歡迎光臨
每天分享高質量文章
當前位置：知識星球 > 後端 > 正文

容器Docker詳解

2019-03-01 分類：後端 閱讀(441) 評論(0)

概述

 

基本概念
Docker是一個開源的應用容器引擎，基於Go語言並遵從Apache2.0協議開源。Docker可以讓開發者打包他們的應用以及依賴包到一個輕量級、可移植的容器中，然後釋出到任何流行的Linux機器上，也可以實現虛擬化。容器是完全使用沙箱機制，相互之間不會有任何介面（類似iPhone的App），更重要的是容器效能開銷極低。
優勢
簡化程式：
Docker讓開發者可以打包他們的應用以及依賴包到一個可移植的容器中，然後釋出到任何流行的Linux機器上，便可以實現虛擬化。Docker改變了虛擬化的方式，使開發者可以直接將自己的成果放入Docker中進行管理。方便快捷已經是Docker的最大優勢，過去需要用數天乃至數周的 任務，在Docker容器的處理下，只需要數秒就能完成。
節省開支：
一方面，雲端計算時代到來，使開發者不必為了追求效果而配置高額的硬體，Docker改變了高效能必然高價格的思維定勢。Docker與雲的結合，讓雲空間得到更充分的利用。不僅解決了硬體管理的問題，也改變了虛擬化的方式。
與傳統VM特性對比
作為一種輕量級的虛擬化方式，Docker在執行應用上跟傳統的虛擬機器方式相比具有顯著優勢：Docker容器很快，啟動和停止可以在秒級實現，這相比傳統的虛擬機器方式要快得多。
Docker容器對系統資源需求很少，一臺主機上可以同時執行數千個Docker容器。
Docker透過類似Git的操作來方便使用者獲取、分發和更新應用映象，指令簡明，學習成本較低。
Docker透過Dockerfile配置檔案來支援靈活的自動化建立和部署機制，提高工作效率。
Docker容器除了執行其中的應用之外，基本不消耗額外的系統資源，保證應用效能的同時，儘量減小系統開銷。
Docker利用Linux系統上的多種防護機制實現了嚴格可靠的隔離。從1.3版本開始，Docker引入了安全選項和映象簽名機制，極大地提高了使用Docker的安全性。 

 

特性 容器 虛擬機器
啟動速度 秒級 分鐘級
硬碟使用 一般為MB 一般為GB
效能 接近原生 弱於原生
系統支援量 單機支援上千個容器 一般幾十個
隔離性 安全隔離 完全隔離
 
基礎架構
Docker使用客戶端-伺服器（C/S）架構樣式，使用遠端API來管理和建立Docker容器。
Docker容器透過Docker映象來建立。容器與映象的關係類似於面向物件程式設計中的物件與類。
Docker 面向物件
容器 物件
映象 類
Docker技術的基礎

  • Namespace，容器隔離的基礎，保證A容器看不到B容器，6個名空間：User、Mnt、Network、UTS、IPC、Pid

  • CGroups，容器資源統計和隔離。主要用到的CGroups子系統：CPU、blkio、Device、freezer、memory

  • UnionFS，典型：AUFS/OverlayFS，分層映象實現的基礎

 

Docker元件

  • Docker Client客戶端——>向Docker伺服器行程發起請求，如：建立、停止、銷毀容器等操作

  • Docker Server伺服器行程—–>處理所有Docker的請求，管理所有容器

  • Docker Registry映象倉庫——>映象存放的中央倉庫，可看作是存放二進位制的scm

 

安裝部署

 

