歡迎光臨
每天分享高質量文章

容器Docker詳解

概述

 

基本概念
Docker是一個開源的應用容器引擎,基於Go語言並遵從Apache2.0協議開源。Docker可以讓開發者打包他們的應用以及依賴包到一個輕量級、可移植的容器中,然後發佈到任何流行的Linux機器上,也可以實現虛擬化。容器是完全使用沙箱機制,相互之間不會有任何接口(類似iPhone的App),更重要的是容器性能開銷極低。
優勢
簡化程式:
Docker讓開發者可以打包他們的應用以及依賴包到一個可移植的容器中,然後發佈到任何流行的Linux機器上,便可以實現虛擬化。Docker改變了虛擬化的方式,使開發者可以直接將自己的成果放入Docker中進行管理。方便快捷已經是Docker的最大優勢,過去需要用數天乃至數周的 任務,在Docker容器的處理下,只需要數秒就能完成。
節省開支:
一方面,雲計算時代到來,使開發者不必為了追求效果而配置高額的硬體,Docker改變了高性能必然高價格的思維定勢。Docker與雲的結合,讓雲空間得到更充分的利用。不僅解決了硬體管理的問題,也改變了虛擬化的方式。
與傳統VM特性對比
作為一種輕量級的虛擬化方式,Docker在運行應用上跟傳統的虛擬機方式相比具有顯著優勢:Docker容器很快,啟動和停止可以在秒級實現,這相比傳統的虛擬機方式要快得多。
Docker容器對系統資源需求很少,一臺主機上可以同時運行數千個Docker容器。
Docker通過類似Git的操作來方便用戶獲取、分發和更新應用鏡像,指令簡明,學習成本較低。
Docker通過Dockerfile配置檔案來支持靈活的自動化創建和部署機制,提高工作效率。
Docker容器除了運行其中的應用之外,基本不消耗額外的系統資源,保證應用性能的同時,儘量減小系統開銷。
Docker利用Linux系統上的多種防護機制實現了嚴格可靠的隔離。從1.3版本開始,Docker引入了安全選項和鏡像簽名機制,極大地提高了使用Docker的安全性。 

 

特性 容器 虛擬機
啟動速度 秒級 分鐘級
硬碟使用 一般為MB 一般為GB
性能 接近原生 弱於原生
系統支持量 單機支持上千個容器 一般幾十個
隔離性 安全隔離 完全隔離
 
基礎架構
Docker使用客戶端-服務器(C/S)架構樣式,使用遠程API來管理和創建Docker容器
Docker容器通過Docker鏡像來創建。容器與鏡像的關係類似於面向物件編程中的物件與類。
Docker 面向物件
容器 物件
鏡像
Docker技術的基礎
  • Namespace,容器隔離的基礎,保證A容器看不到B容器,6個名空間:User、Mnt、Network、UTS、IPC、Pid

  • CGroups,容器資源統計和隔離。主要用到的CGroups子系統:CPU、blkio、Device、freezer、memory

  • UnionFS,典型:AUFS/OverlayFS,分層鏡像實現的基礎

 

Docker組件
  • Docker Client客戶端——>向Docker服務器行程發起請求,如:創建、停止、銷毀容器等操作

  • Docker Server服務器行程—–>處理所有Docker的請求,管理所有容器

  • Docker Registry鏡像倉庫——>鏡像存放的中央倉庫,可看作是存放二進制的scm

 

安裝部署

 

