樣每個 namespace 中的進程所看到的文件目錄就被隔離開了。同 chroot 不同，每個 namespace 中的 container 在 /proc/mounts 的信息只包含所在 namespace 的 mount point。

1.5.3 net namespace

網絡隔離是通過 net namespace 實現的， 每個 net namespace 有獨立的 network devices, IP addresses, IP routing tables, /proc/net 目錄。這樣每個 container 的網絡就能隔離開來。docker 默認採用 veth 的方式將 container 中的虛擬網卡同 host 上的一個 docker bridge 連接在一起。

參考文檔：Introductionto Linux namespaces – Part 5: NET

1.5.4 uts namespace

UTS ("UNIX Time-sharing System") namespace 允許每個 container 擁有獨立的 hostname 和 domain name, 使其在網絡上可以被視作一個獨立的節點而非 Host 上的一個進程。

參考文檔：Introductionto Linux namespaces – Part 1: UTS

1.5.5 ipc namespace

container 中進程交互還是採用 Linux 常見的進程間交互方法 (interprocess communication - IPC), 包括常見的信號量、消息隊列和共享內存。然而同 VM 不同，container 的進程間交互實際上還是 host 上具有相同 pid namespace 中的進程間交互，因此需要在 IPC 資源申請時加入 namespace 信息 - 每個 IPC 資源有一個唯一的 32bit ID。

參考文檔：Introduction to Linux namespaces – Part 2: IPC

1.5.6 user namespace

每個 container 可以有不同的 user 和 group id, 也就是說可以以 container 內部的用戶在 container 內部執行程序而非 Host 上的用戶。

有了以上 6 種 namespace 從進程、網絡、IPC、文件系統、UTS 和用戶角度的隔離，一個 container 就可以對外展現出一個獨立計算機的能力，並且不同 container 從 OS 層面實現了隔離。然而不同 namespace 之間資源還是相互競爭的，仍然需要類似 ulimit 來管理每個 container 所能使用的資源 - cgroup。

1.5.7 Reference

Docker Getting Start: Related Knowledge
Docker 介紹以及其相關術語、底層原理和技術

1.6 資源配額「cgroups」

cgroups 實現了對資源的配額和度量。cgroups 的使用非常簡單，提供類似文件的接口，在 /cgroup 目錄下新建一個文件夾即可新建一個 group，在此文件夾中新建 task 文件，並將 pid 寫入該文件，即可實現對該進程的資源控制。具體的資源配置選項可以在該文件夾中新建子 subsystem ，{子系統前綴}.{資源項} 是典型的配置方法， 如 memory.usageinbytes 就定義了該 group 在 subsystem memory 中的一個內存限制選項。另外，cgroups 中的 subsystem 可以隨意組合，一個 subsystem 可以在不同的 group 中，也可以一個 group 包含多個 subsystem - 也就是說一個 subsystem。

參考文檔：how to use cgroup

2 Docker 安裝

docker 的相關安裝方法這裏不作介紹，具體安裝參考 官檔

獲取當前 docker 版本

$ sudo docker version
Client version: 1.3.2
Client API version: 1.15
Go version (client): go1.3.3
Git commit (client): 39fa2fa/1.3.2
OS/Arch (client): linux/amd64
Server version: 1.3.2
Server API version: 1.15
Go version (server): go1.3.3
Git commit (server): 39fa2fa/1.3.2

3 Docker 基礎用法

Docker HUB ：Docker 鏡像首頁，包括官方鏡像和其它公開鏡像

因爲國情的原因，國內下載 Docker HUB 官方的相關鏡像比較慢，可以使用 Daocloud 鏡像加速。

3.1 Search images

$ sudo docker search ubuntu

3.2 Pull images

$ sudo docker pull ubuntu # 獲取 ubuntu 官方鏡像
$ sudo docker images # 查看當前鏡像列表

3.3 Running an interactive shell

$ sudo docker run -i -t ubuntu:14.04 /bin/bash

注: ubuntu 會有多個版本，通過指定 tag 來啓動特定的版本 [image]:[tag]

$ sudo docker ps # 查看當前運行的容器, ps -a 列出當前系統所有的容器
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
6c9129e9df10        ubuntu:14.04        /bin/bash           6 minutes ago       Up 6 minutes                            cranky_babbage