準備條件
目前，CentOS僅發行版本中的核心支援Docker。
Docker執行在CentOS 7上，要求系統為64位、系統核心版本為3.10以上。
Docker執行在CentOS 6.5或更高的版本的CentOS上，要求系統為64位、系統核心版本2.6.32-431或者更高版本。
安裝Docker
  1. yum install docker -y          #安裝
  2. systemctl start docker         #啟動    
  3. systemctl enable docker        #設定開機自啟動
基本命令
  1. docker search centos   #搜尋映象
預設從國外拉去，速度很慢，可以使用DaoCloud配置加速。
  1. curl -sSL https://get.daocloud.io/daotools/set_mirror.sh | sh -s http://d6f11267.m.daocloud.io
  2. 指令碼是寫入
  3. echo "{\"registry-mirrors\": [\"http://d6f11267.m.daocloud.io\"]}"> /etc/docker/daemon.json
  4. systemctl restart docker              #重啟失效
根據需求拉取映象：
  1. docker pull docker.io/ansible/centos7-ansible
拉去search到的全部映象：
  1. for i in `docker search centos|awk '!/NAME/{print $2}'`;do docker pull $i;done
檢視本地映象：
  1. docker images
命令整理
容器操作：
  1. docker create # 建立一個容器但是不啟動它
  2. docker run # 建立並啟動一個容器
  3. docker stop # 停止容器執行，傳送訊號SIGTERM
  4. docker start # 啟動一個停止狀態的容器
  5. docker restart # 重啟一個容器
  6. docker rm # 刪除一個容器
  7. docker kill # 傳送訊號給容器，預設SIGKILL
  8. docker attach # 連線(進入)到一個正在執行的容器
  9. docker wait # 阻塞一個容器，直到容器停止執行
獲取容器資訊：
  1. docker ps # 顯示狀態為執行（Up）的容器
  2. docker ps -a # 顯示所有容器,包括執行中（Up）的和退出的(Exited)
  3. docker inspect # 深入容器內部獲取容器所有資訊
  4. docker logs # 檢視容器的日誌(stdout/stderr)
  5. docker events # 得到docker伺服器的實時的事件
  6. docker port # 顯示容器的埠對映
  7. docker top # 顯示容器的行程資訊
  8. docker diff # 顯示容器檔案系統的前後變化
匯出容器：
  1. docker cp # 從容器裡向外複製檔案或目錄
  2. docker export # 將容器整個檔案系統匯出為一個tar包，不帶layers、tag等資訊
執行：
  1. docker exec # 在容器裡執行一個命令，可以執行bash進入互動式
映象操作：
  1. docker images # 顯示本地所有的映象串列
  2. docker import # 從一個tar包建立一個映象，往往和export結合使用
  3. docker build # 使用Dockerfile建立映象（推薦）
  4. docker commit # 從容器建立映象
  5. docker rmi # 刪除一個映象
  6. docker load # 從一個tar包建立一個映象，和save配合使用
  7. docker save # 將一個映象儲存為一個tar包，帶layers和tag資訊
  8. docker history # 顯示生成一個映象的歷史命令
  9. docker tag # 為映象起一個別名
映象倉庫（Registry）操作：
  1. docker login # 登入到一個registry
  2. docker search # 從registry倉庫搜尋映象
  3. docker pull # 從倉庫下載映象到本地
  4. docker push # 將一個映象push到registry倉庫中
簡單實踐操作
執行併進入容器操作：
  1. docker run -i -t docker.io/1832990/centos6.5  /bin/bash
-t 表示在新容器內指定一個偽終端或終端；
-i 表示允許我們對容器內的（STDIN）進行互動；
-d 表示將容器在後臺執行；
/bin/bash，這將在容器內啟動 bash shell；
所以當容器（container）啟動之後，我們會獲取到一個命令提示符： 
在容器內我們安裝MySQL並設定開機自啟動，將修改後的映象提交：
  1. docker ps -l 查詢容器ID
  2. docker commit -m "功能" -a "使用者資訊" ID tag 提交修改後的映象
  1. docker inspect ID 檢視詳細資訊
  2. docker push ID 上傳docker映象
利用DockerFile建立映象使用命令docker build ， 需要建立一個Dockerfile檔案，其中包含一組指令來告訴Docker如何構建映象。
  1. mkdir DockerFile
  2. cd DockerFile
  3. cat > Dockerfile <<EOF
  4. FROM 603dd3515fcc
  5. MAINTAINER Docker xuel
  6. RUN yum install mysql mysql-server -y
  7. RUN mddir /etc/sysconfig/network
  8. RUN /etc/init.d/mysqld start
  9. EOF
  1. docker build -t "centos6.8:mysqld" .
-t 制定repository與tag
. 指定Dockerfile的路徑
註意一個映象不能超過127層
此外，還可以利用ADD命令複製本地檔案到映象；
用EXPOSE命令來向外部開放埠；
用CMD命令來描述容器啟動後執行的程式等。
CMD [“/usr/sbin/apachectl”, “-D”, “FOREGROUND”]
Dockerfile詳解
Dockerfile的指令是忽略大小寫的，建議使用大寫，使用 # 作為註釋，每一行只支援一條指令，每條指令可以攜帶多個引數。
Dockerfile的指令根據作用可以分為兩種，構建指令和設定指令。
構建指令：用於構建image，其指定的操作不會在執行image的容器上執行；
設定指令：用於設定image的屬性，其指定的操作將在執行image的容器中執行。
 
