docker總結

2019-11-06 08:48:19

字體：大中小

來源：轉載

供稿：網友

一、常用命令

docker 命令幫助

Commands:

attach 當前 shell 下 attach 連接指定運行鏡像build 通過 Dockerfile 定制鏡像commit 提交當前容器為新的鏡像cp 從容器中拷貝指定文件或者目錄到宿主機中create 創建一個新的容器，同 run，但不啟動容器diff 查看 docker 容器變化events 從 docker 服務獲取容器實時事件exec 在已存在的容器上運行命令export 導出容器的內容流作為一個 tar 歸檔文件[對應 import ]history 展示一個鏡像形成歷史images 列出系統當前鏡像import 從tar包中的內容創建一個新的文件系統映像[對應 export]info 顯示系統相關信息inspect 查看容器詳細信息kill kill 指定 docker 容器load 從一個 tar 包中加載一個鏡像[對應 save]login 注冊或者登陸一個 docker 源服務器logout 從當前 Docker registry 退出logs 輸出當前容器日志信息port 查看映射端口對應的容器內部源端口pause 暫停容器ps 列出容器列表pull 從docker鏡像源服務器拉取指定鏡像或者庫鏡像push 推送指定鏡像或者庫鏡像至docker源服務器restart 重啟運行的容器rm 移除一個或者多個容器rmi 移除一個或多個鏡像[無容器使用該鏡像才可刪除，否則需刪除相關容器才可繼續或-f 強制刪除] run 創建一個新的容器并運行一個命令save 保存一個鏡像為一個 tar 包[對應 load]search 在 docker hub 中搜索鏡像start 啟動容器stop 停止容器tag 給源中鏡像打標簽top 查看容器中運行的進程信息unpaus 取消暫停容器version 查看 docker 版本號wait 截取容器停止時的退出狀態值

二、Docker 常用命令用法

2.1 Search images

$ sudo docker search Ubuntu

示例：

$ sudo docker search --help$ sudo docker search -s 100 ubuntu

查找 star 數至少為 100 的鏡像，找出只有官方鏡像 start 數超過 100，默認不加 s 選項找出所有相關 ubuntu鏡像

2.2 Pull & push images

# 獲取 ubuntu 官方鏡像 $ sudo docker pull ubuntu # push 推送指定鏡像 $ sudo docker push# 查看當前鏡像列表$ sudo docker images

示例:

$ sudo docker pull ubuntu # 下載方 ubuntu docker 鏡像，默官認下載所有 ubuntu 官方庫鏡像 $ sudo docker pull ubuntu:14.04 # 下載指定版本 ubuntu 官方鏡像 $ sudo docker push 192.168.0.100:5000/ubuntu # 推送鏡像庫到私有源[可注冊 docker 官方賬戶，推送到官方自有賬戶] $ sudo docker push 192.168.0.100:5000/ubuntu:14.04 # 推送指定鏡像到私有源 $ sudo docker images # 顯示當前系統鏡像，不包括過渡層鏡像 $ sudo docker images –a# 顯示當前系統所有鏡像，包括過渡層鏡像$ sudo docker images ubuntu # 顯示當前系統 docker ubuntu 庫中的所有鏡像

2.3 Running an interactive shell

$ sudo docker run -i -t ubuntu:14.04 /bin/bashdocker run - 運行一個容器-t - 分配一個（偽）tty (link is external)-i - 交互模式 (so we can interact with it)ubuntu:14.04 - 使用 ubuntu 基礎鏡像 14.04/bin/bash - 運行命令 bash shell

ubuntu 會有多個版本，通過指定 tag 來啟動特定的版本[image]:[tag]

$ sudo docker ps # 查看當前運行的容器, ps -a 列出當前系統所有的容器

2.4 docker info

$ sudo docker info Containers: 1 # 容器個數 Images: 22 # 鏡像個數 Storage Driver: devicemapper # 存儲驅動 Pool Name: docker-8:17-3221225728-pool

2.5 docker rmi

刪除一個或者多個鏡像$ sudo docker rmi --help-f, --force=false # 強制移除鏡像不管是否有容器使用該鏡像 --no-PRune=false# 不要刪除未標記的父鏡像

2.6 docker run

$ sudo docker run --help-a, --attach=[] # 附加到stdin, stdout or stderr.-c, --cpu-shares=0 # 設置 cpu 使用權重 --cap-add=[] # 添加linux功能--cap-drop=[] # 刪除Linux功能--cidfile="" # 把容器 id 寫入到指定文件 --cpuset="" # cpu 綁定（0-3），（0，1）-d, --detach=false # 后臺運行容器 --device=[] # 將主機裝置添加到容器(e.g. --device=/dev/sdc:/dev/xvdc) --dns=[] # 設置 dns --dns-search=[] # 設置 dns 域搜索 -e,--env=[] # 定義環境變量 --entrypoint="" # 覆蓋鏡像的默認環境變量--env-file=[] # 從指定文件讀取變量值 --expose=[] # 指定對外提供服務端口 -h, --hostname="" # 設置容器主機名 -i, --interactive=false # 保持標準輸出開啟即使沒attached --link=[] # 添加鏈接到另外一個容器 --lxc-conf=[] # 添加自定義 lxc 選項（eg:--lxc- conf="lxc.cgroup.cpuset.cpus = 0,1" ）-m, --memory="" # 內存限制 --name="" # 設置容器名 --net="bridge" # 設置容器網絡模式 'bridge': # 為docker橋上的容器創建一個新的網絡棧 'none': # 容器沒有網絡 'container:<name|id>':# 重用另一個網絡棧 'host': #使用容器內的主機網絡堆棧. Note: # 主機模式給予容器對本地系統服務（例如D-bus）的完全訪問，因此被認為是不安全的-P, --publish-all=false # 自動映射容器對外提供服務的端口 -p, --publish=[] # 指定端口映射 --privileged=false # 提供更多的權限給容器 --restart="" # 重新啟動策略以在容器退出時應用(no, on-failure[:max-retry], always)--rm=false # 如果容器退出自動移除和 -d 選項沖突--security-opt=[] # 安全選項--sig-proxy=true # 收到過程中的代理信號,子進程的退出信號不是代理-t, --tty=false # 分配偽終端 -u, --user="" # 指定運行容器的用戶 uid 或者用戶名 -v, --volume=[] # 掛載卷(從主機: -v /host:/container, 從docker: -v /container) --volumes-from=[] # 從指定容器掛載卷 -w, --workdir="" # 指定容器工作目錄

