Docker - Sim Wiki

最后修改人	sim
最后修改时间	2022-04-29 11:52:22
创建人	sim
创建时间	2022-04-29 11:31:53

该文档由 sim 创建于 2022-04-29 11:31:53 ， sim 在 2022-04-29 11:52:22 修改了该文档。

[TOCM]

**本文内容主要来源于 docker -h**

- docker使用中的一些问题

1. docker容器突然不能ping通外网，容器的网络访问基于宿主机的转发，很多系统默认都是关闭转发的，所以只需要修改开启宿主机的转发参数即可 net.ipv4.ip_forward = 1
2. 设置容器自启动，在docker服务重启时一般容器默认是不会自动启动的，需要在run时添加 --restart=always 参数才会自动启动，如果在run时没有添加，也可以用docker update命令添加

------------
- Management Commands:
```shell
  builder		创建镜像命令，功能和docker build一样
  config		docker配置文件，swarm集群使用
  container	和Commands中的部分容器命令相同，不列举了
  context		Manage contexts
  image		和Commands中的部分镜像命令功能相同，不列举了，prune命令删除不使用的镜像
   docker image prune #删除不使用的镜像
  network		管理docker的网络（下面详细讲）
  node		swarm集群使用
  plugin		docker的插件管理
   create		创建插件
   disable		禁用某个插件
   enable		启用某个插件
   inspect		查看插件的元数据信息
   install		安装插件
   ls			列出已安装的插件
   push		推送插件至版本库
   rm			删除插件
   set			设定插件
   upgrade     升级插件
  service		swarm集群使用
  stack		swarm集群使用
  swarm		swarm集群使用
  system		docker相关信息命令
   df			查看docker镜像和容器使用的磁盘空间（docker system df | docker system df -v）
   events		查询docker的事件日志和docker events功能一样
   info		查看docker的客户端服务端及所在宿主相关系统信息等和docker info功能一样（docker system info）
   prune		删除不适用的镜像，和docker image prune命令一样
  trust		对镜像进行加密与认证信任管理
  volume		本地数据卷管理，数据持久化 （容器数据持久化，可使用多个-v，在run容器时通过-v参数挂载，-v simfile:/data:rw 或 -v /opt/simfile:/data:rw 其simfile和/opt/simfile为数据卷或本地目录，/data为容器中的目录路径，:rw为可读写权限）
   create		创建一个本地数据卷 docker volume create simfile
   inspect		查看本地数据库具体信息，比如卷对应的实际物理目录路径 docker volume inspect simfile
   ls			列出本地已经创建的数据卷 docker volume ls
   prune		删除本地未在使用的数据卷 docker volume prune
   rm			删除指定的本地数据卷 docker volume rm simfile
```