FROM（指定基礎image）
構建指令，必須指定且需要在Dockerfile其他指令的前面。後續的指令都依賴於該指令指定的image。FROM指令指定的基礎image可以是官方遠端倉庫中的，也可以位於本地倉庫。
該指令有兩種格式：
  1. FROM                  #指定基礎image為該image的最後修改的版本
  2. FROM :<tag>              #指定基礎image為該image的一個tag版本。
 
MAINTAINER（用來指定映象建立者資訊）
構建指令，用於將image的製作者相關的資訊寫入到image中。當我們對該image執行docker inspect命令時，輸出中有相應的欄位記錄該資訊。
  1. MAINTAINER
 
RUN（安裝軟體用）
構建指令，RUN可以執行任何被基礎image支援的命令。如基礎image選擇了Ubuntu，那麼軟體管理部分只能使用Ubuntu的命令。
  1. RUN (the command is run in a shell - `/bin/sh -c`)  
  2. RUN ["executable", "param1", "param2" ... ]  (exec form)
 
CMD（設定container啟動時執行的操作）
設定指令，用於container啟動時指定的操作。該操作可以是執行自定義指令碼，也可以是執行系統命令。該指令只能在檔案中存在一次，如果有多個，則只執行最後一條。
  1. CMD ["executable","param1","param2"] (like an exec, this is the preferred form)  
  2. CMD command param1 param2 (as a shell)
ENTRYPOINT指定的是一個可執行的指令碼或者程式的路徑，該指定的指令碼或者程式將會以param1和param2作為引數執行。所以如果CMD指令使用上面的形式，那麼Dockerfile中必須要有配套的ENTRYPOINT。當Dockerfile指定了ENTRYPOINT，那麼使用下麵的格式：
  1. CMD ["param1","param2"] (as default parameters to ENTRYPOINT)
 
ENTRYPOINT（設定container啟動時執行的操作）
設定指令，指定容器啟動時執行的命令，可以多次設定，但是隻有最後一個有效。
  1. ENTRYPOINT ["executable", "param1", "param2"] (like an exec, the preferred form)  
  2. ENTRYPOINT command param1 param2 (as a shell)
該指令的使用分為兩種情況，一種是獨自使用，另一種和CMD指令配合使用。
當獨自使用時，如果你還使用了CMD命令且CMD是一個完整的可執行的命令，那麼CMD指令和ENTRYPOINT會互相改寫只有最後一個CMD或者ENTRYPOINT有效。
  1. # CMD指令將不會被執行，只有ENTRYPOINT指令被執行  
  2. CMD echo “Hello, World!”  
  3. ENTRYPOINT ls -l
另一種用法和CMD指令配合使用來指定ENTRYPOINT的預設引數，這時CMD指令不是一個完整的可執行命令，僅僅是引數部分；ENTRYPOINT指令只能使用JSON方式指定執行命令，而不能指定引數。
  1. FROM ubuntu  
  2. CMD ["-l"]  
  3. ENTRYPOINT ["/usr/bin/ls"]
 