示例:

$ sudo docker images ubuntu$ sudo docker run -t -i -c 100 -m 512MB -h test1 –d --name="docker_test1" ubuntu /bin/bash # 創建一個 cpu 優先級為 100，內存限制 512MB，主機名為 test1，名為 docker_test1 后臺運行 bash 的容器 a424ca613c9f2247cd3ede95adfbaf8d28400cbcb1d5f9b69a7b56f97b2b52e5 $ sudo docker ps pwd /exit exit

2.7 docker start|stop|kill…

docker start CONTAINER [CONTAINER...]# 運行一個或多個停止的容器docker stop CONTAINER [CONTAINER...]# 停掉一個或多個運行的容器-t選項可指定超時時間docker kill [OPTIONS] CONTAINER [CONTAINER...]# 默認 kill 發送 SIGKILL 信號-s可以指定發送 kill 信號類型docker restart [OPTIONS] CONTAINER [CONTAINER...]# 重啟一個或多個運行的容器-t選項可指定超時時間docker pause CONTAINER# 暫停一個容器，方便 commitdocker unpause CONTAINER# 繼續暫停的容器docker rm [OPTIONS] CONTAINER [CONTAINER...]# 移除一個或多個容器docker commit [OPTIONS] CONTAINER [REPOSITORY[:TAG]]# 提交指定容器為鏡像 -a, --author="" # 作者 -m, --message="" # 提交信息 -p, --pause=true # 默認 commit 是暫停狀態docker inspect CONTAINER|IMAGE [CONTAINER|IMAGE...]# 查看容器或者鏡像的詳細信息docker logs CONTAINER# 輸出指定容器日志信息 -f, --follow=false # 跟蹤日志輸出，類似 tail -f -t, --timestamps=false # 顯示時間戳 --tail="all" # 在日志結尾輸出指定的行數(默認為所有日志)

2.8 docker exec

docker exec --help-d, --detach=false #后臺運行 -i, --interactive=false #STDIN 保持開放-t, --tty=false # 分配pseudo-TTY

為了簡化調試，可以使用docker exec命令通過 Docker API 和 CLI 在運行的容器上運行程序

$ docker exec -it ubuntu_bash bash# 在容器 ubuntu_bash 中創建一個新的 Bash 會話$ docker create -t -i fedora bash# 創建了一個可寫的容器層 (并且打印出容器 ID)，但是并不運行它，可以使用以下命令運行該容器：$ docker start -a -i 6d8af538ec5# 通過--security-opt選項，運行容器時用戶可自定義 SELinux 和 AppArmor 卷標和配置。$ docker run --security-opt label:type:svirt_apache -i -t centos / bash# 只允許容器監聽在 Apache 端口，這個選項的好處是用戶不需要運行 docker 的時候指定--privileged選項，降低安全風險。

2.9 Docker 端口映射

1. 自動映射端口

-P使用時需要指定--expose選項，指定需要對外提供服務的端口$ sudo docker run -t -P --expose 22 --name server ubuntu:14.04

使用docker run -P自動綁定所有對外提供服務的容器端口，映射的端口將會從沒有使用的端口池中 (49000..49900) 自動選擇，你可以通過docker ps、docker inspect <container_id>或者docker port <container_id> <port>確定具體的綁定信息

2. 綁定端口到指定接口

$ sudo docker run -p [([<host_interface>:[host_port]])|(<host_port>):]<container_port>[/udp] <image> <cmd># 默認不指定綁定 ip 則監聽所有網絡接口。1) 綁定 TCP 端口 # 將容器的TCP端口8080綁定到主機的127.0.0.1上的TCP端口80 $ sudo docker run -p 127.0.0.1:80:8080 <image> <cmd> # 將容器的TCP端口8080綁定到主機的127.0.0.1上的動態分配的TCP端口 $ sudo docker run -p 127.0.0.1::8080 <image> <cmd> # 將容器的TCP端口8080綁定到主機所有可用接口上的TCP端口80. $ sudo docker run -p 80:8080 <image> <cmd> # 將容器的TCP端口8080綁定到所有可用接口上的動態分配的TCP端口 $ sudo docker run -p 8080 <image> <cmd>2) 綁定 UDP 端口 # 將容器的UDP端口5353綁定到主機的127.0.0.1上的UDP端口53 $ sudo docker run -p 127.0.0.1:53:5353/udp <image> <cmd>

三、命名空間「Namespaces」

了解namespaces

3.1 pid namespace

不同用戶的進程就是通過 pid namespace 隔離開的，且不同 namespace 中可以有相同 PID。具有以下特征:

