Docker

Docker是一个能够把开发的应用程序自动部署到container的开源container engine（容器引擎）。

Docker官网对它的定义是：Simplify modern application development and delivery by bundling distributed services into a single Docker application

Docker背后的想法是创建软件程序可移植的轻量容器，让其可以在任何安装了Docker的机器上运行，而不用关心底层操作系统。

 

Docker版本选择

Docker有社区版（Community Edition）、企业版（Enterprise Edition）两种。企业版主要是在安全方面进行了加强。

从2017年初的1.13版本以后，Docker使用了新的<年>.<月>形式的版本号规则。

目前发布通道分为Stable、Test、Nightly三种。

如今，Docker运行容器已经不是简单的通过Docker Daemon来启动，Docker Daemon被分成了多个模块以适应OCI标准。

 

Docker CE这个产品，是由Moby组织下的Moby项目以及其他项目构建和编译出来的。因此，并不会存在一个开源项目叫Docker CE。因为Docker CE是一个产品，只能从Docker公司官网上来下载使用。

 

64位Centos下Docker-CE部署

首先清除当前docker

$ sudo yum remove docker \
                  docker-client \
                  docker-client-latest \
                  docker-common \
                  docker-latest \
                  docker-latest-logrotate \
                  docker-logrotate \
                  docker-engine

docker默认存储目录是/var/lib/docker/，包括 images、containers、volumes、networks等，是一个被保护的目录。

1、设置Docker's repositories并从中安装

（1）安装需要的包

$ sudo yum install -y yum-utils

yum-utils提供了yum-config-manager

device-mapper-persistent-data和lvm2是deviceapper存储驱动所必须的

（2）使用如下命令设置stable仓库

$ sudo yum-config-manager \
    --add-repo \
    https://download.docker.com/linux/centos/docker-ce.repo

（3）可选：启用/禁用edge和test仓库

$ sudo yum-config-manager --enable/disable docker-ce-nightly
$ sudo yum-config-manager --enable/disable docker-ce-test

这些仓库被包括在docker.repo文件中但默认是disable的

（4）更新yum软件包目录

$ sudo yum makecache fast

（5）安装最新版Docker CE

$ sudo yum install docker-ce docker-ce-cli containerd.io

或者搜索选择版本

$ yum list docker-ce --showduplicates | sort -r
docker-ce.x86_64  3:18.09.1-3.el7                     docker-ce-stable
docker-ce.x86_64  3:18.09.0-3.el7                     docker-ce-stable
docker-ce.x86_64  18.06.1.ce-3.el7                    docker-ce-stable
docker-ce.x86_64  18.06.0.ce-3.el7                    docker-ce-stable

选择需要安装的版本

$ sudo yum install docker-ce-<VERSION_STRING> docker-ce-cli-<VERSION_STRING> containerd.io

（6）启动Docker CE

$ sudo systemctl start docker

2、安装RPM包并手工安装、手工升级

（1）前往这两个网页下载rpm文件：

https://download.docker.com/linux/centos/7/x86_64/stable/Packages/

https://download.docker.com/linux/centos/7/x86_64/edge/Packages/

（2）安装Docker CE，把下面的路径改为下载包的路径

$ sudo yum install /path/to/package.rpm

（3）启动Docker CE

$ sudo systemctl start docker

（4）更新Docker CE

下载新的包文件重复安装过程

$ sudo yum -y update /path/to/package.rpm

 

检查版本和基本信息

docker -v
docker info

 

运行Container

开启运行一个Container：

docker run <image>

相当于：

docker create <image>
docker start <container>

image参数就是指定在这个Container里运行哪个镜像。如果未指定具体标签，将默认选择tag为latest的镜像。

一个image可以同时开启并运行多个Container，同时运行的多个Container也可以同时运行同一个image。

 

命令示例：

docker run -i -t ubuntu /bin/echo 'Hello world'

-p 8080:80   将容器的80端口和主机的8080映射。一个主机端口只能绑定一个容器端口。如果要映射的端口比较多，冒号前后的端口号可以是一个范围

-i                   打开容器的标准输入

-t                  为容器打开一个命令行终端

-d                 表示该容器为后台容器，

--name         为容器指定名

--rm              一旦运行的进程退出就删除容器

-e k="v"       创建环境变量 

注意点：

（1）运行在后台的容器，创建成功后就与当前终端无关了。要停止容器只能调用docter stop或者docker kill等命令

（2）使用-d参数启动的容器，启动命令不能是bash，否则执行后会直接退出。可以搭配-i和-t参数为容器提供一个伪tty n

（3）-i和-t参数一般搭配使用，使容器运行在前台，有指定的交互控制台。可以给容器输入和输出。但只要从所在终端exit了，容器就会变成停止状态。 

 