USER（設定container容器的使用者）
設定指令，設定啟動容器的使用者，預設是root使用者。
  1. # 指定memcached的執行使用者  
  2. ENTRYPOINT ["memcached"]  
  3. USER daemon  
  4. 或  
  5. ENTRYPOINT ["memcached", "-u", "daemon"]
 
EXPOSE（指定容器需要對映到宿主機器的埠）
設定指令，該指令會將容器中的埠對映成宿主機器中的某個埠。當你需要訪問容器的時候，可以不是用容器的IP地址而是使用宿主機器的IP地址和對映後的埠。要完成整個操作需要兩個步驟，首先在Dockerfile使用EXPOSE設定需要對映的容器埠，然後在執行容器的時候指定-p選項加上EXPOSE設定的埠，這樣EXPOSE設定的埠號會被隨機對映成宿主機器中的一個埠號。也可以指定需要對映到宿主機器的那個埠，這時要確保宿主機器上的埠號沒有被使用。EXPOSE指令可以一次設定多個埠號，相應的執行容器的時候，可以配套的多次使用-p選項。
  1. # 對映一個埠  
  2. EXPOSE port1  
  3. # 相應的執行容器使用的命令  (主機(宿主)埠:容器埠)
  4. docker run -p port1 image  
  6. # 對映多個埠  
  7. EXPOSE port1 port2 port3  
  8. # 相應的執行容器使用的命令  
  9. docker run -p port1 -p port2 -p port3 image  
  10. # 還可以指定需要對映到宿主機器上的某個埠號  
  11. docker run -p host_port1:port1 -p host_port2:port2 -p host_port3:port3 image
埠對映是Docker比較重要的一個功能，原因在於我們每次執行容器的時候容器的IP地址不能指定而是在橋接網絡卡的地址範圍內隨機生成的。宿主機器的IP地址是固定的，我們可以將容器的埠的對映到宿主機器上的一個埠，免去每次訪問容器中的某個服務時都要檢視容器的IP的地址。對於一個執行的容器，可以使用docker port加上容器中需要對映的埠和容器的ID來檢視該埠號在宿主機器上的對映埠。
 
ENV（用於設定環境變數）
構建指令，在image中設定一個環境變數。
  1. ENV
設定了後，後續的RUN命令都可以使用，container啟動後，可以透過docker inspect檢視這個環境變數，也可以透過在docker run –env key=value時設定或修改環境變數。
假如你安裝了Java程式，需要設定JAVA_HOME，那麼可以在Dockerfile中這樣寫：
  1. ENV JAVA_HOME /path/to/java/dirent
 
ADD（從src複製檔案到container的dest路徑）
構建指令，所有複製到container中的檔案和檔案夾許可權為0755，uid和gid為0；如果是一個目錄，那麼會將該目錄下的所有檔案新增到container中，不包括目錄；如果檔案是可識別的壓縮格式，則docker會幫忙解壓縮（註意壓縮格式）；如果是檔案且中不使用斜槓結束，則會將視為檔案，的內容會寫入；如果是檔案且中使用斜槓結束，則會檔案複製到目錄下。
  1. ADD
是相對被構建的源目錄的相對路徑，可以是檔案或目錄的路徑，也可以是一個遠端的檔案url；是container中的絕對路徑。
 
