关于 Docker 的原理，看这一篇就够了
责编：Linux妹 | 来源：juejin.im/post/5c491406e51d4518c1551fd6
上一篇：Win11太拉胯！Linux 取代 Windows 日常使用可行吗？来看实测~
大家好，我是Linux妹。
一、概述
1.1 基本概念
Docker 是一个开源的应用容器引擎，基于 Go 语言 并遵从 Apache2.0 协议开源。
Docker 可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以实现虚拟化。
1.2 优势
1.3 与传统VM特性对比：
作为一种轻量级的虚拟化方式，Docker在运行应用上跟传统的虚拟机方式相比具有显著优势：
Docker 容器很快，启动和停止可以在秒级实现，这相比传统的虚拟机方式要快得多。 Docker 容器对系统资源需求很少，一台主机上可以同时运行数千个Docker容器。 Docker 通过类似Git的操作来方便用户获取、分发和更新应用镜像，指令简明，学习成本较低。 Docker 通过Dockerfile配置文件来支持灵活的自动化创建和部署机制，提高工作效率。 Docker 容器除了运行其中的应用之外，基本不消耗额外的系统资源，保证应用性能的同时，尽量减小系统开销。 Docker 利用Linux系统上的多种防护机制实现了严格可靠的隔离。从1.3版本开始，Docker引入了安全选项和镜像签名机制，极大地提高了使用Docker的安全性。
| 特性 | 容器 | 虚拟机 |
|---|---|---|
| 启动速度 | 秒级 | 分钟级 |
| 硬盘使用 | 一般为MB | 一般为GB |
| 性能 | 接近原生 | 弱于原生 |
| 系统支持量 | 单机支持上千个容器 | 一般几十个 |
1.4 基础架构
| 容器 | 对象 |
|---|---|
| 镜像 | 类 |
1.5 Docker 技术的基础：
namespace，容器隔离的基础，保证A容器看不到B容器. 6个名空间：User，Mnt，Network，UTS，IPC，Pid cgroups，容器资源统计和隔离。主要用到的cgroups子系统：cpu，blkio，device，freezer，memory unionfs，典型：aufs/overlayfs，分层镜像实现的基础
1.6 Docker 组件
docker Client客户端 -->向docker服务器进程发起请求，如:创建、停止、销毁容器等操作 docker Server服务器进程 -->处理所有docker的请求，管理所有容器 docker Registry镜像仓库 -->镜像存放的中央仓库，可看作是存放二进制的scm
二、安装部署
2.1 准备条件
2.2 安装 Docker
yum install docker -y #安装
systemctl start docker #启动
systemctl enable docker #设置开机自启动2.3 基本命令
docker search centos #搜索镜像默认从国外拉去，速度很慢，可以使用daocloud配置加速
curl -sSL https://get.daocloud.io/daotools/set_mirror.sh | sh -s http://d6f11267.m.daocloud.io
脚本是写入
echo "{\"registry-mirrors\": [\"http://d6f11267.m.daocloud.io\"]}"> /etc/docker/daemon.json
systemctl restart docker #重启失效根据需求拉取镜像：
docker pull docker.io/ansible/centos7-ansible拉去search到的全部镜像：
for i in `docker search centos|awk '!/NAME/{print $2}'`;do docker pull $i;done查看本地镜像：
docker images2.4 命令整理
容器操作：
docker create # 创建一个容器但是不启动它
docker run # 创建并启动一个容器
docker stop # 停止容器运行，发送信号SIGTERM
docker start # 启动一个停止状态的容器
docker restart # 重启一个容器
docker rm # 删除一个容器
docker kill # 发送信号给容器，默认SIGKILL
docker attach # 连接(进入)到一个正在运行的容器
docker wait # 阻塞一个容器，直到容器停止运行获取容器信息：
docker ps # 显示状态为运行（Up）的容器
docker ps -a # 显示所有容器,包括运行中（Up）的和退出的(Exited)
docker inspect # 深入容器内部获取容器所有信息
docker logs # 查看容器的日志(stdout/stderr)
docker events # 得到docker服务器的实时的事件
docker port # 显示容器的端口映射
docker top # 显示容器的进程信息
docker diff # 显示容器文件系统的前后变化导出容器：
docker exec # 在容器里执行一个命令，可以执行bash进入交互式执行：
docker exec # 在容器里执行一个命令，可以执行bash进入交互式2.5 简单实践操作
运行并进入容器操作：
docker run -i -t docker.io/1832990/centos6.5 /bin/bash-t 表示在新容器内指定一个伪终端或终端； -i 表示允许我们对容器内的 (STDIN) 进行交互； -d 表示将容器在后台运行； /bin/bash 。这将在容器内启动 bash shell；