3.4 相關快捷鍵

4 Docker 命令幫助

4.1 docker help

4.1.1 docker command
$ sudo docker   # docker 命令幫助

Commands:
    attach    Attach to a running container                 # 當前 shell 下 attach 連接指定運行鏡像
    build     Build an image from a Dockerfile              # 通過 Dockerfile 定製鏡像
    commit    Create a new image from a container's changes # 提交當前容器爲新的鏡像
    cp        Copy files/folders from the containers filesystem to the host path
              # 從容器中拷貝指定文件或者目錄到宿主機中
    create    Create a new container                        # 創建一個新的容器，同 run，但不啓動容器
    diff      Inspect changes on a container's filesystem   # 查看 docker 容器變化
    events    Get real time events from the server          # 從 docker 服務獲取容器實時事件
    exec      Run a command in an existing container        # 在已存在的容器上運行命令
    export    Stream the contents of a container as a tar archive
              # 導出容器的內容流作爲一個 tar 歸檔文件[對應 import ]
    history   Show the history of an image                  # 展示一個鏡像形成歷史
    images    List images                                   # 列出系統當前鏡像
    import    Create a new filesystem image from the contents of a tarball
              # 從tar包中的內容創建一個新的文件系統映像[對應 export]
    info      Display system-wide information               # 顯示系統相關信息
    inspect   Return low-level information on a container   # 查看容器詳細信息
    kill      Kill a running container                      # kill 指定 docker 容器
    load      Load an image from a tar archive              # 從一個 tar 包中加載一個鏡像[對應 save]
    login     Register or Login to the docker registry server
              # 註冊或者登陸一個 docker 源服務器
    logout    Log out from a Docker registry server         # 從當前 Docker registry 退出
    logs      Fetch the logs of a container                 # 輸出當前容器日誌信息
    port      Lookup the public-facing port which is NAT-ed to PRIVATE_PORT
              # 查看映射端口對應的容器內部源端口
    pause     Pause all processes within a container        # 暫停容器
    ps        List containers                               # 列出容器列表
    pull      Pull an image or a repository from the docker registry server
              # 從docker鏡像源服務器拉取指定鏡像或者庫鏡像
    push      Push an image or a repository to the docker registry server
              # 推送指定鏡像或者庫鏡像至docker源服務器
    restart   Restart a running container                   # 重啓運行的容器
    rm        Remove one or more containers                 # 移除一個或者多個容器
    rmi       Remove one or more images
              # 移除一個或多個鏡像[無容器使用該鏡像纔可刪除，否則需刪除相關容器纔可繼續或 -f 強制刪除]
    run       Run a command in a new container
              # 創建一個新的容器並運行一個命令
    save      Save an image to a tar archive                # 保存一個鏡像爲一個 tar 包[對應 load]
    search    Search for an image on the Docker Hub         # 在 docker hub 中搜索鏡像
    start     Start a stopped containers                    # 啓動容器
    stop      Stop a running containers                     # 停止容器
    tag       Tag an image into a repository                # 給源中鏡像打標籤
    top       Lookup the running processes of a container   # 查看容器中運行的進程信息
    unpause   Unpause a paused container                    # 取消暫停容器
    version   Show the docker version information           # 查看 docker 版本號
    wait      Block until a container stops, then print its exit code
              # 截取容器停止時的退出狀態值
Run 'docker COMMAND --help' for more information on a command.
4.1.2 docker option
Usage of docker:
  --api-enable-cors=false                Enable CORS headers in the remote API                      # 遠程 API 中開啓 CORS 頭
  -b, --bridge=""                        Attach containers to a pre-existing network bridge         # 橋接網絡
                                           use 'none' to disable container networking
  --bip=""                               Use this CIDR notation address for the network bridge's IP, not compatible with -b
                                         # 和 -b 選項不兼容，具體沒有測試過
  -d, --daemon=false                     Enable daemon mode                                         # daemon 模式
  -D, --debug=false                      Enable debug mode                                          # debug 模式
  --dns=[]                               Force docker to use specific DNS servers                   # 強制 docker 使用指定 dns 服務器
  --dns-search=[]                        Force Docker to use specific DNS search domains            # 強制 docker 使用指定 dns 搜索域
  -e, --exec-driver="native"             Force the docker runtime to use a specific exec driver     # 強制 docker 運行時使用指定執行驅動器
  --fixed-cidr=""                        IPv4 subnet for fixed IPs (ex: 10.20.0.0/16)
                                           this subnet must be nested in the bridge subnet (which is defined by -b or --bip)
  -G, --group="docker"                   Group to assign the unix socket specified by -H when running in daemon mode
                                           use '' (the empty string) to disable setting of a group
  -g, --graph="/var/lib/docker"          Path to use as the root of the docker runtime              # 容器運行的根目錄路徑
  -H, --host=[]                          The socket(s) to bind to in daemon mode                    # daemon 模式下 docker 指定綁定方式[tcp or 本地 socket]
                                           specified using one or more tcp://host:port, unix:///path/to/socket, fd://* or fd://socketfd.
  --icc=true                             Enable inter-container communication                       # 跨容器通信
  --insecure-registry=[]                 Enable insecure communication with specified registries (no certificate verification for HTTPS and enable HTTP fallback) (e.g., localhost:5000 or 10.20.0.0/16)
  --ip="0.0.0.0"                         Default IP address to use when binding container ports     # 指定監聽地址，默認所有 ip
  --ip-forward=true                      Enable net.ipv4.ip_forward                                 # 開啓轉發
  --ip-masq=true                         Enable IP masquerading for bridge's IP range
  --iptables=true                        Enable Docker's addition of iptables rules                 # 添加對應 iptables 規則
  --mtu=0                                Set the containers network MTU                             # 設置網絡 mtu
                                           if no value is provided: default to the default route MTU or 1500 if no default route is available
  -p, --pidfile="/var/run/docker.pid"    Path to use for daemon PID file                            # 指定 pid 文件位置
  --registry-mirror=[]                   Specify a preferred Docker registry mirror
  -s, --storage-driver=""                Force the docker runtime to use a specific storage driver  # 強制 docker 運行時使用指定存儲驅動
  --selinux-enabled=false                Enable selinux support                                     # 開啓 selinux 支持
  --storage-opt=[]                       Set storage driver options                                 # 設置存儲驅動選項
  --tls=false                            Use TLS; implied by tls-verify flags                       # 開啓 tls
  --tlscacert="/root/.docker/ca.pem"     Trust only remotes providing a certificate signed by the CA given here
  --tlscert="/root/.docker/cert.pem"     Path to TLS certificate file                               # tls 證書文件位置
  --tlskey="/root/.docker/key.pem"       Path to TLS key file                                       # tls key 文件位置
  --tlsverify=false                      Use TLS and verify the remote (daemon: verify client, client: verify daemon) # 使用 tls 並確認遠程控制主機
  -v, --version=false                    Print version information and quit                         # 輸出 docker 版本信息
$ sudo docker search --help

Usage: docker search TERM

Search the Docker Hub for images     # 從 Docker Hub 搜索鏡像

  --automated=false    Only show automated builds
  --no-trunc=false     Don't truncate output
  -s, --stars=0        Only displays with at least xxx stars

示例：

$ sudo docker search -s 100 ubuntu
# 查找 star 數至少爲 100 的鏡像，找出只有官方鏡像 start 數超過 100，默認不加 s 選項找出所有相關 ubuntu 鏡像
NAME      DESCRIPTION                  STARS     OFFICIAL   AUTOMATED
ubuntu    Official Ubuntu base image   425       [OK]

4.3 docker info

$ sudo docker info
Containers: 1                       # 容器個數
Images: 22                          # 鏡像個數
Storage Driver: devicemapper        # 存儲驅動
 Pool Name: docker-8:17-3221225728-pool
 Pool Blocksize: 65.54 kB
 Data file: /data/docker/devicemapper/devicemapper/data
 Metadata file: /data/docker/devicemapper/devicemapper/metadata
 Data Space Used: 1.83 GB
 Data Space Total: 107.4 GB
 Metadata Space Used: 2.191 MB
 Metadata Space Total: 2.147 GB
 Library Version: 1.02.84-RHEL7 (2014-03-26)
Execution Driver: native-0.2        # 存儲驅動
Kernel Version: 3.10.0-123.el7.x86_64
Operating System: CentOS Linux 7 (Core)

4.4 docker pull && docker push

$ sudo docker pull --help           # pull 拉取鏡像

Usage: docker pull [OPTIONS] NAME[:TAG]

Pull an image or a repository from the registry

  -a, --all-tags=false    Download all tagged images in the repository

$ sudo docker push                  # push 推送指定鏡像

Usage: docker push NAME[:TAG]

Push an image or a repository to the registry

示例：

$ sudo docker pull ubuntu           # 下載官方 ubuntu docker 鏡像，默認下載所有 ubuntu 官方庫鏡像
$ sudo docker pull ubuntu:14.04     # 下載指定版本 ubuntu 官方鏡像
$ sudo docker push 192.168.0.100:5000/ubuntu
# 推送鏡像庫到私有源[可註冊 docker 官方賬戶，推送到官方自有賬戶]
$ sudo docker push 192.168.0.100:5000/ubuntu:14.04
# 推送指定鏡像到私有源

4.5 docker images

列出當前系統鏡像

$ sudo docker images --help

Usage: docker images [OPTIONS] [NAME]

List images

  -a, --all=false      Show all images (by default filter out the intermediate image layers)
  # -a 顯示當前系統的所有鏡像，包括過渡層鏡像，默認 docker images 顯示最終鏡像，不包括過渡層鏡像
  -f, --filter=[]      Provide filter values (i.e. 'dangling=true')
  --no-trunc=false     Don't truncate output
  -q, --quiet=false    Only show numeric IDs

示例：

$ sudo docker images            # 顯示當前系統鏡像，不包括過渡層鏡像
$ sudo docker images -a         # 顯示當前系統所有鏡像，包括過渡層鏡像
$ sudo docker images ubuntu     # 顯示當前系統 docker ubuntu 庫中的所有鏡像
REPOSITORY                 TAG                 IMAGE ID            CREATED             VIRTUAL SIZE
ubuntu                     12.04               ebe4be4dd427        4 weeks ago         210.6 MB
ubuntu                     14.04               e54ca5efa2e9        4 weeks ago         276.5 MB
ubuntu                     14.04-ssh           6334d3ac099a        7 weeks ago         383.2 MB

4.6 docker rmi

刪除一個或者多個鏡像

$ sudo docker rmi --help

Usage: docker rmi IMAGE [IMAGE...]