每個 namespace 中的 pid 是有自己的 pid=1 的進程(類似 /sbin/init 進程)每個 namespace中的進程只能影響自己的同一個 namespace 或子 namespace 中的進程因為 /proc 包含正在運行的進程，因此在 container 中的 pseudo-filesystem 的 /proc 目錄只能看到自己 namespace 中的進程因為 namespace 允許嵌套，父 namespace 可以影響子 namespace 的進程，所以子 namespace 的進程可以在父 namespace 中看到，但是具有不同的pid

3.2 mnt namespace

類似 chroot，將一個進程放到一個特定的目錄執行。mnt namespace 允許不同 namespace 的進程看到的文件結構不同，這樣每個 namespace 中的進程所看到的文件目錄就被隔離開了。同 chroot 不同，每個 namespace 中的 Container 在 /proc/mounts 的信息只包含所在 namespace 的 mount point。

3.3 net namespace

網絡隔離是通過 net namespace 實現的，每個 net namespace 有獨立的 network devices, IP addresses, IP routing tables, /proc/net 目錄。這樣每個 container 的網絡就能隔離開來。 docker 默認采用 veth 的方式將 container 中的虛擬網卡同 host 上的一個 docker bridge 連接在一起。

3.4 uts namespace

UTS (“UNIX Time-sharing System”) namespace 允許每個 container 擁有獨立的 hostname 和 domain name, 使其在網絡上可以被視作一個獨立的節點而非 Host 上的一個進程。

3.5 ipc namespace

container 中進程交互還是采用 Linux 常見的進程間交互方法 (interprocess communication - IPC), 包括常見的信號量、消息隊列和共享內存。然而同 VM 不同，container 的進程間交互實際上還是 host 上具有相同 pid namespace 中的進程間交互，因此需要在IPC資源申請時加入 namespace 信息 - 每個 IPC 資源有一個唯一的 32bit ID。

3.6 user namespace

每個 container 可以有不同的 user 和 group id, 也就是說可以以 container 內部的用戶在 container 內部執行程序而非 Host 上的用戶。

四、Docker 四種網絡模式

docker run 創建 Docker 容器時，可以用 –net 選項指定容器的網絡模式，Docker 有以下 4 種網絡模式：

host 模式，使用 --net=host 指定。container 模式，使用 --net=container:NAMEorID 指定。none 模式，使用 --net=none指定。bridge 模式，使用 --net=bridge 指定，默認設置。

4.1 host模式

如果啟動容器的時候使用 host 模式，那么這個容器將不會獲得一個獨立的 Network Namespace，而是和宿主機共用一個 Network Namespace。容器將不會虛擬出自己的網卡，配置自己的 IP 等，而是使用宿主機的 IP 和端口。

例如，在 192.168.15.216/24 的機器上用 host 模式啟動一個含有 web 應用的 Docker 容器，監聽 tcp 80 端口。當在容器中執行任何類似ifconfig 命令查看網絡環境時，看到的都是宿主機上的信息。而外界訪問容器中的應用，則直接使用 192.168.15.216:80 即可，不用任何 NAT 轉換，就如直接跑在宿主機中一樣。但是，容器的其他方面，如文件系統、進程列表等還是和宿主機隔離的。如digits的訪問方式

4.2 container 模式

這個模式指定新創建的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新創建的容器不會創建自己的網卡，配置自己的 IP，而是和一個指定的容器共享 IP、端口范圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過 lo 網卡設備通信。（lo 本地環路接口參考鏈接）

4.3 none模式

這個模式和前兩個不同。在這種模式下，Docker 容器擁有自己的 Network Namespace，但是，并不為 Docker容器進行任何網絡配置。也就是說，這個 Docker 容器沒有網卡、IP、路由等信息。需要我們自己為 Docker 容器添加網卡、配置 IP 等。

4.4 bridge模式

bridge 模式是 Docker 默認的網絡設置，此模式會為每一個容器分配 Network Namespace、設置 IP 等，并將一個主機上的 Docker 容器連接到一個虛擬網橋上。當 Docker server 啟動時，會在主機上創建一個名為 docker0 的虛擬網橋，此主機上啟動的 Docker 容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。

接下來就要為容器分配 IP 了，Docker 會從 RFC1918 所定義的私有 IP 網段中，選擇一個和宿主機不同的IP地址和子網分配給 docker0，連接到 docker0 的容器就從這個子網中選擇一個未占用的 IP 使用。如一般 Docker 會使用 172.17.0.0/16 這個網段，并將 172.17.42.1/16 分配給 docker0 網橋（在主機上使用 ifconfig 命令是可以看到 docker0 的，可以認為它是網橋的管理接口，在宿主機上作為一塊虛擬網卡使用）參考鏈接

4.5 網絡常用命令

1. 列出當前主機網橋

$ sudo brctl show # brctl 工具依賴 bridge-utils 軟件包

2. 查看當前 `docker0 ip`

$ sudo ifconfig docker0在容器運行時，每個容器都會分配一個特定的虛擬機口并橋接到 docker0。每個容器都會配置同 docker0 ip 相同網段的專用 ip 地址，docker0 的 IP 地址被用于所有容器的默認網關。

3. 運行一個容器

$ sudo docker run -t -i -d ubuntu /bin/bash$ sudo brctl show以上, docker0 扮演著容器的虛擬接口橋接的角色。

4. 使用特定范圍的 IP

Docker 會嘗試尋找沒有被主機使用的 ip 段，盡管它適用于大多數情況下，但是它不是萬能的，有時候我們還是需要對 ip 進一步規劃。Docker 允許你管理 docker0 橋接或者通過-b選項自定義橋接網卡，需要安裝bridge-utils軟件包。