VOLUME（指定掛載點）
設定指令，使容器中的一個目錄具有持久化儲存資料的功能，該目錄可以被容器本身使用，也可以共享給其他容器使用。我們知道容器使用的是AUFS，這種檔案系統不能持久化資料，當容器關閉後，所有的更改都會丟失。當容器中的應用有持久化資料的需求時可以在Dockerfile中使用該指令。
  1. FROM base  
  2. VOLUME ["/tmp/data"]
 
WORKDIR（切換目錄）
設定指令，可以多次切換（相當於CD命令），對RUN、CMD、ENTRYPOINT生效。
  1. # 在 /p1/p2 下執行 vim a.txt  
  2. WORKDIR /p1 WORKDIR p2 RUN vim a.txt
映象匯入匯出
匯出映象到本地： 
  1. docker save -o centos6.5.tar centos6.5 或
  2. docker export f9c99092063c >centos6.5.tar
從本地將映象匯入：
  1. docker load --input centos6.5.tar 或  
  2. docker load < centos6.5.tar
  1. docker rm刪除已經終止的容器
  2. docker -f rm 可以刪除正在執行的容器
修改已經執行的後臺容器：
  1. docker exec -it CONTAINER ID /bin/bash
儲存

 

資料盤
Docker的映象使用一層一層檔案組成的，Docker的一些儲存引擎可以處理怎麼樣儲存這些檔案。
  1. docker inspect centos            #檢視容器詳細資訊
資訊下方的Layers，就是CentOS的檔案，這些東西都是隻讀的不能去修改，我們基於這個映象去建立的映象和容器也會共享這些檔案層，而Docker會在這些層上面去新增一個可讀寫的檔案層。如果需要修改一些檔案層裡面的東西的話，Docker會複製一份到這個可讀寫的檔案層裡面，如果刪除容器的話，那麼也會刪除它對應的可讀寫的檔案層的檔案。
如果有些資料你想一直儲存的話，比如：Web伺服器上面的日誌，資料庫管理系統裡面的資料，那麼我們可以把這些資料放到data volumes資料盤裡面。它上面的資料，即使把容器刪掉，也還是會永久保留。建立容器的時候，我們可以去指定資料盤。其實就是去指定一個特定的目錄。
  1. docker run -i -t -v /mnt  --name nginx docker.io/nginx /bin/bash
-v：制定掛載到容器內的目錄。 
使用docker inspect容器ID可以檢視掛載目錄對應於宿主機的物理檔案路徑。 
同樣，我們可以使用將制定物理宿主機的目錄掛載到容器的制定目錄下：
將宿主機目錄掛載到容器內：
  1. docker run -d -p 80:80 --name nginx -v /webdata/wordpress:/usr/share/nginx/html docker.io/sergeyzh/centos6-nginx
-d 後臺執行
–name 給執行的容器命名
-v 宿主機目錄：容器目錄 將宿主機目錄掛載在容器內
-p 宿主機埠：容器監聽埠 將容器內應用監聽埠對映到物理宿主機的特定埠上 
對映多個物理目錄：（多寫幾個-v即可） 
資料容器
可以建立一個資料容器，也就是再建立容器是指定這個容器的資料盤，然後讓其他容器可以使用這個容器作為他們的資料盤，有點像繼承了這個資料容器指定的資料盤作為資料盤。
首先建立一個資料容器命名為newnginx。
  1. docker create -v /mnt -it --name newnginx docker.io/nginx /bin/bash
利用此資料容器容器執行一個容器nginx1，在資料目錄/mnt下建立一個檔案。
  1. docker run --volumes-from newnginx --name nginx1 -it docker.io/nginx /bin/bash
利用資料容器在建立一個容器nginx2，檢視資料目錄下容器nginx1建立的檔案依舊存在，同理在nginx2的/mnt下建立檔案，其他基於資料容器執行的新容器也可以看到檔案。 
資料盤管理
在刪除容器時，Docker預設不會刪除其資料盤。
  1. docker volume ls                    #檢視資料盤
  2. docker volume ls -f dangling=true        #檢視未被容器使用的資料盤
  3. docker volume rm VOLUME NAME        #刪除資料盤
如果想要刪除容器時，同時刪除掉其資料盤，那麼可以使用-v引數。
  1. docker rm -v newnginx
網路