- 镜像相关命令 容器相关命令
```shell
Commands:
  attach		容器命令，连接到一个正在运行的容器并显示输出，需加上--sig-proxy=false参数保证Ctrl+C退出时不stop容器，建议使用exec代替
   docker attach --sig-proxy=false mywebserver（容器名）
  build		镜像命令，通过Dockfile来构建镜像, 内容主要以先from基本镜像，并添加相关命令，from zelot1982/docker-test:sim-nginx 在build时加上参数 -t 指定镜像名（仓库名）和tag名（下面会详细讲）
   docker build . || docker build -f /tmp/Dockerfile . || docker build -f /tmp/Dockerfile -t zelot1982/docker-test:sim-nginx_v2
  commit		镜像命令，根据容器创建一个新的镜像  docker commit -a "123（随便写）" mywebserver（容器名） zelot1982/docker-test:sim-nginx（仓库名：tag名，这样方便后续把新建的镜像上传到镜像仓库）
   docker commit -a "sim" mywebserver zelot1982/docker-test:sim-nginx
  cp		容器命令，在宿主机和容器间复制文件（宿主机复制到容器 docker cp /opt/info.html mywebserver:/usr/share/nginx/html/ && 容器复制到宿主机 docker cp mywebserver:/usr/share/nginx/html/info.html /opt/）
   docker cp /opt/info.html mywebserver:/usr/share/nginx/html/ || docker cp mywebserver:/usr/share/nginx/html/info.html /opt
  diff		容器命令，对比镜像和容器之间的变动，C变动，A为新增
   docker diff mywebserver
  events		镜像命令，显示查询docker的事件日志
   docker events
  exec		容器命令，连接进入一个正在运行的容器中，或者在exec后直接执行命令
   docker exec -it mywebserver bash || docker exec -it mywebserver ls /tmp
  export		容器命令，以tar包压缩的方式导出容器内所有文件,（其实相当于以tar压缩包的方式保存和备份容器，可配合import命令将备份的容器还原成镜像的方式，完成容器的备份与恢复）
   docker export -o xxx.tar mywebserver || docker export mywebserver > /tmp/nginx.tar
  history		镜像命令，显示镜像文件的历史命令
   docker history nginx（镜像名）
  images		镜像命令，显示镜像文件
   docker images -a
  import		镜像命令，将通过export命令导出的容器tar包来完成镜像的创建，将通过export命令备份的容器恢复成镜像，恢复时可自行命名镜像名（仓库名）和tag名。在用恢复的镜像run时需要带上原容器的command，用docker ps --no-trunc查看			      原容器的command并记录，执行run时加上，如：docker run -itd --name test-nginx -p 8088:80 zelot1982/docker-test:sim-nginx_v1 /docker-entrypoint.sh nginx -g 'daemon off;' 最后/docker-entrypoint.sh nginx -g 'daemon off;'就是command
   docker import ng.tar.gz zelot1982/docker-test:sim-nginx_v2 -m "sim-2021-7-30"
  info		查看docker版本及系统相关信息
   docker info
  inspect		获取容器/镜像的元数据（构建配置文件）
   docker inspect mywebserver（容器名）或 nginx（镜像名）
  kill			容器命令，快速kill容器进程
   docker kill mywebserver（容器名）
  load		镜像命令，功能与import差不多，但是只能恢复成导出的镜像的镜像名与tag名，不像import可以自定义；但是通过save与load备份恢复的镜像在run时不用带上command参数
   docker load -i nginx.tar
  login		登录docker hub或者私库
   docker login -u zelot1982 -p Aa58431167 || docker login -u zelot1982 -p Aa58431167 192.168.2.150:5000（私有仓库地址和端口）
