3.docker镜像管理基础
一、docker镜像相关
1、About Docker Image
Docker镜像含有启动容器所需要的文件系统及其内容,因此,其用于创建并启动docker容器。
采用分层构建机制,最底层为bootfs,其之为rootfs.
- bootfs:用于系统引导的文件系统,包括BootLoader和Kernel,容器启动完成后会被卸载以节约内存资源;
- rootfs:位于bootfs之上,表现为docker容器的根文件系统。
- 传统模式中,系统启动之时,内核挂载rootfs时会首先将其挂载为“只读”模式,完整性自检完成后重新挂载为读写模式;
- Docker中,rootfs由内核挂载为“只读”模式,而后通过“联合挂载”技术额外挂载一个“可写”层。
2、Docker Image Layer
- 位于下层的镜像称为父镜像(parent image),最底层的称为基础镜像(base image)
- 最上层为“可读写”层,其下的均为“只读”层。
容器启动时,必须按照层次加载,首先挂载bootfs,系统启动之后,从内存中删除bootfs,挂载rootfs,其次依次挂载上面的image层,每个应用都是一个层,这下面的所有层都是只读的。而后,在最上层挂载一个可写层。(对于一个容器来说,它的写操作都只能在这个可写层来实现)。他们是叠加在一起挂载的,所以称之为联合挂载。当一个容器销毁时(执行docker container rm操作)它的可写层也将被删除掉。
3、docker文件系统
- docker镜像的分层构建,联合挂载依赖于专有文件系统的支撑才能实现,在早期用到的专有文件系统是aufs(advanced multi-layered unification filesystem):高级多层统一文件系统,aufs是最早被docker用来实现联合挂载的linux文件系统,它是UnionFS的重新实现,2006年由junjiro Okajima开发。由于centos内核对aufs不支持,所以早期使用docker只能使用Ubuntu操作系统。
- aufs的竞争产品是overlayfs,从3.18版本开始被合并到linux内核
- 除了aufs,docker还支持btrfs,devicemapper和vfs等
- 在Ubuntu系统下,docker默认使用aufs;而早期在centos7中,用的是devicemapper,现在最新版本的docker centos用的是overlayfs第二个版本 - overlay2(overlay2是一种抽象的二级文件系统,需要借助于本地文件系统xfs)。
二、Docker Registry
1、Registry分类
Sponsor Registry:第三方的Registry,供客户和Docker社区使用
Mirror Registry:第三方的Registry,只让客户使用。比如docker cn加速,阿里云的docker加速器;
Vendor Registry:由发布Docker镜像的供应商提供的registry,比如红帽,只提供给买了服务了客户使用;
Private Registry:通过设有防火墙和额外的安全层的私有实体提供的registry,自己搭建的,只能自己内部使用
由于第三方registry的镜像大部分都不符合我们的使用要求,所以我们都要自建registry。
2、Repository
Repository:
由某特定的docker镜像的所有迭代版本组成的镜像仓库;
一个Registry中可以存在多个Repository
Repository可分为“顶层仓库”和“用户仓库”
用户仓库名称格式为“用户名/仓库名”
每个仓库可以包含多个Tag,每个Tag对应一个镜像。
Index:
维护用户账户,镜像的校验以及公共命名空间的信息
相当于为Registry提供了一个完成用户认证等功能的检索接口
三、image的相关操作
1、镜像的拉取
docker pull <registry>[:<port>]/[<namespace>/]<name>:<tag> docker pull nginx:1.14 #没有指仓库地址默认从docker hub上下载nginx1.14版本到本地 docker pull quay.io/coreos/flannel:v0.10.0-amd64 #从quay上拉取镜像,coreos是namespace,flannel是仓库名,v0.10.0-amd64是tag
其中registry、port、namespace可省略
registry:是一个仓库的web地址,如果不使用默认的docker hub仓库,需要指明仓库地址。
port:是仓库web地址的端口号,默认使用443。’
namespace:代表是哪个用户的仓库,如果镜像是顶级仓库,namespace就是可省略的;namespace可能是organization,user(login name),role这三类。
name:仓库的名字,和tag一起标识了一个唯一的镜像。
tag:镜像的标签,没有就是latest。
2、镜像的制作 – 基于容器
镜像的生成途径:Dockerfile、基于容器制作、Docker Hub automated build
[root@oracle ~]# docker container run --name busybox -it busybox:latest /bin/sh / # mkdir /data/html/ -p / # echo "<h1>busybox http index html</h1>" >> /data/html/index.html / # [root@oracle ~]# docker container commit -p busybox [root@oracle ~]# docker container commit -p busybox magedu.com/httpd:v0.1-2
[root@oracle ~]# docker tag e729820ed9ff magedu.com/httpd:v0.1-1
[root@oracle ~]# docker tag magedu.com/httpd:v0.1-1 magedu.com/httpd:latest
[root@oracle ~]# docker image rm magedu.com/httpd:latest
Tips:当一个镜像存在多个标签时,删除该镜像时,只是删除该镜像对该标签的引用,不会真正的删除镜像。
修改容器启动执行的命令并制作镜像
[root@oracle ~]# docker run --name httpd1 -it magedu.com/httpd:v0.1-1 [root@oracle ~]# docker commit -p -a "cmxu <xcm_1740@163.com>" -c 'CMD ["/bin/httpd","-f","-h","/data/html"]' httpd1 cmxu/httpd:v0.2-1
[root@oracle ~]# docker run --name myhttpd -d cmxu/httpd:v0.2-1 [root@oracle ~]# docker inspect 7608c2c4ca3d16 | grep IPAddress [root@oracle ~]# curl 172.17.0.6
推送镜像到镜像仓库:
[root@oracle ~]# docker login --help [root@oracle ~]# docker image push –help [root@oracle ~]# docker logout # 例,使用阿里云作为镜像仓库。 https://cr.console.aliyun.com/cn-hangzhou/instances/repositories [root@oracle ~]# docker login --username=xxxx registry.cn-hangzhou.aliyuncs.com [root@oracle ~]# docker tag 5c08e422f2cd registry.cn-hangzhou.aliyuncs.com/cmxu/httpd:v0.2-1 [root@oracle ~]# docker image push registry.cn-hangzhou.aliyuncs.com/cmxu/httpd:v0.2-1
3、镜像的导入导出
[root@oracle ~]# docker save –help [root@oracle ~]# docker load --help eg: [root@oracle ~]# docker save -o images.gz cmxu/httpd:v0.2-1 magedu.com/httpd:v0.1-2 #在当前目录生成images.gz文件 [root@oracle ~]# docker load -i images.gz