準備條件
目前,CentOS僅發行版本中的內核支持Docker。
Docker運行在CentOS 7上,要求系統為64位、系統內核版本為3.10以上。
Docker運行在CentOS 6.5或更高的版本的CentOS上,要求系統為64位、系統內核版本2.6.32-431或者更高版本。
安裝Docker
  1. yum install docker -y          #安裝
  2. systemctl start docker         #啟動    
  3. systemctl enable docker        #設置開機自啟動
基本命令
  1. docker search centos   #搜索鏡像
預設從國外拉去,速度很慢,可以使用DaoCloud配置加速。
  1. curl -sSL https://get.daocloud.io/daotools/set_mirror.sh | sh -s http://d6f11267.m.daocloud.io
  2. 腳本是寫入
  3. echo "{\"registry-mirrors\": [\"http://d6f11267.m.daocloud.io\"]}"> /etc/docker/daemon.json
  4. systemctl restart docker              #重啟失效
根據需求拉取鏡像:
  1. docker pull docker.io/ansible/centos7-ansible
拉去search到的全部鏡像:
  1. for i in `docker search centos|awk '!/NAME/{print $2}'`;do docker pull $i;done
查看本地鏡像:
  1. docker images
命令整理
容器操作:
  1. docker create # 創建一個容器但是不啟動它
  2. docker run # 創建並啟動一個容器
  3. docker stop # 停止容器運行,發送信號SIGTERM
  4. docker start # 啟動一個停止狀態的容器
  5. docker restart # 重啟一個容器
  6. docker rm # 刪除一個容器
  7. docker kill # 發送信號給容器,預設SIGKILL
  8. docker attach # 連接(進入)到一個正在運行的容器
  9. docker wait # 阻塞一個容器,直到容器停止運行
獲取容器信息:
  1. docker ps # 顯示狀態為運行(Up)的容器
  2. docker ps -a # 顯示所有容器,包括運行中(Up)的和退出的(Exited)
  3. docker inspect # 深入容器內部獲取容器所有信息
  4. docker logs # 查看容器的日誌(stdout/stderr)
  5. docker events # 得到docker服務器的實時的事件
  6. docker port # 顯示容器的端口映射
  7. docker top # 顯示容器的行程信息
  8. docker diff # 顯示容器檔案系統的前後變化
匯出容器:
  1. docker cp # 從容器里向外拷貝檔案或目錄
  2. docker export # 將容器整個檔案系統匯出為一個tar包,不帶layers、tag等信息
執行:
  1. docker exec # 在容器里執行一個命令,可以執行bash進入交互式
鏡像操作:
  1. docker images # 顯示本地所有的鏡像串列
  2. docker import # 從一個tar包創建一個鏡像,往往和export結合使用
  3. docker build # 使用Dockerfile創建鏡像(推薦)
  4. docker commit # 從容器創建鏡像
  5. docker rmi # 刪除一個鏡像
  6. docker load # 從一個tar包創建一個鏡像,和save配合使用
  7. docker save # 將一個鏡像儲存為一個tar包,帶layers和tag信息
  8. docker history # 顯示生成一個鏡像的歷史命令
  9. docker tag # 為鏡像起一個別名
鏡像倉庫(Registry)操作:
  1. docker login # 登錄到一個registry
  2. docker search # 從registry倉庫搜索鏡像
  3. docker pull # 從倉庫下載鏡像到本地
  4. docker push # 將一個鏡像push到registry倉庫中
簡單實踐操作
運行併進入容器操作:
  1. docker run -i -t docker.io/1832990/centos6.5  /bin/bash
-t 表示在新容器內指定一個偽終端或終端;
-i 表示允許我們對容器內的(STDIN)進行交互;
-d 表示將容器在後臺運行;
/bin/bash,這將在容器內啟動 bash shell;
所以當容器(container)啟動之後,我們會獲取到一個命令提示符: 
在容器內我們安裝MySQL並設置開機自啟動,將修改後的鏡像提交:
  1. docker ps -l 查詢容器ID
  2. docker commit -m "功能" -a "用戶信息" ID tag 提交修改後的鏡像
  1. docker inspect ID 查看詳細信息
  2. docker push ID 上傳docker鏡像
利用DockerFile創建鏡像使用命令docker build , 需要創建一個Dockerfile檔案,其中包含一組指令來告訴Docker如何構建鏡像。
  1. mkdir DockerFile
  2. cd DockerFile
  3. cat > Dockerfile <<EOF
  4. FROM 603dd3515fcc
  5. MAINTAINER Docker xuel
  6. RUN yum install mysql mysql-server -y
  7. RUN mddir /etc/sysconfig/network
  8. RUN /etc/init.d/mysqld start
  9. EOF
  1. docker build -t "centos6.8:mysqld" .
-t 制定repository與tag
. 指定Dockerfile的路徑
註意一個鏡像不能超過127層
此外,還可以利用ADD命令複製本地檔案到鏡像;
用EXPOSE命令來向外部開放端口;
用CMD命令來描述容器啟動後運行的程式等。
CMD [“/usr/sbin/apachectl”, “-D”, “FOREGROUND”]
Dockerfile詳解
Dockerfile的指令是忽略大小寫的,建議使用大寫,使用 # 作為註釋,每一行只支持一條指令,每條指令可以攜帶多個引數。
Dockerfile的指令根據作用可以分為兩種,構建指令和設置指令。
構建指令:用於構建image,其指定的操作不會在運行image的容器上執行;
設置指令:用於設置image的屬性,其指定的操作將在運行image的容器中執行。
 