  logout		退出登录docker hub或者私库
   docker logout || docker logout 192.168.2.150:5000
  logs		容器命令，查询容器的日志
   docker logs mywebserver
  pause		容器命令，暂停容器服务
   docker pause mywebserver
  port		容器命令，查看容器的端口监听
   docker port mywebserver
  ps			容器命令，查看启动状态的容器，加-a查看所有状态的容器
   docker ps | docker ps -a
  pull			镜像命令，下载docker hub或者私库的镜像（docker pull centos:7 其中centos相当于名叫centos的仓库，冒号后面数字是版本号，意思是从centos仓库下载tag号为7的系统，既centos7系统）
   docker pull nginx || docker pull centos:7
  push		镜像命令，上传镜像到docker hub或者私库（与docker tag配合使用，上传前需要docker login || docker push zelot1982/docker-test（docker hub仓库或私库）:hello-sim（tag名））
   docker push zelot1982/docker-test:hello-sim
  rename		容器命令，对容器进行重命名，可在启动状态下执行（容器名不可重复）
   docker rename webserver mywebserver
  restart		容器命令，重新启动容器
   docker restart mywebserver
  rm			容器命令，删除容器
   docker rm -f mywebserver
  rmi			镜像命令，删除镜像（tag为latest的镜像可以直接用镜像名删除，否则需docker rmi zelot1982/docker-test [镜像名（其实应该是仓库名..）]:hello-sim（tag名））如果有容器正在使用该镜像是需要加参数 -f 才能删除
   docker rmi nginx || docker rmi zelot1982/docker-test:hello-sim
  run			容器命令，通过镜像启动并命名创建容器，并在启动时候添加对应的端口映射和存储目录（8080为实际物理访问端口，80为容器内监听端口），--restart=always为自动重启容器，第一次启动拉起容器需要通过镜像用run的方式，之后可以通过start|stop|restart启动和关闭
   docker run -itd --name webserver -p 8080:80 nginx || 配置端口映射与磁盘挂载：docker run --restart=always -itd --name test-nginx -p 8080:80 -v simfile:/sim:rw zelot1982/docker-test:sim-nginx_v1 /docker-entrypoint.sh nginx -g 'daemon off;'
  save		镜像命令，功能与export相似，可针对镜像导出，export只能针对容器导出
   docker save -o nginx.tar nginx:v1
  search		镜像命令，搜索docker hub或者私库上的镜像
   docker search nginx
  start		容器命令，启动已经创建的容器
   docker start mywebserver
  stats		容器命令，查看启动的容器的资源占用情况（CPU,内存,带宽等）
   docker stats mywebserver
  stop		容器命令，停止容器
   docker stop mywebserver
  tag			镜像命令，更改镜像tag与名称（docker tag hello-world:latest（原镜像名称） zelot1982/docker-test（docker hub仓库或者私库）:hello-sim（变更的tag名））
   docker tag hello-world:latest zelot1982/docker-test:hello-sim
  top			容器命令，查看容器内进程
   docker top mywebserver
  unpause		容器命令，解除容器暂停状态（和pause配合使用）
   docker unpause mywebserver
  version		查看docker版本
   docker version
  wait		容器命令，阻塞一个容器，直到该容器退出关闭时docker wait返回相应的退出码，如果针对的容器并未运行则直接返回0
   docker wait mywebserver
  update		容器命令，更新容器的动态参数，如CPU,内存
   docker update --memory 1024m --memory-swap -1 test-nginx
```