基本步驟如下： ensure Docker is stopped # 確保 docker 的進程是停止的 create your own bridge (bridge0 for example) # 創建自定義網橋 assign a specific IP to this bridge # 給網橋分配特定的 ip start Docker with the -b=bridge0 parameter # 以 -b 的方式指定網橋

示例:

# Stopping Docker and removing docker0 $ sudo service docker stop $ sudo ip link set dev docker0 down $ sudo brctl delbr docker0 # Create our own bridge$ sudo brctl addbr bridge0 $ sudo ip addr add 192.168.5.1/24 dev bridge0 $ sudo ip link set dev bridge0 up # Confirming that our bridge is up and running $ ip addr show bridge0# Tell Docker about it and restart (on Ubuntu) $ echo 'DOCKER_OPTS="-b=bridge0"' >> /etc/default/docker $ sudo service docker start

4.6 不同主機間容器通信

不同容器之間的通信可以借助于 pipework 這個工具：$ git clone https://github.com/jpetazzo/pipework.git$ sudo cp -rp pipework/pipework /usr/local/bin/# 安裝相應依賴軟件$ sudo apt-get install iputils-arping bridge-utils -y# brctl showbridge name bridge id STP enabled interfacesbr0 8000.000c291412cd no eth0docker0 8000.56847afe9799 no vetheb48029

可以刪除 docker0，直接把 docker 的橋接指定為 br0。也可以保留使用默認的配置，這樣單主機容器之間的通信可以通過 docker0，而跨主機不同容器之間通過 pipework 新建 docker 容器的網卡橋接到 br0，這樣跨主機容器之間就可以通信了。

ubuntu$ sudo service docker stop$ sudo ip link set dev docker0 down$ sudo brctl delbr docker0$ echo 'DOCKER_OPTS="-b=br0"' >> /etc/default/docker$ sudo service docker startCentOS 7/RHEL 7$ sudo systemctl stop docker$ sudo ip link set dev docker0 down$ sudo brctl delbr docker0$ cat /etc/sysconfig/docker | grep 'OPTIONS='OPTIONS=--selinux-enabled -b=br0 -H fd://$ sudo systemctl start docker

不同容器之間的通信可以借助于 pipework 這個工具給 docker 容器新建虛擬網卡并綁定 IP 橋接到 br0

$ git clone https://github.com/jpetazzo/pipework.git$ sudo cp -rp pipework/pipework /usr/local/bin/$ pipework

如果刪除了默認的 docker0 橋接，把 docker 默認橋接指定到了 br0，則最好在創建容器的時候加上--net=none，防止自動分配的 IP 在局域網中有沖突。

示例:

$ sudo docker run --rm -ti --net=none ubuntu:14.04 /bin/bash$# Ctrl-P + Ctrl-Q 回到宿主機 shell，容器 detach 狀態$ sudo docker psCONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMESa46657528059 ubuntu:14.04 "/bin/bash" 4 minutes ago Up 4 minutes hungry_lalande$ sudo pipework br0 -i eth0 a46657528059 192.168.115.10/24@192.168.115.2 # 默認不指定網卡設備名，則默認添加為 eth1# 另外 pipework 不能添加靜態路由，如果有需求則可以在 run 的時候加上 --privileged=true 權限在容器中手動添加，# 但這種安全性有缺陷，可以通過 ip netns 操作$ sudo docker attach a46657528059$ ifconfig eth0eth0 Link encap:Ethernet HWaddr 86:b6:6b:e8:2e:4d inet addr:192.168.115.10 Bcast:0.0.0.0 Mask:255.255.255.0 inet6 addr: fe80::84b6:6bff:fee8:2e4d/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:8 errors:0 dropped:0 overruns:0 frame:0 TX packets:9 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:648 (648.0 B) TX bytes:690 (690.0 B)$ route -nKernel IP routing tableDestination Gateway Genmask Flags Metric Ref Use Iface0.0.0.0 192.168.115.2 0.0.0.0 UG 0 0 0 eth0192.168.115.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0使用ip netns添加靜態路由，避免創建容器使用--privileged=true選項造成一些不必要的安全問題：$ docker inspect --format="{{ .State.Pid }}" a46657528059 # 獲取指定容器 pid6350$ sudo ln -s /proc/6350/ns/net /var/run/netns/6350$ sudo ip netns exec 6350 ip route add 192.168.0.0/16 dev eth0 via 192.168.115.2$ sudo ip netns exec 6350 ip route # 添加成功192.168.0.0/16 via 192.168.115.2 dev eth0

[參考鏈接]

1、pipework為docker容器添加IP 2、pipework官方文檔 3、pipework源碼解讀與實踐

五、Dockerfile

Docker 可以通過 Dockerfile 的內容來自動構建鏡像。Dockerfile 是一個包含創建鏡像所有命令的文本文件，通過docker build命令可以根據 Dockerfile 的內容構建鏡像，在介紹如何構建之前先介紹下Dockerfile 的基本語法結構。

Dockerfile 有以下指令選項:

FROMMAINTAINERRUNCMDEXPOSEENVADDCOPYENTRYPOINTVOLUMEUSERWORKDIRONBUILD

5.1 FROM

用法:

