基本概念
容器是一种轻量级、可移植、自包含的软件打包技术,由两部分组成:应用程序、依赖环境。通过标准格式打包应用的所有代码和依赖关系,确保应用能够快速、可靠地在计算环境下运行。
当容器启动时,一个新的可写层被加载到镜像的顶部。这一层通常被称作"容器层",之下的都叫"镜像层"。所有对容器的改动,无论添加、删除、修改文件都只会发生在容器层中。只有容器层是可写的,镜像层都是只读的。
实现原理
namespace
通过kernel的命名空间,将各个容器的挂载点MNT、进程间通信IPC、内核、进程号PID、网络Net、用户User与宿主机隔离。
宿主机使用chroot技术将一个指定的运行目录作为容器的根运行环境;
同一个IPC namespace共享内存资源,不同IPC namespce隔离进程间通信资源;
UNIX Timesharing System包含了运行内核的名称、版本、底层体系结构类型等用于系统标识的信息,使hostname、domainname、内核相对独立;
进程隔离对不同容器的进程PID进行重新标号。内核为所有的PID namespace维护了一个树状结构,最顶层的是系统初始时创建的,被称为root namespace,比如每个容器下的第一个进程PID 1,拥有特权;而新创建的子进程在child namespace下。子进程看不到父进程,而父进程可以通过signal方式对子节点中的进程产生影响。
每一个容器都有自己的网卡、监听端口、TCP/IP协议栈等,docker使用 network namespace启动一个vethX接口,通常是docker0,使各个容器拥有独立的桥接IP。而docker0本质就是Linux的虚拟网桥,工作在数据链路层,通过mac地址对网络进行划分,并且在不同网络直接传递数据。
各个容器可以有相同的用户名称和ID的账户,但是此用户的有效范围仅是当前容器内。
cgroups
作用是限制一个进程组能够使用的资源上限,比如CPU,内存,磁盘,网络带宽等;
在每一个 cgroups 层级结构中,每一个节点(cgroup 结构体)可以设置对资源不同的限制权重。比如上图中 cgrp1 组中的进程可以使用60%的 cpu 时间片,而 cgrp2 组中的进程可以使用20%的 cpu 时间片。
整体架构
dockerd:常驻后台的进程,监听客户端,实际调用containerd的api接口;
Containerd:容器生命周期管理、日志管理、镜像管理、存储管理、容器网络接口及网络管理;
Containerd-shim:每启动一个容器都会起一个新的containerd-shim进程,作为容器运行载体。确保runc退出之后,容器正常运行;
Runc:容器运行时,创建和启停容器等;
安装配置
powershell
docker社区版安装:https://developer.aliyun.com/mirror/docker-ce?spm=a2c6h.13651102.0.0.666e1b113IQQe1
mkdr -p /etc/docker
vim /etc/docker/daemon.json
{
"registry-mirrors": ["https://<your-mirror-id>.mirror.aliyuncs.com"]
}
systemctl daemon-reload
systemctl restart docker
定位占用文件系统过大的容器
powershell
docker volume ls -q | xargs -I {} sh -c 'echo "查看卷: {}"; mountpoint=$(docker volume inspect --format "{{ .Mountpoint }}" {}); du -sh $mountpoint; echo "----------------------"'
关于容器、镜像、数据卷的常用命令
powershell
systemctl start docker #启动docker
systemctl stop docker #关闭docker
systemctl restart docker #重启docker
systemctl enable docker #设置开机自启动
systemctl status docker #查看docker运行状态
systemctl status docker.service #查询Docker服务状态
docker version #查看docker版本号信息
docker info #查看docker相关信息
docker stats #检查docker守护进程是否在运行
docker run:
-it 输出容器命令行的内容 即容器的自身的程序输出在控制台 有点类似前台运行
-d 和it相反 隐藏后台运行
-p 端口映射 9000::9000 外部(宿主机)端口:镜像里面运行的端口 将宿主机9000端口映射到镜像里面的9000端口
--restart 重启方式:--restart=always 表示该容器跟随docker自启
--name 启动后的容器名称
-v 挂载容器数据卷
--network 连接到某个网络(例如:--network test_net)
--network-alias 容器的网络名称(例如:--network-alias portainer)
powershell
docker images #查看镜像
#拉取镜像
docker pull 镜像名 #拉取最新版本的镜像
docker pull 镜像名:tag #拉取镜像,指定版本
#推送镜像到服务