- docker run 命令详解：
```shell
      --add-host list                  Add a custom host-to-IP mapping (host:ip)
  -a, --attach list                    Attach to STDIN, STDOUT or STDERR
      --blkio-weight uint16            Block IO (relative weight), between 10 and 1000, or 0 to disable (default 0)
      --blkio-weight-device list       Block IO weight (relative device weight) (default [])
      --cap-add list                   Add Linux capabilities
      --cap-drop list                  Drop Linux capabilities
      --cgroup-parent string           Optional parent cgroup for the container
      --cgroupns string                Cgroup namespace to use (host|private)
                                       'host':    Run the container in the Docker host's cgroup namespace
                                       'private': Run the container in its own private cgroup namespace
                                       '':        Use the cgroup namespace as configured by the
                                                  default-cgroupns-mode option on the daemon (default)
      --cidfile string                 Write the container ID to the file
      --cpu-period int                 Limit CPU CFS (Completely Fair Scheduler) period
      --cpu-quota int                  Limit CPU CFS (Completely Fair Scheduler) quota
      --cpu-rt-period int              Limit CPU real-time period in microseconds
      --cpu-rt-runtime int             Limit CPU real-time runtime in microseconds
  -c, --cpu-shares int                 CPU shares (relative weight)
      --cpus decimal                   Number of CPUs
      --cpuset-cpus string             CPUs in which to allow execution (0-3, 0,1)
      --cpuset-mems string             MEMs in which to allow execution (0-3, 0,1)
  -d, --detach                         Run container in background and print container ID
      --detach-keys string             Override the key sequence for detaching a container
      --device list                    Add a host device to the container
      --device-cgroup-rule list        Add a rule to the cgroup allowed devices list
      --device-read-bps list           Limit read rate (bytes per second) from a device (default [])
      --device-read-iops list          Limit read rate (IO per second) from a device (default [])
      --device-write-bps list          Limit write rate (bytes per second) to a device (default [])
      --device-write-iops list         Limit write rate (IO per second) to a device (default [])
      --disable-content-trust          Skip image verification (default true)
      --dns list                       Set custom DNS servers
      --dns-option list                Set DNS options
      --dns-search list                Set custom DNS search domains
      --domainname string              Container NIS domain name
      --entrypoint string              Overwrite the default ENTRYPOINT of the image
  -e, --env list                       Set environment variables
      --env-file list                  Read in a file of environment variables
      --expose list                    Expose a port or a range of ports
      --gpus gpu-request               GPU devices to add to the container ('all' to pass all GPUs)
      --group-add list                 Add additional groups to join
      --health-cmd string              Command to run to check health
      --health-interval duration       Time between running the check (ms|s|m|h) (default 0s)
      --health-retries int             Consecutive failures needed to report unhealthy
      --health-start-period duration   Start period for the container to initialize before starting health-retries countdown (ms|s|m|h) (default 0s)
      --health-timeout duration        Maximum time to allow one check to run (ms|s|m|h) (default 0s)
      --help                           Print usage
  -h, --hostname string                Container host name
      --init                           Run an init inside the container that forwards signals and reaps processes
  -i, --interactive                    Keep STDIN open even if not attached
      --ip string                      IPv4 address (e.g., 172.30.100.104)
      --ip6 string                     IPv6 address (e.g., 2001:db8::33)
      --ipc string                     IPC mode to use
      --isolation string               Container isolation technology
      --kernel-memory bytes            Kernel memory limit
  -l, --label list                     Set meta data on a container
      --label-file list                Read in a line delimited file of labels
      --link list                      Add link to another container
      --link-local-ip list             Container IPv4/IPv6 link-local addresses
      --log-driver string              Logging driver for the container
      --log-opt list                   Log driver options
      --mac-address string             Container MAC address (e.g., 92:d0:c6:0a:29:33)
  -m, --memory bytes                   Memory limit
      --memory-reservation bytes       Memory soft limit
      --memory-swap bytes              Swap limit equal to memory plus swap: '-1' to enable unlimited swap
      --memory-swappiness int          Tune container memory swappiness (0 to 100) (default -1)
      --mount mount                    Attach a filesystem mount to the container
      --name string					为run的容器定义一个容器名
      --network network                Connect a container to a network
      --network-alias list             Add network-scoped alias for the container
      --no-healthcheck                 Disable any container-specified HEALTHCHECK
      --oom-kill-disable               Disable OOM Killer
      --oom-score-adj int              Tune host's OOM preferences (-1000 to 1000)
      --pid string                     PID namespace to use
      --pids-limit int                 Tune container pids limit (set -1 for unlimited)
      --platform string                Set platform if server is multi-platform capable
      --privileged                     Give extended privileges to this container
  -p, --publish list                   Publish a container's port(s) to the host
  -P, --publish-all                    Publish all exposed ports to random ports
      --pull string                    Pull image before running ("always"|"missing"|"never") (default "missing")
      --read-only                      Mount the container's root filesystem as read only
      --restart string                 Restart policy to apply when a container exits (default "no")
      --rm                             Automatically remove the container when it exits
      --runtime string                 Runtime to use for this container
      --security-opt list              Security Options
      --shm-size bytes                 Size of /dev/shm
      --sig-proxy                      Proxy received signals to the process (default true)
      --stop-signal string             Signal to stop a container (default "SIGTERM")
      --stop-timeout int               Timeout (in seconds) to stop a container
      --storage-opt list               Storage driver options for the container
      --sysctl map                     Sysctl options (default map[])
      --tmpfs list                     Mount a tmpfs directory
  --rm							在run时添加--rm参数可以在容器停止后自动删除这个容器
  -t, --tty							在run时为容器添加一个终端接口（exec时使用）
      --ulimit ulimit                  Ulimit options (default [])
  -u, --user string                    Username or UID (format: <name|uid>[:<group|gid>])
      --userns string                  User namespace to use
      --uts string                     UTS namespace to use
  -v, --volume list					挂载数据卷或者本地目录（-v simfile:/data:rw 或者 -v /opt/simfile:/data:rw 其中simfile为通过volume创建的数据卷，/opt/simfile为本地目录，/data为容器中的目录挂载路径，rw为权限，可通过多个-v挂载多个）
      --volume-driver string           Optional volume driver for the container
      --volumes-from list			挂载和另一个容器一样的数据卷或目录（--volumes-from test-nginx 其中test-nginx为被复制挂载点的容器，比如test-nginx挂载了3个目录，启动test-nginx02时要和test-nginx挂载一样时，使用这个命令）
  -w, --workdir string                 Working directory inside the container
```