Remove one or more images

  -f, --force=false    Force removal of the image       # 強制移除鏡像不管是否有容器使用該鏡像
  --no-prune=false     Do not delete untagged parents   # 不要刪除未標記的父鏡像

4.7 docker run

$ sudo docker run --help

Usage: docker run [OPTIONS] IMAGE [COMMAND] [ARG...]

Run a command in a new container

  -a, --attach=[]            Attach to stdin, stdout or stderr.
  -c, --cpu-shares=0         CPU shares (relative weight)                       # 設置 cpu 使用權重
  --cap-add=[]               Add Linux capabilities
  --cap-drop=[]              Drop Linux capabilities
  --cidfile=""               Write the container ID to the file                 # 把容器 id 寫入到指定文件
  --cpuset=""                CPUs in which to allow execution (0-3, 0,1)        # cpu 綁定
  -d, --detach=false         Detached mode: Run container in the background, print new container id # 後臺運行容器
  --device=[]                Add a host device to the container (e.g. --device=/dev/sdc:/dev/xvdc)
  --dns=[]                   Set custom dns servers                             # 設置 dns
  --dns-search=[]            Set custom dns search domains                      # 設置 dns 域搜索
  -e, --env=[]               Set environment variables                          # 定義環境變量
  --entrypoint=""            Overwrite the default entrypoint of the image      # ？
  --env-file=[]              Read in a line delimited file of ENV variables     # 從指定文件讀取變量值
  --expose=[]                Expose a port from the container without publishing it to your host    # 指定對外提供服務端口
  -h, --host          Container host name                                # 設置容器主機名
  -i, --interactive=false    Keep stdin open even if not attached               # 保持標準輸出開啓即使沒有 attached
  --link=[]                  Add link to another container (name:alias)         # 添加鏈接到另外一個容器
  --lxc-conf=[]              (lxc exec-driver only) Add custom lxc options --lxc-conf="lxc.cgroup.cpuset.cpus = 0,1"
  -m, --memory=""            Memory limit (format: <number><optional unit>, where unit = b, k, m or g) # 內存限制
  --                  Assign a name to the container                     # 設置容器名
  --net="bridge"             Set the Network mode for the container             # 設置容器網絡模式
                               'bridge': creates a new network stack for the container on the docker bridge
                               'none': no networking for this container
                               'container:<name|id>': reuses another container network stack
                               'host': use the host network stack inside the container.  Note: the host mode gives the container full access to local system services such as D-bus and is therefore considered insecure.
  -P, --publish-all=false    Publish all exposed ports to the host interfaces   # 自動映射容器對外提供服務的端口
  -p, --publish=[]           Publish a container's port to the host             # 指定端口映射
                               format: ip:hostPort:containerPort | ip::containerPort | hostPort:containerPort
                               (use 'docker port' to see the actual mapping)
  --privileged=false         Give extended privileges to this container         # 提供更多的權限給容器
  --restart=""               Restart policy to apply when a container exits (no, on-failure[:max-retry], always)
  --rm=false                 Automatically remove the container when it exits (incompatible with -d) # 如果容器退出自動移除和 -d 選項衝突
  --security-opt=[]          Security Options
  --sig-proxy=true           Proxify received signals to the process (even in non-tty mode). SIGCHLD is not proxied.
  -t, --tty=false            Allocate a pseudo-tty                              # 分配僞終端
  -u, --user=""              Username or UID                                    # 指定運行容器的用戶 uid 或者用戶名
  -v, --volume=[]            Bind mount a volume (e.g., from the host: -v /host:/container, from docker: -v /container)
                             # 掛載卷
  --volumes-from=[]          Mount volumes from the specified container(s)      # 從指定容器掛載卷
  -w, --workdir=""           Working directory inside the container             # 指定容器工作目錄

示例：

$ sudo docker images ubuntu
REPOSITORY          TAG                 IMAGE ID            CREATED             VIRTUAL SIZE
ubuntu              14.04               e54ca5efa2e9        4 weeks ago         276.5 MB
... ...
$ sudo docker run -t -i -c 100 -m 512MB -h test1 -d -- ubuntu /bin/bash
# 創建一個 cpu 優先級爲 100，內存限制 512MB，主機名爲 test1，名爲 docker_test1 後臺運行 bash 的容器
a424ca613c9f2247cd3ede95adfbaf8d28400cbcb1d5f9b69a7b56f97b2b52e5
$ sudo docker ps
CONTAINER ID        IMAGE           COMMAND         CREATED             STATUS              PORTS       NAMES
a424ca613c9f        ubuntu:14.04    /bin/bash       6 seconds ago       Up 5 seconds                    docker_test1
$ sudo docker attach docker_test1
root@test1:/# pwd
/
root@test1:/# exit
exit

關於 cpu 優先級:

By default all groups have 1024 shares. A group with 100 shares will get a ~10% portion of the CPU time - archlinux cgroups

4.8 docker start|stop|kill… …

docker start CONTAINER [CONTAINER…]
# 運行一個或多個停止的容器
docker stop CONTAINER [CONTAINER…]
# 停掉一個或多個運行的容器 -t 選項可指定超時時間
docker kill [OPTIONS] CONTAINER [CONTAINER…]
# 默認 kill 發送 SIGKILL 信號 -s 可以指定發送 kill 信號類型
docker restart [OPTIONS] CONTAINER [CONTAINER…]
# 重啓一個或多個運行的容器 -t 選項可指定超時時間
docker pause CONTAINER
# 暫停一個容器，方便 commit
docker unpause CONTAINER
# 繼續暫停的容器
docker rm [OPTIONS] CONTAINER [CONTAINER…]
# 移除一個或多個容器
-f, –force=false Force removal of running container
-l, –link=false Remove the specified link and not the underlying container
-v, –volumes=false Remove the volumes associated with the container
docker commit [OPTIONS] CONTAINER [REPOSITORY[:TAG]]
# 提交指定容器爲鏡像
-a, –author="" Author (e.g., "John Hannibal Smith hannibal@a-team.com")
-m, –message="" Commit message
-p, –pause=true Pause container during commit
# 默認 commit 是暫停狀態
docker inspect CONTAINER|IMAGE [CONTAINER|IMAGE…]
# 查看容器或者鏡像的詳細信息
docker logs CONTAINER
# 輸出指定容器日誌信息
-f, –follow=false Follow log output
# 類似 tail -f
-t, –timestamps=false Show timestamps
–tail="all" Output the specified number of lines at the end of logs (defaults to all logs)

參考文檔：Docker Run Reference

4.9 Docker 1.3 新增特性和命令

4.9.1 Digital Signature Verification

Docker 1.3 版本將使用數字簽名自動驗證所有官方庫的來源和完整性，如果一個官方鏡像被篡改或者被破壞，目前 Docker 只會對這種情況發出警告而並不阻止容器的運行。

4.9.2 Inject new processes with docker exec
docker exec --help

Usage: docker exec [OPTIONS] CONTAINER COMMAND [ARG...]

