Docker 学习笔记：镜像分发、容器运行与资源限制

本笔记续接上一部分，涵盖镜像命名与分发、容器的核心操作、底层技术（cgroup/namespace）以及 CPU/内存资源限制。所有案例代码均经验证，直接可用。

8. 镜像命名与分发最佳实践

8.1 为镜像命名

镜像全称由三部分组成：Registry地址/命名空间/仓库名:标签

例如：

text

复制代码

054b8ac70e8010d90f2ac00ef29e6580.mirror.swr.myhuaweicloud.com/library/nginx:latest

若未指定 tag，默认使用 latest。注意：latest 仅是一个普通标签，不代表最新稳定版，只是约定俗成。

8.2 版本标签方案

以 myimage 为例，假设发布 v1.9.1：

bash

复制代码

docker tag myimage:v1.9.1 myimage:1
docker tag myimage:v1.9.1 myimage:1.9
docker tag myimage:v1.9.1 myimage:1.9.1
docker tag myimage:v1.9.1 myimage:latest

后续发布 v1.9.2、v2.0.0 时，重新打标签，让 1、1.9、latest 始终指向该分支最新版本。

8.3 使用公共仓库 Docker Hub

bash

复制代码

# 登录
docker login -u yourname

# 重命名镜像
docker tag httpd yourname/httpd:v1

# 上传
docker push yourname/httpd:v1

8.4 使用华为云镜像仓库 SWR

bash

复制代码

# 获取临时登录指令（在华为云控制台复制）
docker login -u cn-east-3@xxx -p xxx swr.cn-east-3.myhuaweicloud.com

# 打标签
docker tag httpd:centos swr.cn-east-3.myhuaweicloud.com/gaoqiaodong/centos_httpd:v1

# 推送
docker push swr.cn-east-3.myhuaweicloud.com/gaoqiaodong/centos_httpd:v1

8.5 搭建私有仓库 Registry

bash

复制代码

# 一键启动
docker run -d -p 5000:5000 -v /myregistry:/var/lib/registry --name registry registry:2

# 打标签并推送
docker tag httpd localhost:5000/httpd:v1
docker push localhost:5000/httpd:v1

# 拉取
docker pull localhost:5000/httpd:v1

8.6 企业级仓库 Harbor 简明部署

bash

复制代码

# 下载离线包
wget https://github.com/goharbor/harbor/releases/download/v2.9.1/harbor-offline-installer-v2.9.1.tgz
tar -xvf harbor-offline-installer-v2.9.1.tgz
mkdir /opt/harbor && mv harbor/* /opt/harbor/
cd /opt/harbor
docker load -i harbor.v2.9.1.tar.gz

# 配置 harbor.yml
cp harbor.yml.tmpl harbor.yml
vim harbor.yml   # 修改 hostname，注释 https，设置初始密码

# 安装
./prepare
./install.sh

上传镜像到 Harbor：

bash

复制代码

# 配置非安全仓库（若无 HTTPS）
vim /etc/docker/daemon.json
# 添加 "insecure-registries": ["192.168.108.30"]
systemctl restart docker

# 登录并推送
docker login 192.168.108.30 -u images_admin -p Cloud12$
docker tag nginx:latest 192.168.108.30/cloud/nginx:latest
docker push 192.168.108.30/cloud/nginx:latest

8.7 镜像的导出与导入

bash

复制代码

# 导出为 tar
docker save httpd -o httpd.tar

# 从 tar 导入
docker load -i httpd.tar

注意：docker export 导出的是容器文件系统（丢失元数据），docker save 导出的是完整镜像（含分层和标签），两者不可混用。

9. 容器核心操作

9.1 运行容器

复制代码

docker run = docker create + docker start

bash

复制代码

# 创建但不启动
docker create ubuntu

# 启动已创建的容器
docker start <容器ID>

# 直接运行（执行完后退出）
docker run ubuntu pwd

让容器保持运行：

bash

复制代码

# 前台执行死循环（占用终端）
docker run ubuntu /bin/bash -c "while true; do sleep 1; done"

# 后台运行
docker run -d ubuntu /bin/bash -c "while true; do sleep 1; done"

# 运行服务类容器（如 httpd）
docker run -d -p 80:80 httpd

9.2 进入容器的两种方式

docker attach：直接连接容器的主进程终端。

bash
复制代码
```
docker attach <容器ID>
# 使用 Ctrl+p Ctrl+q 安全退出
```
docker exec：在容器中启动新进程（推荐）。

bash
复制代码
```
docker exec -it <容器ID> bash
```
docker logs -f：查看容器主进程输出，不进入容器。

9.3 容器按用途分类

服务类容器 ：以 -d 后台运行，如 web server、数据库。
工具类容器 ：以 -it 交互运行，用完即删，如 busybox wget。

9.4 容器的启停与重启

bash

复制代码

docker stop <容器>     # 发送 SIGTERM
docker kill <容器>     # 发送 SIGKILL
docker start <容器>    # 重新启动
docker restart <容器>  # 先 stop 再 start

自动重启策略：

bash

复制代码

docker run -d --restart=always httpd
# 可选值：no（默认）, on-failure[:次数], always, unless-stopped