FROM(指定基礎image)
構建指令,必須指定且需要在Dockerfile其他指令的前面。後續的指令都依賴於該指令指定的image。FROM指令指定的基礎image可以是官方遠程倉庫中的,也可以位於本地倉庫。
該指令有兩種格式:
  1. FROM                  #指定基礎image為該image的最後修改的版本
  2. FROM :<tag>              #指定基礎image為該image的一個tag版本。
 
MAINTAINER(用來指定鏡像創建者信息)
構建指令,用於將image的製作者相關的信息寫入到image中。當我們對該image執行docker inspect命令時,輸出中有相應的欄位記錄該信息。
  1. MAINTAINER
 
RUN(安裝軟體用)
構建指令,RUN可以運行任何被基礎image支持的命令。如基礎image選擇了Ubuntu,那麼軟體管理部分只能使用Ubuntu的命令。
  1. RUN (the command is run in a shell - `/bin/sh -c`)  
  2. RUN ["executable", "param1", "param2" ... ]  (exec form)
 
CMD(設置container啟動時執行的操作)
設置指令,用於container啟動時指定的操作。該操作可以是執行自定義腳本,也可以是執行系統命令。該指令只能在檔案中存在一次,如果有多個,則只執行最後一條。
  1. CMD ["executable","param1","param2"] (like an exec, this is the preferred form)  
  2. CMD command param1 param2 (as a shell)
ENTRYPOINT指定的是一個可執行的腳本或者程式的路徑,該指定的腳本或者程式將會以param1和param2作為引數執行。所以如果CMD指令使用上面的形式,那麼Dockerfile中必須要有配套的ENTRYPOINT。當Dockerfile指定了ENTRYPOINT,那麼使用下麵的格式:
  1. CMD ["param1","param2"] (as default parameters to ENTRYPOINT)
 
ENTRYPOINT(設置container啟動時執行的操作)
設置指令,指定容器啟動時執行的命令,可以多次設置,但是只有最後一個有效。
  1. ENTRYPOINT ["executable", "param1", "param2"] (like an exec, the preferred form)  
  2. ENTRYPOINT command param1 param2 (as a shell)
該指令的使用分為兩種情況,一種是獨自使用,另一種和CMD指令配合使用。
當獨自使用時,如果你還使用了CMD命令且CMD是一個完整的可執行的命令,那麼CMD指令和ENTRYPOINT會互相改寫只有最後一個CMD或者ENTRYPOINT有效。
  1. # CMD指令將不會被執行,只有ENTRYPOINT指令被執行  
  2. CMD echo Hello, World!”  
  3. ENTRYPOINT ls -l
另一種用法和CMD指令配合使用來指定ENTRYPOINT的預設引數,這時CMD指令不是一個完整的可執行命令,僅僅是引數部分;ENTRYPOINT指令只能使用JSON方式指定執行命令,而不能指定引數。
  1. FROM ubuntu  
  2. CMD ["-l"]  
  3. ENTRYPOINT ["/usr/bin/ls"]
 
USER(設置container容器的用戶)
設置指令,設置啟動容器的用戶,預設是root用戶。
  1. # 指定memcached的運行用戶  
  2. ENTRYPOINT ["memcached"]  
  3. USER daemon  
  4.  
  5. ENTRYPOINT ["memcached", "-u", "daemon"]
 
EXPOSE(指定容器需要映射到宿主機器的端口)
設置指令,該指令會將容器中的端口映射成宿主機器中的某個端口。當你需要訪問容器的時候,可以不是用容器的IP地址而是使用宿主機器的IP地址和映射後的端口。要完成整個操作需要兩個步驟,首先在Dockerfile使用EXPOSE設置需要映射的容器端口,然後在運行容器的時候指定-p選項加上EXPOSE設置的端口,這樣EXPOSE設置的端口號會被隨機映射成宿主機器中的一個端口號。也可以指定需要映射到宿主機器的那個端口,這時要確保宿主機器上的端口號沒有被使用。EXPOSE指令可以一次設置多個端口號,相應的運行容器的時候,可以配套的多次使用-p選項。
  1. # 映射一個端口  
  2. EXPOSE port1  
  3. # 相應的運行容器使用的命令  (主機(宿主)端口:容器端口)
  4. docker run -p port1 image  
  5. # 映射多個端口  
  6. EXPOSE port1 port2 port3  
  7. # 相應的運行容器使用的命令  
  8. docker run -p port1 -p port2 -p port3 image  
  9. # 還可以指定需要映射到宿主機器上的某個端口號  
  10. docker run -p host_port1:port1 -p host_port2:port2 -p host_port3:port3 image
端口映射是Docker比較重要的一個功能,原因在於我們每次運行容器的時候容器的IP地址不能指定而是在橋接網卡的地址範圍內隨機生成的。宿主機器的IP地址是固定的,我們可以將容器的端口的映射到宿主機器上的一個端口,免去每次訪問容器中的某個服務時都要查看容器的IP的地址。對於一個運行的容器,可以使用docker port加上容器中需要映射的端口和容器的ID來查看該端口號在宿主機器上的映射端口。
 