Run a command in an existing container

  -d, --detach=false         Detached mode: run command in the background
  -i, --interactive=false    Keep STDIN open even if not attached
  -t, --tty=false            Allocate a pseudo-TTY

爲了簡化調試，可以使用 docker exec 命令通過 Docker API 和 CLI 在運行的容器上運行程序。

$ docker exec -it ubuntu_bash bash

上例將在容器 ubuntubash 中創建一個新的 Bash 會話。

4.9.3 Tune container lifecycles with docker create

我們可以通過docker run <image name>命令創建一個容器並運行其中的程序，因爲有很多用戶要求創建容器的時候不啓動容器，所以 docker create 應運而生了。

$ docker create -t -i fedora bash
6d8af538ec541dd581ebc2a24153a28329acb5268abe5ef868c1f1a261221752

上例創建了一個可寫的容器層 (並且打印出容器 ID)，但是並不運行它，可以使用以下命令運行該容器：

$ docker start -a -i 6d8af538ec5
bash-4.2#
4.9.4 Security Options

通過 --security-opt 選項，運行容器時用戶可自定義 SELinux 和 AppArmor 卷標和配置。

$ docker run --security-opt label:type:svirt_apache -i -t centos \ bash

上例只允許容器監聽在 Apache 端口，這個選項的好處是用戶不需要運行 docker 的時候指定 --privileged 選項，降低安全風險。

參考文檔：Docker 1.3: signed images, process injection, security options, Mac shared directories

4.10 Docker 1.5 新特性

參考文檔：Docker 1.5 新特性

5 Docker 端口映射

# Find IP address of container with ID <container_id> 通過容器 id 獲取 ip
$ sudo docker inspect <container_id> | grep IPAddress | cut -d '"' -f 4

無論如何，這些 ip 是基於本地系統的並且容器的端口非本地主機是訪問不到的。此外，除了端口只能本地訪問外，對於容器的另外一個問題是這些 ip 在容器每次啓動的時候都會改變。

Docker 解決了容器的這兩個問題，並且給容器內部服務的訪問提供了一個簡單而可靠的方法。Docker 通過端口綁定主機系統的接口，允許非本地客戶端訪問容器內部運行的服務。爲了簡便的使得容器間通信，Docker 提供了這種連接機制。

5.1 自動映射端口

-P 使用時需要指定 --expose 選項，指定需要對外提供服務的端口

$ sudo docker run -t -P --expose 22 --name server  ubuntu:14.04

使用 docker run -P 自動綁定所有對外提供服務的容器端口，映射的端口將會從沒有使用的端口池中 (49000..49900) 自動選擇，你可以通過docker ps、docker inspect <container_id>或者docker port <container_id> <port>確定具體的綁定信息。

5.2 綁定端口到指定接口

基本語法

$ sudo docker run -p [([<host_interface>:[host_port]])|(<host_port>):]<container_port>[/udp] <image> <cmd>

默認不指定綁定 ip 則監聽所有網絡接口。

5.2.1 綁定 TCP 端口
# Bind TCP port 8080 of the container to TCP port 80 on 127.0.0.1 of the host machine.
$ sudo docker run -p 127.0.0.1:80:8080 <image> <cmd>
# Bind TCP port 8080 of the container to a dynamically allocated TCP port on 127.0.0.1 of the host machine.
$ sudo docker run -p 127.0.0.1::8080 <image> <cmd>
# Bind TCP port 8080 of the container to TCP port 80 on all available interfaces of the host machine.
$ sudo docker run -p 80:8080 <image> <cmd>
# Bind TCP port 8080 of the container to a dynamically allocated TCP port on all available interfaces
$ sudo docker run -p 8080 <image> <cmd>
5.2.2 綁定 UDP 端口
# Bind UDP port 5353 of the container to UDP port 53 on 127.0.0.1 of the host machine.
$ sudo docker run -p 127.0.0.1:53:5353/udp <image> <cmd>

6 Docker 網絡配置

圖: Docker - container and lightweight virtualization

Dokcer 通過使用 Linux 橋接提供容器之間的通信，docker0 橋接接口的目的就是方便 Docker 管理。當 Docker daemon 啓動時需要做以下操作：

creates the docker0 bridge if not present
# 如果 docker0 不存在則創建
searches for an IP address range which doesn't overlap with an existing route
# 搜索一個與當前路由不衝突的 ip 段
picks an IP in the selected range
# 在確定的範圍中選擇 ip
assigns this IP to the docker0 bridge
# 綁定 ip 到 docker0

6.1 Docker 四種網絡模式

四種網絡模式摘自 Docker 網絡詳解及 pipework 源碼解讀與實踐

docker run 創建 Docker 容器時，可以用 --net 選項指定容器的網絡模式，Docker 有以下 4 種網絡模式：

6.1.1 host 模式

如果啓動容器的時候使用 host 模式，那麼這個容器將不會獲得一個獨立的 Network Namespace，而是和宿主機共用一個 Network Namespace。容器將不會虛擬出自己的網卡，配置自己的 IP 等，而是使用宿主機的 IP 和端口。

例如，我們在 10.10.101.105/24 的機器上用 host 模式啓動一個含有 web 應用的 Docker 容器，監聽 tcp 80 端口。當我們在容器中執行任何類似 ifconfig 命令查看網絡環境時，看到的都是宿主機上的信息。而外界訪問容器中的應用，則直接使用 10.10.101.105:80 即可，不用任何 NAT 轉換，就如直接跑在宿主機中一樣。但是，容器的其他方面，如文件系統、進程列表等還是和宿主機隔離的。

6.1.2 container 模式

這個模式指定新創建的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新創建的容器不會創建自己的網卡，配置自己的 IP，而是和一個指定的容器共享 IP、端口範圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過 lo 網卡設備通信。

6.1.3 none 模式

這個模式和前兩個不同。在這種模式下，Docker 容器擁有自己的 Network Namespace，但是，並不爲 Docker 容器進行任何網絡配置。也就是說，這個 Docker 容器沒有網卡、IP、路由等信息。需要我們自己爲 Docker 容器添加網卡、配置 IP 等。

6.1.4 bridge 模式

圖：The Container World Part 2 Networking

bridge 模式是 Docker 默認的網絡設置，此模式會爲每一個容器分配 Network Namespace、設置 IP 等，並將一個主機上的 Docker 容器連接到一個虛擬網橋上。當 Docker server 啓動時，會在主機上創建一個名爲 docker0 的虛擬網橋，此主機上啓動的 Docker 容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。接下來就要爲容器分配 IP 了，Docker 會從 RFC1918 所定義的私有 IP 網段中，選擇一個和宿主機不同的 IP 地址和子網分配給 docker0，連接到 docker0 的容器就從這個子網中選擇一個未佔用的 IP 使用。如一般 Docker 會使用 172.17.0.0/16 這個網段，並將 172.17.42.1/16 分配給 docker0 網橋（在主機上使用 ifconfig 命令是可以看到 docker0 的，可以認爲它是網橋的管理接口，在宿主機上作爲一塊虛擬網卡使用）

6.2 列出當前主機網橋

$ sudo brctl show  # brctl 工具依賴 bridge-utils 軟件包
bridge name bridge id STP enabled interfaces
docker0 8000.000000000000 no