FROM <image>

* FROM指定構建鏡像的基礎源鏡像，如果本地沒有指定的鏡像，則會自動從 Docker 的公共庫 pull 鏡像下來。 * FROM必須是 Dockerfile 中非注釋行的第一個指令，即一個 Dockerfile 從FROM語句開始。 * FROM可以在一個 Dockerfile 中出現多次，如果有需求在一個 Dockerfile 中創建多個鏡像。 * 如果FROM語句沒有指定鏡像標簽，則默認使用latest標簽。

5.2 MAINTAINER

用法:

MAINTAINER <name>

指定創建鏡像的用戶

5.3 RUN

RUN 有兩種使用方式：

RUNRUN “executable”, “param1”, “param2”

每條RUN指令將在當前鏡像基礎上執行指定命令，并提交為新的鏡像，后續的RUN都在之前RUN提交后的鏡像為基礎，鏡像是分層的，可以通過一個鏡像的任何一個歷史提交點來創建，類似源碼的版本控制。

exec 方式會被解析為一個 JSON 數組，所以必須使用雙引號而不是單引號。 exec 方式不會調用一個命令 shell，所以也就不會繼承相應的變量，如：

RUN [ "echo", "$HOME" ]

這種方式是不會達到輸出 HOME 變量的，正確的方式應該是這樣的

RUN [ "sh", "-c", "echo", "$HOME" ]

RUN產生的緩存在下一次構建的時候是不會失效的，會被重用，可以使用--no-cache選項，即docker build --no-cache，如此便不會緩存

5.3 CMD

CMD有三種使用方式:

1. CMD "executable","param1","param2"2. CMD "param1","param2"3. CMD command param1 param2 (shell form)CMD指定在 Dockerfile 中只能使用一次，如果有多個，則只有最后一個會生效。CMD的目的是為了在啟動容器時提供一個默認的命令執行選項。如果用戶啟動容器時指定了運行的命令，則會覆蓋掉CMD指定的命令。CMD會在啟動容器的時候執行，build 時不執行，而RUN只是在構建鏡像的時候執行，后續鏡像構建完成之后，啟動容器就與RUN無關了。

5.4 EXPOSE

用法：

EXPOSE <port> [<port>...]

告訴 Docker 服務端容器對外映射的本地端口，需要在 docker run 的時候使用-p或者-P選項生效。

5.5 ENV

用法：

ENV <key> <value> # 只能設置一個變量ENV <key>=<value> ... # 允許一次設置多個變量

指定一個環節變量，會被后續RUN指令使用，并在容器運行時保留。

例子:

ENV myName="John Doe" myDog=Rex/ The/ Dog / myCat=fluffy

等同于

ENV myName John DoeENV myDog Rex The DogENV myCat fluffy

5.6 ADD

用法：

ADD <src>... <dest>ADD 復制本地主機文件、目錄或者遠程文件 URLS 從并且添加到容器指定路徑中。ADD hom* /mydir/ ADD hom?.txt /mydir/

* 路徑如果不存在，會自動創建對應目錄 * 路徑必須是 Dockerfile 所在路徑的相對路徑 * 如果是一個目錄，只會復制目錄下的內容，而目錄本身則不會被復制

5.7 COPY

用法：

COPY <src>... <dest>

COPY復制新文件或者目錄從并且添加到容器指定路徑中。用法同ADD，唯一的不同是不能指定遠程文件 URLS。

5.8 ENTRYPOINT

用法：

1. ENTRYPOINT "executable", "param1", "param2"2. ENTRYPOINT command param1 param2 (shell form)

配置容器啟動后執行的命令，并且不可被 docker run 提供的參數覆蓋，而CMD是可以被覆蓋的。如果需要覆蓋，則可以使用docker run --entrypoint選項。每個 Dockerfile 中只能有一個ENTRYPOINT，當指定多個時，只有最后一個生效。

示例:

通過ENTRYPOINT使用 exec form 方式設置穩定的默認命令和選項，而使用CMD添加默認之外經常被改動的選項。

FROM ubuntuENTRYPOINT ["top", "-b"]CMD ["-c"]

通過 Dockerfile 使用ENTRYPOINT展示前臺運行 Apache 服務

FROM debian:stableRUN apt-get update && apt-get install -y --force-yes apache2EXPOSE 80 443VOLUME ["/var/www", "/var/log/apache2", "/etc/apache2"]ENTRYPOINT ["/usr/sbin/apache2ctl", "-D", "FOREGROUND"]

示例:

使用Shell form ENTRYPOINT方式會在/bin/sh -c中執行，會忽略任何CMD或者docker run命令行選項，為了確保docker stop能夠停止長時間運行ENTRYPOINT的容器，確保執行的時候使用exec選項。

FROM ubuntuENTRYPOINT exec top -b

如果在ENTRYPOINT忘記使用exec選項，則可以使用CMD補上:

FROM ubuntuENTRYPOINT top -bCMD --ignored-param1 # --ignored-param2 ... --ignored-param3 ...

5.9 VOLUME

用法：

VOLUME ["/data"]

創建一個可以從本地主機或其他容器掛載的掛載點。

5.10 USER

用法：

USER daemon

指定運行容器時的用戶名或 UID，后續的RUN、CMD、ENTRYPOINT也會使用指定用戶。

5.11 WORKDIR

用法：

WORKDIR /path/to/workdir

為后續的RUN、CMD、ENTRYPOINT指令配置工作目錄。可以使用多個WORKDIR指令，后續命令如果參數是相對路徑，則會基于之前命令指定的路徑。

WORKDIR /aWORKDIR bWORKDIR cRUN pwd最終路徑是/a/b/c。

WORKDIR指令可以在ENV設置變量之后調用環境變量:

ENV DIRPATH /pathWORKDIR $DIRPATH/$DIRNAME最終路徑則為 /path/$DIRNAME。

5.12 ONBUILD

用法：

ONBUILD [INSTRUCTION]

配置當所創建的鏡像作為其它新創建鏡像的基礎鏡像時，所執行的操作指令。例如，Dockerfile 使用如下的內容創建了鏡像 image-A：

[...]ONBUILD ADD . /app/srcONBUILD RUN /usr/local/bin/python-build --dir /app/src[...]