 

Docker提供幾種網路，它決定容器之間和外界和容器之間如何去相互通訊。
  1. docker network ls        #檢視網路
當Docker行程啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就透過交換機連在了一個二層網路中。從docker0子網中分配一個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。在主機上建立一對虛擬網絡卡veth pair裝置，Docker將veth pair裝置的一端放在新建立的容器中，並命名為eth0（容器的網絡卡），另一端放在主機中，以vethxxx這樣類似的名字命名，並將這個網路裝置加入到docker0網橋中。
Bridge橋接網路
除非建立容器的時候指定網路，不然容器就會預設的使用橋接網路。屬於這個網路的容器之間可以相互通訊，不過外界想要訪問到這個網路的容器呢，需使用橋接網路，有點像主機和容器之間的一座橋，對容器有一點隔離作用。實際是在iptables做了DNAT規則，實現埠轉發功能。可以使用iptables -t nat -vnL檢視。
Host主機網路
如果啟動容器的時候使用host樣式，那麼這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網絡卡，配置自己的IP等，而是使用宿主機的IP和埠。但是，容器的其他方面，如檔案系統、行程串列等還是和宿主機隔離的。只用這種網路的容器會使用主機的網路，這種網路對外界是完全開放的，能夠訪問到主機，就能訪問到容器。
使用None樣式
Docker容器擁有自己的Network Namespace，但是，並不為Docker容器進行任何網路配置。也就是說，這個Docker容器沒有網絡卡、IP、路由等資訊。需要我們自己為Docker容器新增網絡卡、配置IP等。使用此種網路的容器會完全隔離。
簡單演示
啟動兩個容器，檢視其容器內部IP地址：
  1. for i in `docker ps |grep -v "CONTAINER"|awk '{print $1}'`;do docker inspect $i|grep 'IPAddress';done
檢視橋接樣式下主機內部容器之間和容器與宿主機直接均可正常通訊：
 
  1. docker inspect 容器ID
檢視host建立的容器內部沒有IP地址，它使用的為宿主機的地址：
  1. docker run -d --net host docker.io/sergeyzh/centos6-nginx
檢視host建立的容器內部沒有IP地址，它使用的為宿主機的地址：
  1. docker run -d --net none docker.io/sergeyzh/centos6-nginx
容器埠
如果想讓外界可以訪問到，基於bridge網路建立的容器提供的服務，那你可以告訴Docker你要使用哪些介面。如果想檢視映象會使用哪些埠，ExposedPorts，可以獲悉映象使用哪些埠。
  1. docker run -d -p 80 docker.io/sergeyzh/centos6-nginx        
  2. docker port 09648b2ff7f6
-p 引數會在宿主機隨機對映一個高階口到容器內的指定埠。 
  1. docker run -d -p 80:80 docker.io/sergeyzh/centos6-nginx    #將宿主機的80埠對映到容器的80埠
原文連結：https://juejin.im/post/5c491406e51d4518c1551fd6

    贊(0)
    標籤：

    相關推薦

    熱門標籤

    iOS (11238)微軟 (4955)Linux (4274)安全 (4180)Python (4161)效能 (3165)運維 (2774)最佳化 (2419).NET (2262)Google (2136)機器學習 (1795)併發 (1613)分散式 (1559)叢集 (1240)SQL (1174)Mysql (1060)區塊鏈 (1017)Docker (977)微服務 (922)面試 (919)Apache (743)NLP (725)Redis (719)Android (668)Git (640)架構師 (632)Nginx (630)Facebook (599)JVM (595)爬蟲 (476)

    熱門文章

    分享創造快樂