6.3 查看當前 docker0 ip

$ sudo ifconfig docker0
docker0 Link encap:Ethernet HWaddr xx:xx:xx:xx:xx:xx
inet addr:172.17.42.1 Bcast:0.0.0.0 Mask:255.255.0.0

在容器運行時，每個容器都會分配一個特定的虛擬機口並橋接到 docker0。每個容器都會配置同 docker0 ip 相同網段的專用 ip 地址，docker0 的 IP 地址被用於所有容器的默認網關。

6.4 運行一個容器

$ sudo docker run -t -i -d ubuntu /bin/bash
52f811c5d3d69edddefc75aff5a4525fc8ba8bcfa1818132f9dc7d4f7c7e78b4
$ sudo brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.fef213db5a66 no vethQCDY1N

以上, docker0 扮演着 52f811c5d3d6 container 這個容器的虛擬接口 vethQCDY1N interface 橋接的角色。

6.4.1 使用特定範圍的 IP

Docker 會嘗試尋找沒有被主機使用的 ip 段，儘管它適用於大多數情況下，但是它不是萬能的，有時候我們還是需要對 ip 進一步規劃。Docker 允許你管理 docker0 橋接或者通過 -b 選項自定義橋接網卡，需要安裝 bridge-utils 軟件包。

基本步驟如下：

ensure Docker is stopped
# 確保 docker 的進程是停止的
create your own bridge (bridge0 for example)
# 創建自定義網橋
assign a specific IP to this bridge
# 給網橋分配特定的 ip
start Docker with the -b=bridge0 parameter
# 以 -b 的方式指定網橋
# Stopping Docker and removing docker0

$ sudo service docker stop
$ sudo ip link set dev docker0 down
$ sudo brctl delbr docker0

# Create our own bridge

$ sudo brctl addbr bridge0
$ sudo ip addr add 192.168.5.1/24 dev bridge0
$ sudo ip link set dev bridge0 up

# Confirming that our bridge is up and running

$ ip addr show bridge0
4: bridge0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state UP group default
    link/ether 66:38:d0:0d:76:18 brd ff:ff:ff:ff:ff:ff
    inet 192.168.5.1/24 scope global bridge0
       valid_lft forever preferred_lft forever

# Tell Docker about it and restart (on Ubuntu)

$ echo 'DOCKER_OPTS="-b=bridge0"' >> /etc/default/docker
$ sudo service docker start

參考文檔: Network Configuration

6.5 不同主機間容器通信

不同容器之間的通信可以藉助於 pipework 這個工具：

$ git clone https://github.com/jpetazzo/pipework.git
$ sudo cp -rp pipework/pipework /usr/local/bin/
6.5.1 安裝相應依賴軟件
$ sudo apt-get install iputils-arping bridge-utils -y
6.5.2 橋接網絡

橋接網絡可以參考 日常問題處理 Tips 關於橋接的配置說明，這裏不再贅述。

# brctl show
bridge name     bridge id               STP enabled     interfaces
br0             8000.000c291412cd       no              eth0
docker0         8000.56847afe9799       no              vetheb48029

可以刪除 docker0，直接把 docker 的橋接指定爲 br0。也可以保留使用默認的配置，這樣單主機容器之間的通信可以通過 docker0，而跨主機不同容器之間通過 pipework 新建 docker 容器的網卡橋接到 br0，這樣跨主機容器之間就可以通信了。

ubuntu

$ sudo service docker stop
$ sudo ip link set dev docker0 down
$ sudo brctl delbr docker0
$ echo 'DOCKER_OPTS="-b=br0"' >> /etc/default/docker
$ sudo service docker start

CentOS 7/RHEL 7

$ sudo systemctl stop docker
$ sudo ip link set dev docker0 down
$ sudo brctl delbr docker0
$ cat /etc/sysconfig/docker | grep 'OPTIONS='
OPTIONS=--selinux-enabled -b=br0 -H fd://
$ sudo systemctl start docker
6.5.3 pipework

不同容器之間的通信可以藉助於 pipework 這個工具給 docker 容器新建虛擬網卡並綁定 IP 橋接到 br0

$ git clone https://github.com/jpetazzo/pipework.git
$ sudo cp -rp pipework/pipework /usr/local/bin/
$ pipework
Syntax:
pipework <hostinterface> [-i containerinterface] <guest> <ipaddr>/<subnet>[@default_gateway] [macaddr][@vlan]
pipework <hostinterface> [-i containerinterface] <guest> dhcp [macaddr][@vlan]
pipework --wait [-i containerinterface]

如果刪除了默認的 docker0 橋接，把 docker 默認橋接指定到了 br0，則最好在創建容器的時候加上 --net=none ，防止自動分配的 IP 在局域網中有衝突。

$ sudo docker run --rm -ti --net=none ubuntu:14.04 /bin/bash
root@a46657528059:/#
$                  # Ctrl-P + Ctrl-Q 回到宿主機 shell，容器 detach 狀態
$ sudo docker  ps
CONTAINER ID    IMAGE          COMMAND       CREATED         STATUS          PORTS      NAMES
a46657528059    ubuntu:14.04   "/bin/bash"   4 minutes ago   Up 4 minutes               hungry_lalande
$ sudo pipework br0 -i eth0 a46657528059 192.168.115.10/24@192.168.115.2
# 默認不指定網卡設備名，則默認添加爲 eth1
# 另外 pipework 不能添加靜態路由，如果有需求則可以在 run 的時候加上 --privileged=true 權限在容器中手動添加，
# 但這種安全性有缺陷，可以通過 ip netns 操作
$ sudo docker attach a46657528059
root@a46657528059:/# ifconfig eth0
eth0      Link encap:Ethernet  HWaddr 86:b6:6b:e8:2e:4d
          inet addr:192.168.115.10  Bcast:0.0.0.0  Mask:255.255.255.0
          inet6 addr: fe80::84b6:6bff:fee8:2e4d/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8 errors:0 dropped:0 overruns:0 frame:0
          TX packets:9 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:648 (648.0 B)  TX bytes:690 (690.0 B)

root@a46657528059:/# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.115.2   0.0.0.0         UG    0      0        0 eth0
192.168.115.0   0.0.0.0         255.255.255.0   U     0      0        0 eth0

使用 ip netns 添加靜態路由，避免創建容器使用 --privileged=true 選項造成一些不必要的安全問題：

$ docker inspect --format="{% raw %}{{ .State.Pid }}{% endraw %}" a46657528059 # 獲取指定容器 pid
6350
$ sudo ln -s /proc/6350/ns/net /var/run/netns/6350
$ sudo ip netns exec 6350 ip route add 192.168.0.0/16 dev eth0 via 192.168.115.2
$ sudo ip netns exec 6350 ip route    # 添加成功
192.168.0.0/16 via 192.168.115.2 dev eth0
... ...