docker push 镜像名
docker push 镜像名:tag
docker save -o 保存的目标文件名称 镜像名 #保存镜像为一个压缩包
docker load -i 文件名 #加载压缩包为镜像
#搜索镜像
docker search [options] TERM
#删除镜像。当前镜像没有被任何容器使用 才可以删除
docker rmi 镜像名/镜像ID #删除镜像
docker rmi -f 镜像名/镜像ID #强制删除
docker rmi -f 镜像名 镜像名 镜像名 #删除多个 其镜像ID或镜像用用空格隔开即可
docker rmi -f $(docker images -aq) #删除全部镜像,-a 意思为显示全部, -q 意思为只显示ID
docker image rm 镜像名称/镜像ID #强制删除镜像
#给镜像打标签
docker tag SOURCE_IMAGE[:TAG] TARGET_IMAGE[:TAG]
docker ps #显示正在运行的容器
docker ps -a #-a,--all 显示全部容器,包括已停止的(默认只显示运行中的容器)
#-p 将宿主机端口与容器端口映射,冒号左侧是宿主机端口,右侧是容器端口; -d 表示可后台运行容器 (守护式运行)
docker run --name containerName -p 80:80 -d nginx
docker pause 容器名/容器ID #让一个运行的容器暂停
docker unpause name #让一个容器从暂停状态恢复运行
docker stop name #停止一个或多个运行的容器(杀死进程、回收内存,仅剩文件系统)
docker start name #让一个停止的容器再次运行
docker start mysql redis rabbitmq nginx #启动多个容器
docker restart name #重启一个或多个容器
#docker stop与docker kill的区别:都可以终止运行中的docker容器。类似于linux中的kill和kill -9这两个命令,docker stop与kill相似,docker kill与kill -9类似
docker kill 容器名 #杀掉一个或多个运行中的容器
docker rename 容器名 新容器名 #更换容器名
#删除容器
docker rm 容器名/容器ID #删除容器
docker rm -f CONTAINER #强制删除
docker rm -f 容器名 容器名 容器名 #删除多个容器 空格隔开要删除的容器名或容器ID
docker rm -f $(docker ps -aq) #删除全部容器
docker inspect 容器名 #获取容器更多信息
docker ps -l #最后一次运行的容器
docker port 容器名/容器ID #查看端口的映射情况
docker logs 容器名 #查看容器运行日志
docker logs -f 容器名 #持续跟踪日志
docker logs -f --tail=20 容器名 #查看末尾多少行
docker diff 容器名 #查看容器的改动
#进入容器执行命令,两种方式 docker exec 和 docker attach,推荐docker exec
docker exec -it 容器名/容器ID bash
docker attach 容器名/容器ID
#从容器退到自己服务器中(不能用ctrl+C)
exit #直接退出:未添加-d(持久化运行容器)时,执行此参数 容器会被关闭
ctrl+p+q #优雅退出:无论是否添加-d参数,执行此命令容器都不会被关闭
#设置容器开机自启动
#法一 创建容器、使用docker run命令时,添加参数--restart=always,表示该容器随docker服务启动而自动启动
docker run --name mysqlLatest -p 3307:3306 --restart=always -d mysql
#若容器已启动,希望设置开机自启动
docker update 容器名/容器ID --restart=always
powershell
# 挂载数据卷
docker run --name mn -v html:/root/html -p 8080:80 nginx
数据卷操作:
docker volume create volumeName #创建数据卷
docker volume ls #查看所有数据卷
docker volume inspect volumeName #查看数据卷详细信息,包括关联的宿主机目录位置
docker volume rm volumeName #删除指定数据卷
docker volume prune #删除所有未使用的数据卷
docker run的命令中通过 -v 参数挂载文件或目录到容器中:
-v volume名称:容器内目录
-v 宿主机文件:容器内文件
-v 宿主机目录:容器内目录
Docker下容器间通信
桥接网络bridge
Docker中的每个容器都会被分配一个IP地址,并且可以通过这个 IP 地址在同一个网络内的其他容器之间进行通信;
主机网络host
容器会使用宿主机的tcp/ip协议栈,共享网络命名空间,不安全;
无网络模式none
容器不配置任何网络接口,只能使用 lo 回环设备;
容器网络模式container
和已存在的一个容器共享IP、主机名和名称空间,但文件系统、进程列表、服务、端口等还是隔离的。处于这个模式下的容器会共享一个网络栈,这样两个容器之间可以高效通信;