如果基于 image-A 創建新的鏡像時，新的 Dockerfile 中使用 FROM image-A 指定基礎鏡像時，會自動執行 ONBUILD 指令內容，等價于在后面添加了兩條指令。

# Automatically run the followingADD . /app/srcRUN /usr/local/bin/python-build --dir /app/src

使用ONBUILD指令的鏡像，推薦在標簽中注明，例如 ruby:1.9-onbuild。

5.13 example

示例：

# Nginx## VERSION 0.0.1FROM ubuntuMAINTAINER Victor Vieux <victor@docker.com>RUN apt-get update && apt-get install -y inotify-tools nginx apache2 openssh-server# Firefox over VNC## VERSION 0.3FROM ubuntu# Install vnc, xvfb in order to create a 'fake' display and firefoxRUN apt-get update && apt-get install -y x11vnc xvfb firefoxRUN mkdir ~/.vnc# Setup a passWordRUN x11vnc -storepasswd 1234 ~/.vnc/passwd# Autostart firefox (might not be the best way, but it does the trick)RUN bash -c 'echo "firefox" >> /.bashrc'EXPOSE 5900CMD ["x11vnc", "-forever", "-usepw", "-create"]# Multiple images example## VERSION 0.1FROM ubuntuRUN echo foo > bar# Will output something like ===> 907ad6c2736fFROM ubuntuRUN echo moo > oink# Will output something like ===> 695d7793cbe4# You?ll now have two images, 907ad6c2736f with /bar, and 695d7793cbe4 with# /oink.

5.14 docker build

示例：

$ docker build --help#從源代碼中構建一個新的鏡像 --force-rm=false # 移除過渡容器，即使構建失敗 --no-cache=false # 構建鏡像不實用 cache -q, --quiet=false # 控制容器生成冗長的輸出 --rm=true # 構建成功后移除過渡層容器 -t, --tag="" # 在成功的情況下應用于生成的鏡像的存儲庫名稱（以及可選的標記）

5.15 dockerfile實踐

使用.dockerignore文件

為了在docker build過程中更快上傳和更加高效，應該使用一個.dockerignore文件用來排除構建鏡像時不需要的文件或目錄。例如,除非.Git在構建過程中需要用到，否則你應該將它添加到.dockerignore文件中，這樣可以節省很多時間。

避免安裝不必要的軟件包

為了降低復雜性、依賴性、文件大小以及構建時間，應該避免安裝額外的或不必要的包。例如，不需要在一個數據庫鏡像中安裝一個文本編輯器。

每個容器都跑一個進程

在大多數情況下，一個容器應該只單獨跑一個程序。解耦應用到多個容器使其更容易橫向擴展和重用。如果一個服務依賴另外一個服務。

最小化層

我們知道每執行一個指令，都會有一次鏡像的提交，鏡像是分層的結構，對于Dockerfile，應該找到可讀性和最小化層之間的平衡。

多行參數排序

如果可能，通過字母順序來排序，這樣可以避免安裝包的重復并且更容易更新列表，另外可讀性也會更強，添加一個空行使用/換行:

RUN apt-get update && apt-get install -y / bzr / cvs / git / mercurial / subversion

創建緩存

鏡像構建過程中會按照Dockerfile的順序依次執行，每執行一次指令 Docker 會尋找是否有存在的鏡像緩存可復用，如果沒有則創建新的鏡像。如果不想使用緩存，則可以在docker build時添加--no-cache=true選項。

5.16 Dockerfile 指令

FROM: 只要可能就使用官方鏡像庫作為基礎鏡像RUN: 為保持可讀性、方便理解、可維護性，把長或者復雜的RUN語句使用/分隔符分成多行

不建議RUN apt-get update獨立成行，否則如果后續包有更新，那么也不會再執行更新

避免使用RUN apt-get upgrade或者dist-upgrade，很多必要的包在一個非privileged權限的容器里是無法升級的。如果知道某個包更新，使用apt-get install -y xxx 標準寫法 RUN apt-get update && apt-get install -y package-bar package-foo

例子:

RUN apt-get update && apt-get install -y / aufs-tools / automake / btrfs-tools / build-essential / curl / dpkg-sig / git / iptables / libapparmor-dev / libcap-dev / libsqlite3-dev / lxc=1.0* / mercurial / parallel / reprepro / ruby1.9.1 / ruby1.9.1-dev / s3cmd=1.1.0*

* CMD: 推薦使用CMD [“executable”, “param1”, “param2”…]這種格式，CMD [“param”, “param”]則配合ENTRYPOINT使用 * EXPOSE: Dockerfile 指定要公開的端口，使用docker run時指定映射到宿主機的端口即可 * ENV: 為了使新的軟件更容易運行，可以使用ENV更新PATH變量。如ENV PATH /usr/local/nginx/bin:$PATH確保CMD ["nginx"]即可運行

ENV也可以這樣定義變量：

ENV PG_MAJOR 9.3ENV PG_VERSION 9.3.4RUN curl -SL http://example.com/postgres-$PG_VERSION.tar.xz | tar -xJC /usr/src/postgress && …ENV PATH /usr/local/postgres-$PG_MAJOR/bin:$PATHADDorCOPY:ADD比COPY多一些特性「tar 文件自動解包和支持遠程 URL」，不推薦添加遠程 URL