所以当容器（container）启动之后，我们会获取到一个命令提示符：
在容器内我们安装MySQL并设置开机自启动，将修改后的镜像提交：
docker ps -l 查询容器ID
docker commit -m "功能" -a "用户信息" ID tag 提交修改后的镜像docker inspect ID 查看详细信息
docker push ID 上传docker镜像利用DockerFile创建镜像
mkdir DockerFile
cd DockerFile
cat > Dockerfile <<EOF
FROM 603dd3515fcc
MAINTAINER Docker xuel
RUN yum install mysql mysql-server -y
RUN mddir /etc/sysconfig/network
RUN /etc/init.d/mysqld start
EOFdocker build -t "centos6.8:mysqld" .-t 制定repository 与tag
. 指定Dockerfile的路径
注意一个镜像不能超过 127 层
此外，还可以利用 ADD 命令复制本地文件到镜像；
用 EXPOSE 命令来向外部开放端口；
用 CMD 命令来描述容器启动后运行的程序等。
CMD [“/usr/sbin/apachectl”, “-D”, “FOREGROUND”]
2.6 Dockerfile 详解
FROM（指定基础image）
该指令有两种格式：
FROM <image> #指定基础image为该image的最后修改的版本
FROM <image>:<tag> #指定基础image为该image的一个tag版本。MAINTAINER（用来指定镜像创建者信息）
MAINTAINER <name>RUN（安装软件用）
RUN <command> (the command is run in a shell - `/bin/sh -c`)
RUN ["executable", "param1", "param2" ... ] (exec form)CMD（设置container启动时执行的操作）
CMD ["executable","param1","param2"] (like an exec, this is the preferred form)
CMD command param1 param2 (as a shell)ENTRYPOINT 指定的是一个可执行的脚本或者程序的路径，该指定的脚本或者程序将会以 param1 和param2作为参数执行。
CMD ["param1","param2"] (as default parameters to ENTRYPOINT)ENTRYPOINT（设置container启动时执行的操作）
设置指令，指定容器启动时执行的命令，可以多次设置，但是只有最后一个有效。
ENTRYPOINT ["executable", "param1", "param2"] (like an exec, the preferred form)
ENTRYPOINT command param1 param2 (as a shell)该指令的使用分为两种情况，一种是独自使用，另一种和CMD指令配合使用。另外，搜索公众号Linux中文社区后台回复“私房菜”，获取一份惊喜礼包。
# CMD指令将不会被执行，只有ENTRYPOINT指令被执行
CMD echo “Hello, World!”
ENTRYPOINT ls -lFROM ubuntu
CMD ["-l"]
ENTRYPOINT ["/usr/bin/ls"]USER（设置container容器的用户）
设置指令，设置启动容器的用户，默认是root用户
# 指定memcached的运行用户
ENTRYPOINT ["memcached"]
USER daemon
或
ENTRYPOINT ["memcached", "-u", "daemon"]EXPOSE（指定容器需要映射到宿主机器的端口）
# 映射一个端口
EXPOSE port1
# 相应的运行容器使用的命令 (主机(宿主)端口:容器端口)
docker run -p port1 image
# 映射多个端口
EXPOSE port1 port2 port3
# 相应的运行容器使用的命令
docker run -p port1 -p port2 -p port3 image
# 还可以指定需要映射到宿主机器上的某个端口号
docker run -p host_port1:port1 -p host_port2:port2 -p host_port3:port3 imageENV（用于设置环境变量）
构建指令，在image中设置一个环境变量。
ENV <key> <value>ENV JAVA_HOME /path/to/java/direntADD（从src复制文件到container的dest路径）
如果是一个目录，那么会将该目录下的所有文件添加到container中，不包括目录；如果文件是可识别的压缩格式，则docker会帮忙解压缩（注意压缩格式）；
如果<src>是文件且<dest>中不使用斜杠结束，则会将<dest>视为文件，<src>的内容会写入<dest>；
<src>是文件且<dest>中使用斜杠结束，则会<src>文件拷贝到<dest>目录下。ADD <src> <dest>是相对被构建的源目录的相对路径，可以是文件或目录的路径，也可以是一个远程的文件url;
是container中的绝对路径
VOLUME（指定挂载点)
设置指令，使容器中的一个目录具有持久化存储数据的功能，该目录可以被容器本身使用，也可以共享给其他容器使用。
我们知道容器使用的是AUFS，这种文件系统不能持久化数据，当容器关闭后，所有的更改都会丢失。当容器中的应用有持久化数据的需求时可以在Dockerfile中使用该指令。