ENV(用於設置環境變數)
構建指令,在image中設置一個環境變數。
  1. ENV
設置了後,後續的RUN命令都可以使用,container啟動後,可以通過docker inspect查看這個環境變數,也可以通過在docker run –env key=value時設置或修改環境變數。
假如你安裝了Java程式,需要設置JAVA_HOME,那麼可以在Dockerfile中這樣寫:
  1. ENV JAVA_HOME /path/to/java/dirent
 
ADD(從src複製檔案到container的dest路徑)
構建指令,所有拷貝到container中的檔案和檔案夾權限為0755,uid和gid為0;如果是一個目錄,那麼會將該目錄下的所有檔案添加到container中,不包括目錄;如果檔案是可識別的壓縮格式,則docker會幫忙解壓縮(註意壓縮格式);如果是檔案且中不使用斜杠結束,則會將視為檔案,的內容會寫入;如果是檔案且中使用斜杠結束,則會檔案拷貝到目錄下。
  1. ADD
是相對被構建的源目錄的相對路徑,可以是檔案或目錄的路徑,也可以是一個遠程的檔案url;是container中的絕對路徑。
 
VOLUME(指定掛載點)
設置指令,使容器中的一個目錄具有持久化儲存資料的功能,該目錄可以被容器本身使用,也可以共享給其他容器使用。我們知道容器使用的是AUFS,這種檔案系統不能持久化資料,當容器關閉後,所有的更改都會丟失。當容器中的應用有持久化資料的需求時可以在Dockerfile中使用該指令。
  1. FROM base  
  2. VOLUME ["/tmp/data"]
 
WORKDIR(切換目錄)
設置指令,可以多次切換(相當於CD命令),對RUN、CMD、ENTRYPOINT生效。
  1. # 在 /p1/p2 下執行 vim a.txt  
  2. WORKDIR /p1 WORKDIR p2 RUN vim a.txt
鏡像匯入匯出
匯出鏡像到本地: 
  1. docker save -o centos6.5.tar centos6.5
  2. docker export f9c99092063c >centos6.5.tar
從本地將鏡像匯入:
  1. docker load --input centos6.5.tar  
  2. docker load < centos6.5.tar
  1. docker rm刪除已經終止的容器
  2. docker -f rm 可以刪除正在運行的容器
修改已經運行的後臺容器:
  1. docker exec -it CONTAINER ID /bin/bash
儲存

 

資料盤
Docker的鏡像使用一層一層檔案組成的,Docker的一些儲存引擎可以處理怎麼樣儲存這些檔案。
  1. docker inspect centos            #查看容器詳細信息
信息下方的Layers,就是CentOS的檔案,這些東西都是只讀的不能去修改,我們基於這個鏡像去創建的鏡像和容器也會共享這些檔案層,而Docker會在這些層上面去添加一個可讀寫的檔案層。如果需要修改一些檔案層裡面的東西的話,Docker會複製一份到這個可讀寫的檔案層裡面,如果刪除容器的話,那麼也會刪除它對應的可讀寫的檔案層的檔案。
如果有些資料你想一直儲存的話,比如:Web服務器上面的日誌,資料庫管理系統裡面的資料,那麼我們可以把這些資料放到data volumes資料盤裡面。它上面的資料,即使把容器刪掉,也還是會永久保留。創建容器的時候,我們可以去指定資料盤。其實就是去指定一個特定的目錄。
  1. docker run -i -t -v /mnt  --name nginx docker.io/nginx /bin/bash
-v:制定掛載到容器內的目錄。 
使用docker inspect容器ID可以查看掛載目錄對應於宿主機的物理檔案路徑。 
同樣,我們可以使用將制定物理宿主機的目錄掛載到容器的制定目錄下:
將宿主機目錄掛載到容器內:
  1. docker run -d -p 80:80 --name nginx -v /webdata/wordpress:/usr/share/nginx/html docker.io/sergeyzh/centos6-nginx
-d 後臺運行
–name 給運行的容器命名
-v 宿主機目錄:容器目錄 將宿主機目錄掛載在容器內
-p 宿主機端口:容器監聽端口 將容器內應用監聽端口映射到物理宿主機的特定端口上 
映射多個物理目錄:(多寫幾個-v即可) 
資料容器
可以創建一個資料容器,也就是再創建容器是指定這個容器的資料盤,然後讓其他容器可以使用這個容器作為他們的資料盤,有點像繼承了這個資料容器指定的資料盤作為資料盤。
首先創建一個資料容器命名為newnginx。
  1. docker create -v /mnt -it --name newnginx docker.io/nginx /bin/bash
利用此資料容器容器運行一個容器nginx1,在資料目錄/mnt下創建一個檔案。
  1. docker run --volumes-from newnginx --name nginx1 -it docker.io/nginx /bin/bash
利用資料容器在創建一個容器nginx2,查看資料目錄下容器nginx1創建的檔案依舊存在,同理在nginx2的/mnt下創建檔案,其他基於資料容器運行的新容器也可以看到檔案。 
資料盤管理
在刪除容器時,Docker預設不會刪除其資料盤。
  1. docker volume ls                    #查看資料盤
  2. docker volume ls -f dangling=true        #查看未被容器使用的資料盤
  3. docker volume rm VOLUME NAME        #刪除資料盤
如果想要刪除容器時,同時刪除掉其資料盤,那麼可以使用-v引數。
  1. docker rm -v newnginx
網絡