在其它宿主機進行相應的配置，新建容器並使用 pipework 添加虛擬網卡橋接到 br0，測試通信情況即可。

另外，pipework 可以創建容器的 vlan 網絡，這裏不作過多的介紹了，官方文檔已經寫的很清楚了，可以查看以下兩篇文章：

7 Dockerfile

Docker 可以通過 Dockerfile 的內容來自動構建鏡像。Dockerfile 是一個包含創建鏡像所有命令的文本文件，通過 docker build 命令可以根據 Dockerfile 的內容構建鏡像，在介紹如何構建之前先介紹下 Dockerfile 的基本語法結構。

Dockerfile 有以下指令選項:

7.1 FROM

用法:

FROM <image>

或者

FROM <image>

7.2 MAINTAINER

用法:

MAINTAINER <name>

指定創建鏡像的用戶

RUN 有兩種使用方式

每條 RUN 指令將在當前鏡像基礎上執行指定命令，並提交爲新的鏡像，後續的 RUN 都在之前 RUN 提交後的鏡像爲基礎，鏡像是分層的，可以通過一個鏡像的任何一個歷史提交點來創建，類似源碼的版本控制。

exec 方式會被解析爲一個 JSON 數組，所以必須使用雙引號而不是單引號。exec 方式不會調用一個命令 shell，所以也就不會繼承相應的變量，如：

RUN [ "echo", "$HOME" ]

這種方式是不會達到輸出 HOME 變量的，正確的方式應該是這樣的

RUN [ "sh", "-c", "echo", "$HOME" ]

RUN 產生的緩存在下一次構建的時候是不會失效的，會被重用，可以使用 --no-cache 選項，即 docker build --no-cache ，如此便不會緩存。

7.3 CMD

CMD 有三種使用方式:

CMD 指定在 Dockerfile 中只能使用一次，如果有多個，則只有最後一個會生效。

CMD 的目的是爲了在啓動容器時提供一個默認的命令執行選項。如果用戶啓動容器時指定了運行的命令，則會覆蓋掉 CMD 指定的命令。

CMD 會在啓動容器的時候執行，build 時不執行，而 RUN 只是在構建鏡像的時候執行，後續鏡像構建完成之後，啓動容器就與 RUN 無關了，這個初學者容易弄混這個概念，這裏簡單註解一下。

7.4 EXPOSE

EXPOSE <port> [<port>...]

告訴 Docker 服務端容器對外映射的本地端口，需要在 docker run 的時候使用 -p 或者 -P 選項生效。

7.5 ENV

ENV <key> <value>       # 只能設置一個變量
ENV <key>=<value> ...   # 允許一次設置多個變量

指定一個環節變量，會被後續 RUN 指令使用，並在容器運行時保留。

例子:

ENV my myDog=Rex\ The\ Dog \
    myCat=fluffy

等同於

ENV myName John Doe
ENV myDog Rex The Dog
ENV myCat fluffy

7.6 ADD

ADD <src>... <dest>

ADD 複製本地主機文件、目錄或者遠程文件 URLS 從<src>並且添加到容器指定路徑中<dest>。

<src>支持通過 GO 的正則模糊匹配，具體規則可參見 Go filepath.Match

ADD hom* /mydir/        # adds all files starting with "hom"
ADD hom?.txt /mydir/    # ? is replaced with any single character

7.7 COPY

COPY <src>... <dest>

COPY 複製新文件或者目錄從<src>添加到容器指定路徑中<dest>。用法同 ADD ，唯一的不同是不能指定遠程文件 URLS。

7.8 ENTRYPOINT

配置容器啓動後執行的命令，並且不可被 docker run 提供的參數覆蓋，而 CMD 是可以被覆蓋的。如果需要覆蓋，則可以使用 docker run --entrypoint 選項。

每個 Dockerfile 中只能有一個 ENTRYPOINT ，當指定多個時，只有最後一個生效。

7.8.1 Exec form ENTRYPOINT 例子

通過 ENTRYPOINT 使用 exec form 方式設置穩定的默認命令和選項，而使用 CMD 添加默認之外經常被改動的選項。

FROM ubuntu
ENTRYPOINT ["top", "-b"]
CMD ["-c"]

通過 Dockerfile 使用 ENTRYPOINT 展示前臺運行 Apache 服務

FROM debian:stable
RUN apt-get update && apt-get install -y --force-yes apache2
EXPOSE 80 443
VOLUME ["/var/www", "/var/log/apache2", "/etc/apache2"]
ENTRYPOINT ["/usr/sbin/apache2ctl", "-D", "FOREGROUND"]
7.8.2 Shell form ENTRYPOINT 例子

這種方式會在 /bin/sh -c 中執行，會忽略任何 CMD 或者 docker run 命令行選項，爲了確保 docker stop 能夠停止長時間運行 ENTRYPOINT 的容器，確保執行的時候使用 exec 選項。

FROM ubuntu
ENTRYPOINT exec top -b

如果在 ENTRYPOINT 忘記使用 exec 選項，則可以使用 CMD 補上:

FROM ubuntu
ENTRYPOINT top -b
CMD --ignored-param1 # --ignored-param2 ... --ignored-param3 ... 依此類推

7.9 VOLUME

VOLUME ["/data"]

創建一個可以從本地主機或其他容器掛載的掛載點，後續具體介紹。

7.10 USER

USER daemon

指定運行容器時的用戶名或 UID，後續的 RUN 、 CMD 、 ENTRYPOINT 也會使用指定用戶。

7.11 WORKDIR

WORKDIR /path/to/workdir

爲後續的 RUN 、 CMD 、 ENTRYPOINT 指令配置工作目錄。可以使用多個 WORKDIR 指令，後續命令如果參數是相對路徑，則會基於之前命令指定的路徑。

WORKDIR /a
WORKDIR b
WORKDIR c
RUN pwd

最終路徑是 /a/b/c

WORKDIR 指令可以在 ENV 設置變量之後調用環境變量:

ENV DIRPATH /path
WORKDIR $DIRPATH/$DIRNAME

最終路徑則爲 /path/$DIRNAME。

7.12 ONBUILD

ONBUILD [INSTRUCTION]

配置當所創建的鏡像作爲其它新創建鏡像的基礎鏡像時，所執行的操作指令。

例如，Dockerfile 使用如下的內容創建了鏡像 image-A：

[...]
ONBUILD ADD . /app/src
ONBUILD RUN /usr/local/bin/python-build --dir /app/src
[...]

如果基於 image-A 創建新的鏡像時，新的 Dockerfile 中使用 FROM image-A 指定基礎鏡像時，會自動執行 ONBUILD 指令內容，等價於在後面添加了兩條指令。

# Automatically run the following
ADD . /app/src
RUN /usr/local/bin/python-build --dir /app/src

使用 ONBUILD 指令的鏡像，推薦在標籤中註明，例如 ruby:1.9-onbuild。

7.13 Dockerfile Examples

# Nginx
#
# VERSION               0.0.1

FROM      ubuntu
MAINTAINER Victor Vieux <victor@docker.com>

RUN apt-get update && apt-get install -y inotify-tools nginx apache2 openssh-server

# Firefox over VNC
#
# VERSION               0.3

FROM ubuntu

# Install vnc, xvfb in order to create a 'fake' display and firefox
RUN apt-get update && apt-get install -y x11vnc xvfb firefox
RUN mkdir ~/.vnc
# Setup a password
RUN x11vnc -storepasswd 1234 ~/.vnc/passwd
# Autostart firefox (might not be the best way, but it does the trick)
RUN bash -c 'echo "firefox" >> /.bashrc'

EXPOSE 5900
CMD    ["x11vnc", "-forever", "-usepw", "-create"]