如不推薦這種方式:

ADD http://example.com/big.tar.xz /usr/src/things/RUN tar -xJf /usr/src/things/big.tar.xz -C /usr/src/thingsRUN make -C /usr/src/things all

推薦使用 curl 或者 wget 替換，使用如下方式:

RUN mkdir -p /usr/src/things / && curl -SL http://example.com/big.tar.gz / | tar -xJC /usr/src/things / && make -C /usr/src/things all

如果不需要添加 tar 文件，推薦使用COPY。

六、容器數據管理

docker管理數據的方式有兩種：

數據卷數據卷容器

6.1 數據卷

數據卷是一個或多個容器專門指定繞過Union File System的目錄，為持續性或共享數據提供一些有用的功能：

數據卷可以在容器間共享和重用數據卷數據改變是直接修改的數據卷數據改變不會被包括在容器中數據卷是持續性的，直到沒有容器使用它們

1. 添加一個數據卷：

你可以使用-v選項添加一個數據卷，或者可以使用多次-v選項為一個 docker 容器運行掛載多個數據卷。$ sudo docker run --name data -v /data -t -i ubuntu:14.04 /bin/bash # 創建數據卷綁定到到新建容器，新建容器中會創建 /data 數據卷 bash-4.1# ls -ld /data/drwxr-xr-x 2 root root 4096 Jul 23 06:59 /data/bash-4.1# df -ThFilesystem Type Size Used Avail Use% Mounted on... ... ext4 91G 4.6G 82G 6% /data

2. 創建的數據卷可以通過docker inspect獲取宿主機對應路徑

$ sudo docker inspect data... ... "Volumes": { "/data": "/var/lib/docker/vfs/dir/151de401d268226f96d824fdf444e77a4500aed74c495de5980c807a2ffb7ea9" }, # 可以看到創建的數據卷宿主機路徑 ... ...

3. 直接指定獲取

$ sudo docker inspect --format="{{ .Volumes }}" datamap[/data: /var/lib/docker/vfs/dir/151de401d268226f96d824fdf444e77a4500aed74c495de5980c807a2ffb7ea9]

4. 掛載宿主機目錄為一個數據卷

-v選項除了可以創建卷，也可以掛載當前主機的一個目錄到容器中。$ sudo docker run --name web -v /source/:/web -t -i ubuntu:14.04 /bin/bashbash-4.1# ls -ld /web/drwxr-xr-x 2 root root 4096 Jul 23 06:59 /web/bash-4.1# df -Th... ... ext4 91G 4.6G 82G 6% /webbash-4.1# exit

默認掛載卷是可讀寫的，可以在掛載時指定只讀

$ sudo docker run --rm --name test -v /source/:/test:ro -t -i ubuntu:14.04 /bin/bash

6.2 創建和掛載一個數據卷容器

創建數據卷容器$ sudo docker run -t -i -d -v /test --name test ubuntu:14.04 echo hello使用--volumes-from選項在另一個容器中掛載 /test 卷。不管 test 容器是否運行，其它容器都可以掛載該容器數據卷，當然如果只是單獨的數據卷是沒必要運行容器的。$ sudo docker run -t -i -d --volumes-from test --name test1 ubuntu:14.04 /bin/bash添加另一個容器$ sudo docker run -t -i -d --volumes-from test --name test2 ubuntu:14.04 /bin/bash也可以繼承其它掛載有 /test 卷的容器$ sudo docker run -t -i -d --volumes-from test1 --name test3 ubuntu:14.04 /bin/bash

6.3 備份、恢復或遷移數據卷

1. 備份

$ sudo docker run --rm --volumes-from test -v $(pwd):/backup ubuntu:14.04 tar cvf /backup/test.tar /testtar: Removing leading '/' from member names/test//test/b/test/d/test/c/test/a

啟動一個新的容器并且從test容器中掛載卷，然后掛載當前目錄到容器中為 backup，并備份 test 卷中所有的數據為 test.tar，執行完成之后刪除容器–rm，此時備份就在當前的目錄下，名為test.tar。

$ ls # 宿主機當前目錄下產生了 test 卷的備份文件 test.tar test.tar

2. 恢復

你可以恢復給同一個容器或者另外的容器，新建容器并解壓備份文件到新的容器數據卷

$ sudo docker run -t -i -d -v /test --name test4 ubuntu:14.04 /bin/bash $ sudo docker run --rm --volumes-from test4 -v $(pwd):/backup ubuntu:14.04 tar xvf /backup/test.tar -C / # 恢復之前的文件到新建卷中，執行完后自動刪除容器 test/ test/b test/d test/c test/a

6.4 刪除 Volumes

Volume 只有在下列情況下才能被刪除：docker rm -v刪除容器時添加了-v選項docker run --rm運行容器時添加了--rm選項否則，會在/var/lib/docker/vfs/dir目錄中遺留很多不明目錄。

七、鏈接容器

docker 允許把多個容器連接在一起，相互交互信息。docker 鏈接會創建一種容器父子級別的關系，其中父容器可以看到其子容器提供的信息。

7.1 容器命名

在創建容器時，如果不指定容器的名字，則默認會自動創建一個名字，這里推薦給容器命名：

##1. 給容器命名方便記憶，如命名運行 web 應用的容器為 web

##2. 為 docker 容器提供一個參考，允許方便其他容器調用，如把容器 web 鏈接到容器 db

可以通過--name選項給容器自定義命名：$ sudo docker run -d -t -i --name test ubuntu:14.04 bash $ sudo docker inspect --format="{{ .Nmae }}" test/test