FROM base
VOLUME ["/tmp/data"]WORKDIR（切换目录）
设置指令，可以多次切换(相当于cd命令)，对RUN,CMD,ENTRYPOINT生效。
# 在 /p1/p2 下执行 vim a.txt
WORKDIR /p1 WORKDIR p2 RUN vim a.txt2.7 镜像导入导出
docker save -o centos6.5.tar centos6.5 或
docker export f9c99092063c >centos6.5.tar从本地将镜像导入：
docker load --input centos6.5.tar 或
docker load < centos6.5.tardocker rm删除已经终止的容器
docker -f rm 可以删除正在运行的容器修改已经运行的后台容器：
docker exec -it CONTAINER ID /bin/bash三、存储
3.1 数据盘
Docker 的镜像使用一层一层文件组成的，Docker 的一些存储引擎可以处理怎么样存储这些文件。
docker inspect centos #查看容器详细信息如果需要修改一些文件层里面的东西的话，docker会复制一份到这个可读写的文件层里面，如果删除容器的话，那么也会删除它对应的可读写的文件层的文件。
如果有些数据你想一直保存的话，比如：web服务器上面的日志，数据库管理系统里面的数据，那么我们可以把这些数据放到data volumes数据盘里面。
它上面的数据，即使把容器删掉，也还是会永久保留。创建容器的时候，我们可以去指定数据盘。其实就是去指定一个特定的目录。
docker run -i -t -v /mnt --name nginx docker.io/nginx /bin/bash-v：制定挂载到容器内的目录
同样，我们可以使用将制定物理宿主机的目录挂载到容器的制定目录下：
将宿主机目录挂载到容器内：
docker run -d -p 80:80 --name nginx -v /webdata/wordpress:/usr/share/nginx/html docker.io/sergeyzh/centos6-nginx-d 后台运行
—name 给运行的容器命名
-v 宿主机目录：容器目录 将宿主机目录挂载在容器内
-p 宿主机端口：容器监听端口 将容器内应用监听端口映射到物理宿主机的特定端口上
3.2 数据容器
首先创建一个数据容器命名为newnginx
docker create -v /mnt -it --name newnginx docker.io/nginx /bin/bash利用此数据容器容器运行一个容器nginx1，在数据目录/mnt 下创建一个文件
docker run --volumes-from newnginx --name nginx1 -it docker.io/nginx /bin/bash3.3 数据盘管理
在删除容器时，docker默认不会删除其数据盘。
docker volume ls #查看数据盘
docker volume ls -f dangling=true #查看未被容器使用的数据盘
docker volume rm VOLUME NAME #删除数据盘如果想要删除容器时，同时删除掉其数据盘，那么可以使用-v参数。另外，搜索公众号Linux就该这样学后台回复“git书籍”，获取一份惊喜礼包。
docker rm -v newnginx四、网络
docker提供几种网络，它决定容器之间和外界和容器之间如何去相互通信。
docker network ls #查看网络虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
4.1 bridge桥接
网络除非创建容器的时候指定网络，不然容器就会默认的使用桥接网络。属于这个网络的容器之间可以相互通信，不过外界想要访问到这个网络的容器呢，需使用桥接网络，有点像主机和容器之间的一座桥，对容器有一点隔离作用。
4.2 host 主机网络
但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。只用这种网络的容器会使用主机的网络，这种网络对外界是完全开放的，能够访问到主机，就能访问到容器。
4.3 使用 none 模式
4.4 简单演示
启动两个容器，查看其容器内部IP地址
for i in `docker ps |grep -v "CONTAINER"|awk '{print $1}'`;do docker inspect $i|grep 'IPAddress';done查看桥接模式下主机内部容器之间和容器与宿主机直接均可正常通讯
docker inspect 容器ID查看host创建的容器内部没有IP地址，它使用的为宿主机的地址：
docker run -d --net host docker.io/sergeyzh/centos6-nginxdocker run -d --net none docker.io/sergeyzh/centos6-nginx4.5 容器端口
docker run -d -p 80 docker.io/sergeyzh/centos6-nginx
docker port 09648b2ff7f6
-p 参数会在宿主机随机映射一个高端口到容器内的指定端口。
docker run -d -p 80:80 docker.io/sergeyzh/centos6-nginx #将宿主机的80端口映射到容器的80端口 声明：本文部分素材转载自互联网，如有侵权立即删除 。
END
往日精彩：
重磅！俄罗斯将与全球互联网断开，启用本国互联网“Runet”！
喜欢本文的朋友们，欢迎长按二维码，关注订阅号Linux就该这样学
收看更多精彩内容