# Multiple images example
#
# VERSION               0.1

FROM ubuntu
RUN echo foo > bar
# Will output something like ===> 907ad6c2736f

FROM ubuntu
RUN echo moo > oink
# Will output something like ===> 695d7793cbe4

# You᾿ll now have two images, 907ad6c2736f with /bar, and 695d7793cbe4 with
# /oink.

7.14 docker build

$ docker build --help

Usage: docker build [OPTIONS] PATH | URL | -

Build a new image from the source code at PATH

  --force-rm=false     Always remove intermediate containers, even after unsuccessful builds # 移除過渡容器，即使構建失敗
  --no-cache=false     Do not use cache when building the image                              # 不實用 cache
  -q, --quiet=false    Suppress the verbose output generated by the containers
  --rm=true            Remove intermediate containers after a successful build               # 構建成功後移除過渡層容器
  -t, --tag=""         Repository name (and optionally a tag) to be applied to the resulting image in case of success

參考文檔：Dockerfile Reference

7.15 dockerfile 最佳實踐

爲了在 docker build 過程中更快上傳和更加高效，應該使用一個 .dockerignore 文件用來排除構建鏡像時不需要的文件或目錄。例如, 除非 .git 在構建過程中需要用到，否則你應該將它添加到 .dockerignore 文件中，這樣可以節省很多時間。

爲了降低複雜性、依賴性、文件大小以及構建時間，應該避免安裝額外的或不必要的包。例如，不需要在一個數據庫鏡像中安裝一個文本編輯器。

在大多數情況下，一個容器應該只單獨跑一個程序。解耦應用到多個容器使其更容易橫向擴展和重用。如果一個服務依賴另外一個服務，可以參考 Linking Containers Together。

我們知道每執行一個指令，都會有一次鏡像的提交，鏡像是分層的結構，對於 Dockerfile ，應該找到可讀性和最小化層之間的平衡。

如果可能，通過字母順序來排序，這樣可以避免安裝包的重複並且更容易更新列表，另外可讀性也會更強，添加一個空行使用 \ 換行:

RUN apt-get update && apt-get install -y \
  bzr \
  cvs \
  git \
  mercurial \
  subversion

鏡像構建過程中會按照 Dockerfile 的順序依次執行，每執行一次指令 Docker 會尋找是否有存在的鏡像緩存可複用，如果沒有則創建新的鏡像。如果不想使用緩存，則可以在 docker build 時添加 --no-cache=true 選項。

從基礎鏡像開始就已經在緩存中了，下一個指令會對比所有的子鏡像尋找是否執行相同的指令，如果沒有則緩存失效。在大多數情況下只對比 Dockerfile 指令和子鏡像就足夠了。 ADD 和 COPY 指令除外，執行 ADD 和 COPY 時存放到鏡像的文件也是需要檢查的，完成一個文件的校驗之後再利用這個校驗在緩存中查找，如果檢測的文件改變則緩存失效。 RUN apt-get -y update 命令只檢查命令是否匹配，如果匹配就不會再執行更新了。

爲了有效地利用緩存，你需要保持你的 Dockerfile 一致，並且儘量在末尾修改。

7.15.1 Dockerfile 指令

不建議 RUN apt-get update 獨立成行，否則如果後續包有更新，那麼也不會再執行更新

避免使用 RUN apt-get upgrade 或者 dist-upgrade ，很多必要的包在一個非 privileged 權限的容器裏是無法升級的。如果知道某個包更新，使用 apt-get install -y xxx

標準寫法：RUN apt-get update && apt-get install -y package-bar package-foo

例子:

RUN apt-get update && apt-get install -y \
    aufs-tools \
    automake \
    btrfs-tools \
    build-essential \
    curl \
    dpkg-sig \
    git \
    iptables \
    libapparmor-dev \
    libcap-dev \
    libsqlite3-dev \
    lxc=1.0* \
    mercurial \
    parallel \
    reprepro \
    ruby1.9.1 \
    ruby1.9.1-dev \
    s3cmd=1.1.0*

ENV 也可以這樣定義變量：

ENV PG_MAJOR 9.3
ENV PG_VERSION 9.3.4
RUN curl -SL http://example.com/postgres-$PG_VERSION.tar.xz | tar -xJC /usr/src/postgress && …
ENV PATH /usr/local/postgres-$PG_MAJOR/bin:$PATH

如不推薦這種方式:

ADD http://example.com/big.tar.xz /usr/src/things/
RUN tar -xJf /usr/src/things/big.tar.xz -C /usr/src/things
RUN make -C /usr/src/things all

推薦使用 curl 或者 wget 替換，使用如下方式:

RUN mkdir -p /usr/src/things \
    && curl -SL http://example.com/big.tar.gz \
    | tar -xJC /usr/src/things \
    && make -C /usr/src/things all

如果不需要添加 tar 文件，推薦使用 COPY 。

參考文檔:

8 容器數據管理

docker 管理數據的方式有兩種：

8.1 數據卷

數據卷是一個或多個容器專門指定繞過 Union File System 的目錄，爲持續性或共享數據提供一些有用的功能：

8.1.1 添加一個數據卷

你可以使用 -v 選項添加一個數據卷，或者可以使用多次 -v 選項爲一個 docker 容器運行掛載多個數據卷。

$ sudo docker run --name data -v /data -t -i ubuntu:14.04 /bin/bash
# 創建數據卷綁定到到新建容器，新建容器中會創建 /data 數據卷
bash-4.1# ls -ld /data/
drwxr-xr-x 2 root root 4096 Jul 23 06:59 /data/
bash-4.1# df -Th
Filesystem    Type    Size  Used Avail Use% Mounted on
... ...
              ext4     91G  4.6G   82G   6% /data

創建的數據卷可以通過 docker inspect 獲取宿主機對應路徑

$ sudo docker inspect data
... ...
    "Volumes": {
        "/data": "/var/lib/docker/vfs/dir/151de401d268226f96d824fdf444e77a4500aed74c495de5980c807a2ffb7ea9"
    }, # 可以看到創建的數據卷宿主機路徑
... ...

或者直接指定獲取

$ sudo docker inspect --format="{% raw %}{{ .Volumes }}{% endraw %}" data
map[/data: /var/lib/docker/vfs/dir/151de401d268226f96d824fdf444e77a4500aed74c495de5980c807a2ffb7ea9]
8.1.2 掛載宿主機目錄爲一個數據卷

-v 選項除了可以創建卷，也可以掛載當前主機的一個目錄到容器中。

$ sudo docker run --name web -v /source/:/web -t -i ubuntu:14.04 /bin/bash
bash-4.1# ls -ld /web/
drwxr-xr-x 2 root root 4096 Jul 23 06:59 /web/
bash-4.1# df -Th
... ...
              ext4     91G  4.6G   82G   6% /web
bash-4.1# exit

默認掛載卷是可讀寫的，可以在掛載時指定只讀

$ sudo docker run --rm --name test -v /source/:/test:ro -t -i ubuntu:14.04 /bin/bash

8.2 創建和掛載一個數據卷容器

如果你有一些持久性的數據並且想在容器間共享，或者想用在非持久性的容器上，最好的方法是創建一個數據卷容器，然後從此容器上掛載數據。

創建數據卷容器

$ sudo docker run -t -i -d -v /test --name test ubuntu:14.04 echo hello

使用 --volumes-from 選項在另一個容器中掛載 /test 卷。不管 test 容器是否運行，其它容器都可以掛載該容器數據卷，當然如果只是單獨的數據卷是沒必要運行容器的。

