Docker 进阶指南：常用命令、最佳实践与资源管理

Docker 作为一种轻量级的容器化技术，已经成为现代软件开发和部署不可或缺的工具。本文将为您深入介绍 Docker 的常用命令、最佳实践以及如何有效管理容器资源，帮助您更好地在 Ubuntu 22.04 或其他类似环境中使用 Docker。

一、Docker 常用命令操作示例

1. 安装与配置

首先，让我们从 Docker 的安装和基本配置开始：

bash 复制代码

# 更新包索引
sudo apt update

# 安装 Docker
sudo apt install docker.io

# 启动 Docker 服务
sudo systemctl start docker

# 设置 Docker 开机自启
sudo systemctl enable docker

# 将当前用户添加到 docker 组（免 sudo 运行 docker 命令）
sudo usermod -aG docker $USER

# 应用组变更（需要重新登录才能生效）
newgrp docker

2. 镜像管理

Docker 镜像是容器的基础，以下是一些常用的镜像管理命令：

bash 复制代码

# 搜索镜像
docker search ubuntu

# 拉取镜像
docker pull ubuntu:22.04

# 列出本地镜像
docker images

# 删除镜像
docker rmi ubuntu:22.04

# 构建自定义镜像
docker build -t myapp:v1 .

# 推送镜像到 Docker Hub
docker push username/myapp:v1

# 保存镜像到文件
docker save -o myimage.tar myimage:latest

# 从文件加载镜像
docker load -i myimage.tar

3. 容器操作

容器是 Docker 的核心概念，以下是一些常用的容器操作命令：

bash 复制代码

# 创建并运行容器
docker run -it --name mycontainer ubuntu:22.04 /bin/bash

# 列出运行中的容器
docker ps

# 列出所有容器（包括已停止的）
docker ps -a 

# 启动/停止/重启容器
docker start mycontainer
docker stop mycontainer
docker restart mycontainer

# 进入运行中的容器
docker exec -it mycontainer /bin/bash

# 删除容器
docker rm mycontainer

# 查看容器日志
docker logs mycontainer

# 查看容器资源使用情况
docker stats mycontainer

# 将容器保存为新镜像
docker commit mycontainer mynewimage:v1

4. 网络管理

Docker 网络允许容器之间以及容器与外部世界进行通信：

bash 复制代码

# 创建自定义网络
docker network create mynetwork

# 列出所有网络
docker network ls

# 将容器连接到网络
docker network connect mynetwork mycontainer

# 断开容器与网络的连接
docker network disconnect mynetwork mycontainer

# 检查网络
docker network inspect mynetwork

5. 数据卷管理

数据卷用于持久化数据和在容器间共享数据：

bash 复制代码

# 创建数据卷
docker volume create myvolume

# 列出所有数据卷
docker volume ls

# 检查数据卷
docker volume inspect myvolume

# 删除数据卷
docker volume rm myvolume

# 使用数据卷运行容器
docker run -v myvolume:/data myimage

二、Docker 最佳实践

遵循以下最佳实践可以帮助您更有效地使用 Docker：

1. 镜像构建最佳实践

使用官方基础镜像：优先选择官方维护的基础镜像，如 Alpine 或 Ubuntu。
指定具体的镜像版本 ：避免使用 latest 标签，而是使用特定的版本标签。
使用多阶段构建：减小最终镜像大小，提高构建效率。
合理使用 .dockerignore 文件：排除不必要的文件，加快构建过程。
最小化镜像层数：合并 RUN 命令，减少镜像层数。

示例 Dockerfile：

dockerfile 复制代码

# 使用多阶段构建
FROM node:14 AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM nginx:alpine
COPY --from=builder /app/build /usr/share/nginx/html
EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

2. 容器运行最佳实践

一个容器一个进程：每个容器应该只运行一个主要进程。
使用非 root 用户：出于安全考虑，应该使用非 root 用户运行容器进程。
设置资源限制：为容器设置适当的 CPU 和内存限制。
使用健康检查：通过 HEALTHCHECK 指令确保容器中的应用正常运行。
正确处理信号：确保容器中的应用能够正确处理 SIGTERM 信号。

3. 安全最佳实践

定期更新基础镜像：及时更新基础镜像以修复已知漏洞。
扫描镜像漏洞：使用工具如 Trivy 或 Clair 定期扫描镜像漏洞。
不在镜像中存储敏感信息：使用环境变量或 Docker secrets 管理敏感信息。
限制容器的系统调用：使用 seccomp 或 AppArmor 限制容器的系统调用。
使用只读文件系统：尽可能使用只读文件系统运行容器。

4. 网络和存储最佳实践

使用用户定义的桥接网络：为容器间通信创建自定义网络。
使用命名卷：使用命名卷而不是绑定挂载来持久化数据。
合理使用端口映射：只暴露必要的端口，使用内部网络进行容器间通信。

5. 日志和监控最佳实践

集中化日志管理：使用日志驱动将容器日志发送到集中日志系统。
实施监控：使用 Prometheus 等工具监控容器的资源使用情况。
使用标签：合理使用标签来组织和管理容器。

三、Docker 容器资源限制

合理限制容器资源使用对于维护系统稳定性和优化性能至关重要。

1. 内存限制

设置内存硬限制：
bash 复制代码
```
docker run -m 512m myimage
```

设置内存软限制：

bash 复制代码

docker run -m 1g --memory-reservation=512m myimage

限制 Swap 使用：

bash 复制代码

docker run -m 512m --memory-swap 1g myimage

2. CPU 限制

设置 CPU 份额：
bash 复制代码
```
docker run --cpu-shares 512 myimage
```
限制 CPU 核心数：
bash 复制代码
```
docker run --cpus 2 myimage
```
指定 CPU 核心：
bash 复制代码
```
docker run --cpuset-cpus 0,1 myimage
```

3. I/O 限制

限制读写速度 ：

bash 复制代码

docker run --device-read-bps /dev/sda:1mb --device-write-bps /dev/sda:1mb myimage

4. 使用 Docker Compose 管理资源限制

在 docker-compose.yml 文件中可以更系统地管理资源限制：

yaml 复制代码

version: '3'
services:
  web:
    image: nginx
    deploy:
      resources:
        limits:
          cpus: '0.5'
          memory: 512M
        reservations:
          cpus: '0.25'
          memory: 256M

5. 监控和调整资源使用

使用 docker stats 命令实时监控容器资源使用情况。
利用监控工具如 Prometheus 和 Grafana 进行更详细的资源监控。
根据监控结果定期调整资源限制，确保资源被有效利用。

6. 资源限制最佳实践

了解应用需求：在设置限制前，充分了解应用的资源需求。
留有余地：设置限制时留有一定余地，避免因资源不足导致应用崩溃。
考虑峰值：资源限制应考虑应用可能的峰值使用情况。
定期审核：随着应用的发展，定期审核和调整资源限制。
使用编排工具：对于复杂的多容器应用，考虑使用 Kubernetes 等容器编排平台进行更精细的资源管理。

通过合理设置这些资源限制，您可以有效防止单个容器过度消耗系统资源，提高整体系统的稳定性和性能。结合前面介绍的常用命令和最佳实践，您将能够更加高效和安全地使用 Docker 进行开发和部署。