 

Docker提供幾種網絡,它決定容器之間和外界和容器之間如何去相互通信。
  1. docker network ls        #查看網絡
當Docker行程啟動時,會在主機上創建一個名為docker0的虛擬網橋,此主機上啟動的Docker容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似,這樣主機上的所有容器就通過交換機連在了一個二層網絡中。從docker0子網中分配一個IP給容器使用,並設置docker0的IP地址為容器的預設網關。在主機上創建一對虛擬網卡veth pair設備,Docker將veth pair設備的一端放在新創建的容器中,並命名為eth0(容器的網卡),另一端放在主機中,以vethxxx這樣類似的名字命名,並將這個網絡設備加入到docker0網橋中。
Bridge橋接網絡
除非創建容器的時候指定網絡,不然容器就會預設的使用橋接網絡。屬於這個網絡的容器之間可以相互通信,不過外界想要訪問到這個網絡的容器呢,需使用橋接網絡,有點像主機和容器之間的一座橋,對容器有一點隔離作用。實際是在iptables做了DNAT規則,實現端口轉發功能。可以使用iptables -t nat -vnL查看。
Host主機網絡
如果啟動容器的時候使用host樣式,那麼這個容器將不會獲得一個獨立的Network Namespace,而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網卡,配置自己的IP等,而是使用宿主機的IP和端口。但是,容器的其他方面,如檔案系統、行程串列等還是和宿主機隔離的。只用這種網絡的容器會使用主機的網絡,這種網絡對外界是完全開放的,能夠訪問到主機,就能訪問到容器。
使用None樣式
Docker容器擁有自己的Network Namespace,但是,並不為Docker容器進行任何網絡配置。也就是說,這個Docker容器沒有網卡、IP、路由等信息。需要我們自己為Docker容器添加網卡、配置IP等。使用此種網絡的容器會完全隔離。
簡單演示
啟動兩個容器,查看其容器內部IP地址:
  1. for i in `docker ps |grep -v "CONTAINER"|awk '{print $1}'`;do docker inspect $i|grep 'IPAddress';done
查看橋接樣式下主機內部容器之間和容器與宿主機直接均可正常通訊:
 
  1. docker inspect 容器ID
查看host創建的容器內部沒有IP地址,它使用的為宿主機的地址:
  1. docker run -d --net host docker.io/sergeyzh/centos6-nginx
查看host創建的容器內部沒有IP地址,它使用的為宿主機的地址:
  1. docker run -d --net none docker.io/sergeyzh/centos6-nginx
容器端口
如果想讓外界可以訪問到,基於bridge網絡創建的容器提供的服務,那你可以告訴Docker你要使用哪些接口。如果想查看鏡像會使用哪些端口,ExposedPorts,可以獲悉鏡像使用哪些端口。
  1. docker run -d -p 80 docker.io/sergeyzh/centos6-nginx        
  2. docker port 09648b2ff7f6
-p 引數會在宿主機隨機映射一個高端口到容器內的指定端口。 
  1. docker run -d -p 80:80 docker.io/sergeyzh/centos6-nginx    #將宿主機的80端口映射到容器的80端口
原文鏈接:https://juejin.im/post/5c491406e51d4518c1551fd6

    赞(0)

    分享創造快樂