注：容器名稱必須唯一，即你只能命名一個叫test的容器。如果你想復用容器名，則必須在創建新的容器前通過docker rm刪除舊的容器或者創建容器時添加--rm選項。

7.2 鏈接容器

鏈接允許容器間安全通信，使用--link選項創建鏈接。

$ sudo docker run -d --name db training/postgres

基于 training/postgres 鏡像創建一個名為 db 的容器，然后下面創建一個叫做 web 的容器，并且將它與 db 相互連接在一起

$ sudo docker run -d -P --name web --link db:db training/webapp python app.py--link <name or id>:alias選項指定鏈接到的容器。

查看 web 容器的鏈接關系:

$ sudo docker inspect -f "{{ .HostConfig.Links }}" web[/db:/web/db]

注：可以看到 web 容器被鏈接到 db 容器為/web/db，這允許 web 容器訪問 db 容器的信息。

容器之間的鏈接實際是一個鏈接允許一個源容器提供信息訪問給一個接收容器。在本例中，web 容器作為一個接收者，允許訪問源容器 db 的相關服務信息。Docker 創建了一個安全隧道而不需要對外公開任何端口給外部容器，因此不需要在創建容器的時候添加-p或-P指定對外公開的端口，這也是鏈接容器的最大好處，本例為 PostgreSQL 數據庫。

Docker 主要通過以下兩個方式提供連接信息給接收容器：

環境變量更新/etc/hosts文件

環境變量：

當兩個容器鏈接，Docker 會在目標容器上設置一些環境變量，以獲取源容器的相關信息。

首先，Docker 會在每個通過--link選項指定別名的目標容器上設置一個<alias>_NAME環境變量。如果一個名為 web 的容器通過--link db:webdb被鏈接到一個名為 db 的數據庫容器，那么 web 容器上會設置一個環境變量為WEBDB_NAME=/web/webdb. 以之前的為例，Docker 還會設置端口變量:

$ sudo docker run --rm --name web2 --link db:db training/webapp env. . .DB_NAME=/web2/dbDB_PORT=tcp://172.17.0.5:5432 DB_PORT_5432_TCP=tcp://172.17.0.5:5432 # <name>_PORT_<port>_<protocol> 協議可以是 TCP 或 UDPDB_PORT_5432_TCP_PROTO=tcpDB_PORT_5432_TCP_PORT=5432DB_PORT_5432_TCP_ADDR=172.17.0.5. . .

注：這些環境變量只設置給容器中的第一個進程，類似一些守護進程 (如 sshd ) 當他們派生 shells 時會清除這些變量

更新/etc/hosts文件

除了環境變量，Docker 會在目標容器上添加相關主機條目到/etc/hosts中，上例中就是 web 容器。

$ sudo docker run -t -i --rm --link db:db training/webapp /bin/bashroot@aed84ee21bde:/opt/webapp# cat /etc/hosts172.17.0.7 aed84ee21bde. . .172.17.0.5 db

/etc/host文件在源容器被重啟之后會自動更新 IP 地址，而環境變量中的 IP 地址則不會自動更新的。

八、docker操作鏡像

8.1 制作鏡像

制作Docker鏡像主要有如下兩種方式：

1. 使用docker commit 命令來創建鏡像

通過docker run命令啟動容器修改docker鏡像內容docker commit提交修改的鏡像docker run新的鏡像

2. 使用 Dockerfile 來創建鏡像

使用docker commit來擴展一個鏡像比較簡單，但是不方便在一個團隊中分享。使用docker build 來創建一個新的鏡像。需要創建一個Dockerfile，包含一些如何創建鏡像的指令。

構建鏡像的步驟:

1. 新建一個目錄和一個 Dockerfile

$ mkdir new_folder$ cd new_folder$ touch Dockerfile

2. 編寫Dockerfile，Dockerfile中每一條指令都創建鏡像的一層，例如：

# 這里是注釋# 設置繼承自哪個鏡像FROM ubuntu:14.04# 下面是一些創建者的基本信息MAINTAINER birdben (191654006@163.com)# 在終端需要執行的命令RUN apt-get install -y openssh-serverRUN mkdir -p /var/run/sshd

3. 示例

$ sudo docker build -t="birdben/ubuntu:v1" .# 下面是一堆構建日志信息############我是日志############# 參數：# -t 標記來添加 tag，指定新的鏡像的用戶和鏡像名稱信息。 # “.” 是 Dockerfile 所在的路徑（當前目錄），也可以替換為一個具體的 Dockerfile 的路徑。# 以交互方式運行docker$ docker run -it birdben/ubuntu:v1 /bin/bash# 運行docker時指定配置$ sudo docker run -d -p 10.211.55.4:9999:22 ubuntu:tools '/usr/sbin/sshd' -D# 參數：# -i：表示以“交互模式”運行容器，-i 則讓容器的標準輸入保持打開# -t：表示容器啟動后會進入其命令行，-t 選項讓Docker分配一個偽終端（pseudo-tty）并綁定到容器的標準輸入上# -v：表示需要將本地哪個目錄掛載到容器中，格式：-v <宿主機目錄>:<容器目錄>，-v 標記來創建一個數據卷并掛載到容器里。在一次 run 中多次使用可以掛載多個數據卷。# -p：指定對外80端口# 不一定要使用“鏡像 ID”，也可以使用“倉庫名:標簽名”