- 例子：Docker构建镜像，构建一个node（H5）镜像

Dockerfile文件
```shell
FROM node:current-slim	#基础镜像（node环境的基础镜像）
WORKDIR /usr/src/app	#工作目录
COPY package.json .		#复制package.json文件复制到当前目录（工程目录）
RUN npm install			#运行安装（npm install）
EXPOSE 8080			#绑定端口（8080）
CMD [ "npm", "start" ]	#运行命令（npm start）
COPY . .					#复制当前目录到工作目录
```
通过Dockerfile来build镜像
```shell
docker build -t zelot1982/docker-test:node_test_v1 .
```
通过新创建的镜像运行容器，-p将容器内的8080端口映射到宿主机的8000端口
```shell
docker run -p 8000:8080 -itd --name nodeweb zelot1982/docker-test:node_test_v1
```
docker网络，默认时桥接方式
```shell
在run容器时可以通过 --net mynet01 来指定容器加入哪个网络中（如mynet01）
docker network 容器网络管理命令
  connect		连接到一个已经create的容器网络中，使容器能在同一网段中互联（docker network connect mynet01 myos02 这是将myos02容器（172.19.0.2）加入myos01容器（172.18.0.2）所在的网络mynet01中（172.18.0.0/16））
  create			创建一个容器网络，（docker network create mynet01）
  disconnect		退出一个已经连接的容器网络，（docker network disconnect mynet01 myos2 是将容器myos2 退出mynet01网络中）
  inspect			显示创建的容器网络信息，（docker network inspect mynet01）
  ls				显示已经创建的容器网络名，（docker network ls）
  prune			删除所有不在使用的容器网络，（docker network prune）
  rm				删除指定的容器网络，（docker network rm mynet01 删除mynet01容器网络）
```

容器互相访问，主要有三种方式：
```shell
1.使用docker network connect （容器内2个IP地址）或者在run容器时指定--net（容器内1个IP地址） 将一个容器连接到另一个容器的网络中
2.创建一个第三方容器网络，然后通过docker network connect命令将需要互联的容器都加入这个第三方容器网络中（容器内2个IP地址）
3.创建iptables策略，增加docker访问链，并添加互访策略。
   iptables -t filter -vL
   iptables -I DOCKER-USER -i br-########1 -o br-########2 -j ACCEPT
   iptables -I DOCKER-USER -i br-########2 -o br-########1 -j ACCEPT
   具体微调
   iptables -I DOCKER-USER -i br-########1 -o br-########2 -s 172.17.0.2 -d 172.19.0.2 -j ACCEPT
   iptables -I DOCKER-USER -i br-########2 -o br-########1 -s 172.19.0.2 -d 172.17.0.2
```

- 参考docker网络的一些限制：

```shell
链接到虚拟网络适配器docker0网桥的设备限制：(最多1023/网桥)
挂载联合文件系统(AUFS)和shm文件系统：(最大挂载数量1048576)
在镜像image上创建的层数layer数量：（最多127layer每个镜像）
fork出来一个docker-containerd-shim的管理进程:(每个容器平均3M左右，系统最大进程数sysctl kernel.pid_max)
docker daemon守候进程管理容器的内部数据：(~400k 每个容器)
创建内核的cgroup和namespace
打开文件描述符：(启动中的容器16个左右) ulimit -n 和 sysctl fs.file-max
端口映射，-p将会在宿主机上为每一个映射的端口启动一个外部进程：（平均每个端口占用~4.5MB每个端口）
–net=none 和 –net=host将会移除网络消耗。
```

