Docker Daemon 配置文件是掌控容器运行时行为的"总闸门"。对 Java 开发/运维而言，理解它不仅是面试中的高级考点，更是搞定镜像加速、日志管理、资源隔离等生产问题的核心。
一、配置文件的实际位置
Docker 采用 优先级链 决定配置来源，不同环境路径有别：
| 场景 / 系统 | 配置文件路径 | 备注 |
|---|---|---|
| Linux 标准安装 | /etc/docker/daemon.json |
最普遍。不存在时需手动创建，JSON 格式。 |
通过 --config-file 指定 |
任意自定义路径 | 启动时显式指定，优先级最高，覆盖默认文件。 |
| Docker Desktop (Mac) | ~/.docker/daemon.json |
在图形界面 "Docker Engine" 配置区直接编辑，本质写入此文件。 |
| Docker Desktop (Windows) | %USERPROFILE%\.docker\daemon.json |
同上，通过设置界面修改或直接编辑该文件。 |
| 旧版或 snap 安装 | $SNAP_DATA/docker/current/config/daemon.json |
snap 沙箱路径，极少见。 |
启动时加载逻辑 ：守护进程会依次尝试
--config-file参数、默认路径/etc/docker/daemon.json，若无则使用内置默认值。
加载流程可用下图概括：
是
否
是
否
Docker Daemon 启动
是否指定 --config-file?
加载指定路径文件
/etc/docker/daemon.json 存在?
加载该文件
使用全部内置默认值
合并配置并启动
二、配置文件的格式规则
- 必须是合法 JSON，所有字符串用双引号，不允许注释。
- 支持 部分配置，未显式声明的项继承 Docker 内部默认值。
- 配置项是 Daemon 配置 ，不要与
docker-compose.yml或每个容器的配置搞混。
三、常用配置项全景与分类
以思维导图建立整体框架：
daemon.json 常用配置
存储与驱动
"data-root"
"storage-driver"
"dm.basesize"
镜像与仓库
"registry-mirrors"
"insecure-registries"
日志
"log-driver"
"log-opts"
网络
"bip"
"default-address-pools"
"dns"
安全与权限
"userns-remap"
"selinux-enabled"
"icc"
运行时与资源
"exec-opts"
"default-ulimits"
"live-restore"
集群与实验
"swarm"
"experimental"
以下表格逐项展开，并附上 Java 工程师的视角：
| 配置项 | 类型 | 用途 / 说明 | 面试与生产价值 |
|---|---|---|---|
data-root |
字符串 | Docker 数据根目录，存放镜像、容器可写层、卷等。默认 /var/lib/docker。 |
生产必配：避免系统盘打满。Java 日志若误落容器层，会快速耗尽此目录。 |
storage-driver |
字符串 | 显式指定存储驱动，如 overlay2、devicemapper。多数 Linux 发行版默认 overlay2。 |
底层理解：与文件系统兼容性相关，影响 CI/CD 清理策略。 |
registry-mirrors |
字符串数组 | 镜像加速器地址列表，如 ["https://mirror.aliyuncs.com"]。 |
高频考点：加速 docker pull，解决拉取超时，提升流水线速度。 |
insecure-registries |
字符串数组 | 允许使用 HTTP 或自签证书的私有仓库地址。 | 传统企业内网 Harbor 部署必备，关系到安全合规。 |
log-driver |
字符串 | 容器默认日志驱动：json-file、journald、syslog、fluentd 等。 |
架构决策：json-file 是 Docker 缺省值，生产通常改为 fluentd 或 gelf 集中采集 Java 日志。 |
log-opts |
对象 | 日志驱动参数，如 json-file 的 max-size、max-file。 |
防事故核心：未限制日志大小会导致磁盘爆满，Java 应用日志量大时必须设置。 |
exec-opts |
字符串数组 | 额外运行时参数，最重要： ["native.cgroupdriver=systemd"]。 |
K8s 必考：Kubernetes 推荐 systemd 做 cgroup 驱动，否则节点资源统计漂移。 |
dns |
字符串数组 | Docker 引擎给容器分配的默认 DNS 服务器，如 ["8.8.8.8"]。 |
微服务发现：自定义 DNS 可使容器内 Java 应用正确解析内部服务域名。 |
live-restore |
布尔值 | true 时，即使 Docker 守护进程重启，容器也能保持运行。 |
零停机运维：升级 Docker 版本而不中断 Java 业务，极为实用。 |
bip |
字符串 | 指定 docker0 网桥的 IP 地址段及掩码。 | 避免容器网络与办公网或云服务 VPC 网段冲突。 |
userns-remap |
字符串 | 用户命名空间重映射，提升容器逃逸的隔离性。 | 安全增强，在金融或强合规场景下考虑。 |
default-ulimits |
对象 | 容器默认的资源限制，如 nofile 最大文件句柄数。 |
Java 应用常需提高 nofile，防止高并发连接数限制。 |
experimental |
布尔值 | 开启实验特性，如 true 启用。 |
早期探索特性可用，生产环境建议保持 false。 |
四、配置如何生效
Daemon 配置文件不是热更新的，必须通过重启守护进程使其加载：
- 常规方式 ：
systemctl restart docker（会重启所有运行中容器，除非启用live-restore）。 - 优雅重载 ：发送 SIGHUP 信号
kill -SIGHUP $(pidof dockerd)，可重新加载部分日志、镜像代理等配置，但不支持所有改动。生产建议直接重启，并用live-restore保护容器。
运行中容器 Dockerd /etc/docker/daemon.json 运维人员 运行中容器 Dockerd /etc/docker/daemon.json 运维人员 容器短暂中断 手动编辑配置 (如添加 registry-mirrors) systemctl restart docker 若未开启 live-restore，停止容器 重新读取配置文件 按新配置重启容器
五、Java 面试延伸：你的 Daemon 配置折射架构思维
面试官通常通过 daemon 配置考察你 生产环境设计能力：
-
镜像与依赖管理
你如何保证 50 个微服务快速拉取基础镜像？通过
registry-mirrors与私有仓库策略，体现对 CI/CD 效率的理解。 -
日志治理
Java 的
System.out或 log4j 输出会成为容器日志。若你只字未提log-opts的max-size=10m，便暴露出缺乏"日志洪流导致节点磁盘故障"的实战经验。 -
Kubernetes 兼容性
为什么要在
exec-opts里指定native.cgroupdriver=systemd？因为 kubelet 默认也是 systemd，两者不一致会导致节点资源信息混乱，这是容器化 Java 应用上 K8s 的标配动作。 -
优雅关闭与零停机
live-restore: true让你在紧急升级 Docker 安全补丁时，不必中断所有 Java 交易进程，这是高级运维的关键分水岭。
总结 ：/etc/docker/daemon.json 不只是配置文件，它是容器基础设施的"架构说明书"。每一个配置项背后，都对应着一个线上故障的预防或者一次性能优化，这也是高级岗位必须了然于心的知识。