重要：只有容器内主进程意外退出时 --restart 才生效；docker stop 主动停止不会触发自动重启。

9.5 暂停与删除

bash

复制代码

docker pause <容器>    # 暂停进程，不占用 CPU
docker unpause <容器>

# 删除容器
docker rm <容器ID>
# 批量删除已退出容器
docker rm -f $(docker ps -aq -f status=exited)

9.6 容器状态转换图

docker create → Created
docker start → Running
主进程退出 → Exited
docker run = create + start

10. 容器底层技术：cgroup 与 namespace

容器通过 cgroup 实现资源限额，通过 namespace 实现资源隔离。

10.1 namespace 一览

namespace	隔离内容
UTS	主机名和域名
IPC	信号量、消息队列、共享内存
PID	进程 ID 编号
Network	网络设备、IP、端口
User	用户和组
Mount	文件系统挂载点

简单验证：

bash

复制代码

# UTS 隔离
docker run --hostname mycontainer busybox hostname

# User 隔离
docker run -it ubuntu useradd test
# 宿主上并不会有 test 用户

10.2 cgroup 实战观察

bash

复制代码

# 启动一个带有 cpu-share 的容器
docker run -it --cpu-shares 512 ubuntu-with-stress -c 1 -v

# 查看其 cpu.shares 值
cat /sys/fs/cgroup/cpu/docker/<容器长ID>/cpu.shares
# 输出 512

11. 限制容器的内存与 CPU

11.1 内存限额

使用 stress 镜像生成压力测试：

dockerfile

复制代码

FROM ubuntu
RUN apt-get -y update && apt-get -y install stress
ENTRYPOINT ["/usr/bin/stress"]

bash

复制代码

docker build -t ubuntu-with-stress .

限制内存：

bash

复制代码

# 限制最大物理内存 200M，最大内存+swap 300M
docker run -it -m 200M --memory-swap=300M ubuntu-with-stress --vm 1 --vm-bytes 280M -v

若 --vm-bytes 超过 300M，容器会 OOM 退出。

参数说明：

-m / --memory：物理内存上限
--memory-swap：物理内存+swap 上限
- 等于 -m：不使用 swap
- 未设置：默认为 -m 的两倍
- -1：swap 不受限

11.2 CPU 限额（基于份额的调度）

通过 -c / --cpu-shares 设置相对权重，默认 1024。

bash

复制代码

# 容器 A，权重 1024
docker run --name container_A -it -c 1024 ubuntu-with-stress --cpu 4 -v

# 容器 B，权重 512
docker run --name container_B -it -c 512 ubuntu-with-stress --cpu 4 -v

当 CPU 资源争抢时，A 获得的时间片约为 B 的两倍。若 A 空闲，B 可使用全部 CPU。
重点：--cpu-shares 只在 CPU 竞争时生效。

12. 知识点速查表

12.1 镜像命名与推送流程速查

步骤	命令示例
登录仓库	`docker login -u user <registry_url>`
打标签	`docker tag local_image user/repo:tag`
推送到公共仓库	`docker push user/repo:tag`
启动本地 Registry	`docker run -d -p 5000:5000 -v /data:/var/lib/registry registry:2`
导出镜像	`docker save -o file.tar image:tag`
导入镜像	`docker load -i file.tar`

12.2 容器生命周期命令速查

命令	功能
`docker run -d --name web nginx`	后台运行并命名
`docker exec -it web bash`	进入容器执行命令
`docker logs -f web`	查看日志并持续输出
`docker stop web`	停止容器
`docker start web`	启动已存在的容器
`docker restart web`	重启容器
`docker rm -f web`	强制删除运行中的容器
`docker run --restart=always`	无论因何退出均自动重启

12.3 资源限制参数速查

参数	含义	示例
`-m` / `--memory`	物理内存限制	`-m 200M`
`--memory-swap`	物理内存+swap 总限制	`--memory-swap 300M`
`-c` / `--cpu-shares`	CPU 份额权重	`-c 512`
`--cpus`	限制使用的 CPU 核数	`--cpus=1.5`
`--cpuset-cpus`	绑定到指定 CPU 核心	`--cpuset-cpus=0-1`

12.4 cgroup 相关映射

资源	cgroup 路径示例
CPU 份额	`/sys/fs/cgroup/cpu/docker/<id>/cpu.shares`
内存限制	`/sys/fs/cgroup/memory/docker/<id>/memory.limit_in_bytes`
块设备 IO	`/sys/fs/cgroup/blkio/docker/<id>/...`

12.5 namespace 隔离验证示例

bash

复制代码

# PID 隔离
docker run -d --name test busybox sleep 3600
ps aux | grep sleep    # 在宿主上看到的 PID 不同于容器内的 PID 1

# 网络隔离
docker run --network none busybox ip a   # 仅 lo 接口

CPU 份额 | /sys/fs/cgroup/cpu/docker/<id>/cpu.shares |

| 内存限制 | /sys/fs/cgroup/memory/docker/<id>/memory.limit_in_bytes |

| 块设备 IO | /sys/fs/cgroup/blkio/docker/<id>/... |

12.5 namespace 隔离验证示例

bash

复制代码

# PID 隔离
docker run -d --name test busybox sleep 3600
ps aux | grep sleep    # 在宿主上看到的 PID 不同于容器内的 PID 1

# 网络隔离
docker run --network none busybox ip a   # 仅 lo 接口

本章笔记到此结束，下一部分将深入 Docker 网络、存储、日志监控与多容器编排。