Dockerfile镜像构建，docker镜像构建使用 docker build 命令通过Dockerfile来构建镜像
```shell
docker build -t myimages:v1 .
docker build -t myimages:v1 -f /var/opt/Dockerfile .

-t 指定构建镜像名称
-f 指定Dockfile文件位置

docker build 构建镜像上下文目录不要使用“/”根目录。指定上下文目录时会把该目录内所有内容传输进镜像目录中
```
- 在构建完镜像，第一次run拉起创建容器时不要在最后加上/bin/bash或者别的CMD命令，会导致容器内的命令被覆盖

Dockerfile格式：
1. 指令与参数 。 指令不区分大小写，推荐使用大写用于区分指令与参数；
2. 每个Dockerfile必须以FROM开始，（FROM 基础镜像，#为注释符，在一行中任何地方标注#之后内容都视为注释）

Dockerfile指令：
```shell
FROM			设置基础镜像，ARG CODE_VERSION=7 ; FROM centos:${CODE_VERSION}
MAINTAINER		设置镜像的作者，和LABEL类似 MAINTAINER sim@icloud.com
RUN				在容器构建时运行的命令，格式分bash和exec二种RUN /bin/bash -c 'echo $HOME' 和RUN ["/bin/bash","-c","echo $HOME; echo $ENV"] RUN的命令最好合并在一条命令中，一般时安装程序的命令
CMD			在容器构建完成后运行时命令和RUN类似，也是bash和exec二种格式，只会生效一条；CMD /bin/bash -c mkdir ./test 和 CMD ["/bin/bash","-c","mkdir ./test"]
LABEL			设置镜像标签备注，LABEL DEVLANG="Java SE" DEVER="1.6"
EXPOSE			设置监听端口，可以指定TCP或UDP，也可以在run容器时通过-p 80:80 参数去覆盖它，默认TCP； EXPOESE 80/tcp 443/tcp
ENV				设置容器的环境变量 ENV name Sim 或多个 ENV name=Sim oldname=Simer || 引用变量 $name 或 $(name) 也可以在run容器时候通过 --env name=Sim 来覆盖变量
ADD				添加文件源文件只能在当前目录或者http网址文件添加， ADD --chown=deploy:deploy images/*.txt /newimg/ ||--chown指定属主，images/*.txt为宿主机目录，/newimg/为容器内目录；复制目录 ADD mydir /tmp/mydir
				网址添加 ADD http://www.wangyanhan.com.cn/cc.jpg /tmp/mydir/ ；还可以通过压缩包（zip，tar）可以直接add并解压缩（远程除外）
COPY			复制文件进容器，和ADD功能类似，但是COPY不支持网络方式以及不会自动解压压缩文件
ENTRYPOINT		容器启动执行命令，如果容器没有指定ENTRYPOINT则默认执行CMD命令，如有则默认执行ENTRYPOINT，可在容器run时用 --entrypoint替换 
VOLUME			在镜像创建挂载点，VOLUME ["/myvol"] 但是无法挂载本地已经创建的volume或宿主机的指定目录，只能随机挂载，主要用于防止数据写入容器数据层，保证容器无状态化，可在run容器时用 -v参数覆盖挂载点，添加-v参数后dockerfile中的VOLUME参数就不生效了
USER			在镜像中指定用户来运行命令和启动容器，需要先用RUN useradd deploy 创建用户 然后再用 USER deploy 来指定用户
WORKDIR		再镜像中创建工作目录（类似家目录），定义后RUN、CMD、ENTRYPOINT、COPY 和 ADD命令的路径将基于workdir设定的目录为家目录
ARG				编译镜像时使用的参数，主要用于FROM的变量，写在FROM之前，ARG OS_VER=7 在FROM中引用 FROM centos:${OS_VER} 或 FROM centos:$OS_VER
ONBUILD
STOPSIGNAL
```

- 关于CMD和ENTRYPOINT:
 ENTRYPOINT，表示镜像在初始化时需要执行的命令，不可被重写覆盖，需谨记
 CMD，表示镜像运行默认参数，可被重写覆盖
 ENTRYPOINT/CMD都只能在文件中存在一次，并且最后一个生效 多个存在，只有最后一个生效，其它无效！
 需要初始化运行多个命令，彼此之间可以使用 && 隔开，但最后一个须要为无限运行的命令，需切记！