$ sudo docker run -t -i -d --volumes-from test --name test1 ubuntu:14.04 /bin/bash

添加另一個容器

$ sudo docker run -t -i -d --volumes-from test --name test2 ubuntu:14.04 /bin/bash

也可以繼承其它掛載有 /test 卷的容器

$ sudo docker run -t -i -d --volumes-from test1 --name test3 ubuntu:14.04 /bin/bash

8.3 備份、恢復或遷移數據卷

8.3.1 備份
$ sudo docker run --rm --volumes-from test -v $(pwd):/backup ubuntu:14.04 tar cvf /backup/test.tar /test
tar: Removing leading `/' from member names
/test/
/test/b
/test/d
/test/c
/test/a

啓動一個新的容器並且從 test 容器中掛載卷，然後掛載當前目錄到容器中爲 backup，並備份 test 卷中所有的數據爲 test.tar，執行完成之後刪除容器 --rm ，此時備份就在當前的目錄下，名爲 test.tar 。

$ ls        # 宿主機當前目錄下產生了 test 卷的備份文件 test.tar
test.tar
8.3.2 恢復

你可以恢復給同一個容器或者另外的容器，新建容器並解壓備份文件到新的容器數據卷

$ sudo docker run -t -i -d -v /test --name test4 ubuntu:14.04  /bin/bash
$ sudo docker run --rm --volumes-from test4 -v $(pwd):/backup ubuntu:14.04 tar xvf /backup/test.tar -C /
# 恢復之前的文件到新建卷中，執行完後自動刪除容器
test/
test/b
test/d
test/c
test/a

8.4 刪除 Volumes

Volume 只有在下列情況下才能被刪除：

否則，會在 /var/lib/docker/vfs/dir 目錄中遺留很多不明目錄。

參考文檔：

9 鏈接容器

docker 允許把多個容器連接在一起，相互交互信息。docker 鏈接會創建一種容器父子級別的關係，其中父容器可以看到其子容器提供的信息。

9.1 容器命名

在創建容器時，如果不指定容器的名字，則默認會自動創建一個名字，這裏推薦給容器命名：

可以通過 --name 選項給容器自定義命名：

$ sudo docker run -d -t -i --name test ubuntu:14.04 bash
$ sudo docker  inspect --format="{% raw %}{{ .Nmae }}{% endraw %}" test
/test

注：容器名稱必須唯一，即你只能命名一個叫 test 的容器。如果你想複用容器名，則必須在創建新的容器前通過 docker rm 刪除舊的容器或者創建容器時添加 --rm 選項。

9.2 鏈接容器

鏈接允許容器間安全通信，使用 --link 選項創建鏈接。

$ sudo docker run -d --name db training/postgres

基於 training/postgres 鏡像創建一個名爲 db 的容器，然後下面創建一個叫做 web 的容器，並且將它與 db 相互連接在一起

$ sudo docker run -d -P --name web --link db:db training/webapp python app.py

--link:alias 選項指定鏈接到的容器。

查看 web 容器的鏈接關係:

$ sudo docker inspect -f "{% raw %}{{ .HostConfig.Links }}{% endraw %}" web
[/db:/web/db]

可以看到 web 容器被鏈接到 db 容器爲 /web/db ，這允許 web 容器訪問 db 容器的信息。

容器之間的鏈接實際做了什麼？一個鏈接允許一個源容器提供信息訪問給一個接收容器。在本例中，web 容器作爲一個接收者，允許訪問源容器 db 的相關服務信息。Docker 創建了一個安全隧道而不需要對外公開任何端口給外部容器，因此不需要在創建容器的時候添加 -p 或 -P 指定對外公開的端口，這也是鏈接容器的最大好處，本例爲 PostgreSQL 數據庫。

Docker 主要通過以下兩個方式提供連接信息給接收容器：

9.2.1 環境變量

當兩個容器鏈接，Docker 會在目標容器上設置一些環境變量，以獲取源容器的相關信息。

首先，Docker 會在每個通過 --link 選項指定別名的目標容器上設置一個_NAME 環境變量。如果一個名爲 web 的容器通過 --link db:webdb 被鏈接到一個名爲 db 的數據庫容器，那麼 web 容器上會設置一個環境變量爲 WEBDB_NAME=/web/webdb

以之前的爲例，Docker 還會設置端口變量:

$ sudo docker run --rm --name web2 --link db:db training/webapp env
. . .
DB_NAME=/web2/db
DB_PORT=tcp://172.17.0.5:5432
DB_PORT_5432_TCP=tcp://172.17.0.5:5432  # <name>_PORT_<port>_<protocol> 協議可以是 TCP 或 UDP
DB_PORT_5432_TCP_PROTO=tcp
DB_PORT_5432_TCP_PORT=5432
DB_PORT_5432_TCP_ADDR=172.17.0.5
. . .

注：這些環境變量只設置給容器中的第一個進程，類似一些守護進程 (如 sshd) 當他們派生 shells 時會清除這些變量

9.2.2 更新 /etc/hosts 文件

除了環境變量，Docker 會在目標容器上添加相關主機條目到 /etc/hosts 中，上例中就是 web 容器。

$ sudo docker run -t -i --rm --link db:db training/webapp /bin/bash
root@aed84ee21bde:/opt/webapp# cat /etc/hosts
172.17.0.7  aed84ee21bde
. . .
172.17.0.5  db

/etc/host 文件在源容器被重啓之後會自動更新 IP 地址，而環境變量中的 IP 地址則不會自動更新的。

10 構建私有庫

Docker 官方提供了 docker registry 的構建方法 docker-registry

10.1 快速構建

快速構建 docker registry 通過以下兩步:

這種方法通過 Docker hub 使用官方鏡像 official image from the Docker hub

10.2 不使用容器構建 registry

10.2.1 安裝必要的軟件
$ sudo apt-get install build-essential python-dev libevent-dev python-pip liblzma-dev
10.2.2 配置 docker-registry
sudo pip install docker-registry

或者使用 github clone 手動安裝

$ git clone https://github.com/dotcloud/docker-registry.git
$ cd docker-registry/
$ cp config/config_sample.yml config/config.yml
$ mkdir /data/registry -p
$ pip install .
10.2.3 運行
docker-registry
10.2.4 高級啓動方式 「不推薦」

使用 gunicorn 控制:

gunicorn -c contrib/gunicorn_config.py docker_registry.wsgi:application

或者對外監聽開放

gunicorn --access-logfile - --error-logfile - -k gevent -b 0.0.0.0:5000 -w 4 --max-requests 100 docker_registry.wsgi:application

10.3 提交指定容器到私有庫

$ docker tag ubuntu:12.04 私有庫IP:5000/ubuntu:12.04
$ docker push 私有庫IP:5000/ubuntu

更多的配置選項推薦閱讀官方文檔:

原文鏈接：https://blog.opskumu.com/docker.html
作者：Kumu

本文由 Readfog 進行 AMP 轉碼，版權歸原作者所有。
來源：https://mp.weixin.qq.com/s/7x34iOSY-9iYQpkLA3YXtg

猜你喜歡