此命令使用Ubuntu镜像创建并启动一个容器 ，在容器里执行 /bin/echo 'Hello world’命令。本地不存在此镜像时会自动从配置的镜像仓库拉取。

容器的文件系统是在只读的镜像文件上加一层可读写的文件层，这样可以保证镜像不变只记录改变的数据。

接着会配置容器的网络，docker会为容器分配一个虚拟网络接口，并通过桥接的方式将该网络接口桥接到宿主主机上去，然后为该虚拟网络接口分配一个ip地址。

最后，docker在新容器中运行指定的命令。启动的运行程序称为initial进程。这个initial进程启动的时候，容器也会随之启动。

容器内不一定只有一个进程，initial进程本身也可以产生其他的子进程，或者通过docker exec等运维操作产生子进程。

当initial进程退出的时候，容器中的所有子进程也会随之退出（防止资源的泄漏）。因此，可以认为容器的生命周期和initial进程的生命周期是一致的。

 

交互式进入容器中

docker attch <container name | id>
docker exec -it <container name | id> /bin/bash

docker attch可以使本机的输入直接输到容器中，容器的输出会直接显示在本机的屏幕上。因此，可以attach到一个已经运行的容器的stdin，然后进行命令执行的动作。 但是需要注意的是，如果从这个stdin中exit，会导致容器的停止。

 

查看Container和image

查看容器列表：

docker ps

加上-a参数以包含非运行中的容器

查看镜像列表：

docker images

此命令只会显示顶层镜像，加上-a参数可以显示隐藏的中间层镜像

查看镜像和容器的元数据，包括制作者、适应架构、各层的数字摘要等：

docker inspect <image name | id>
docker inspect <container name | id>

例如查看一个容器的挂载信息：

docker inspect <container name | id> | grep Mounts -A 9

 

停止/重启/一个 Container

docker stop <container name | id>
docker restart <container name | id>
docker kill <container name | id>

stop容器时会向容器中PID为1的initial进程（主进程）发送SIGTERM信号，默认在10秒后才会发送SIGKILL信号；kill容器时会直接向initial进程发送SIGKILL信号

使用参数-t指定等待的时间

如果容器启动命令是/bin/sh（主进程是shell），则不会将信号转发给用户进程

 

例如停止所有容器：

docker stop $(docker ps -a -q)

 

删除一个 image/Container

docker rmi <image name>
docker rm <container name | id>

已经创建容器的镜像无法删除，必须先删除容器

-f  强制删除

 

Container与主机间数据拷贝

docker cp CONTAINER:SRC_PATH DEST_PATH
docker cp SRC_PATH|- CONTAINER:DEST_PATH

 

docker system-全新的命令集合

查看docker整体磁盘使用率的概况，包括镜像、容器和（本地）volume：

docker system df

查看docker系统实时事件，不包括容器内的（等同于docker events命令）：

docker system events

查看整个docker系统的信息（等同于docker info命令）：

docker system info

清理资源，包括stop的容器、未使用的数据卷、未使用的网络、dangling的镜像（无名称悬停镜像）：

docker system prune

-a 强制清理，包括所有未使用的镜像

 

开启Remote API 访问 2375端口

在docker的启动参数中加上-H tcp://0.0.0.0:2375

就可以用如下命令访问远程主机的docker

docker -H tcp://ip:2375 version

此时任何人都可以不经过认证远程访问此docker，因此需要加上授权的方式，在启动参数中加上：

--tlsverify

--tlscacert=/data/hps/certificate/ca.pem

--tlscert=/data/hps/certificate/server-cert.pem

--tlskey=/data/hps/certificate/server-key.pem

 

刚刚的命令就变成了：

docker --tlsverify --tlscacert=/data/hps/certificate/ip/ca.pem --tlscert=/data/hps/certificate/ip/client-cert.pem --tlskey=/data/hps/certificate/ip/client-key.pem -H ip:2375 info

 

容器日志

查看某个容器的日志

docker logs <container name | id>

-f：跟踪日志输出

--since="xxxx-xx-xx"：显示某个开始时间的日志 

--tail=10：显示最后10条日志

-t：显示时间戳

 

docker支持的日志引擎如下：

• none

关闭docker的回显日志，无法查看任何容器输出的日志，docker logs看不到任何输出。

• syslog

把所有容器的回显日志打到系统的syslog中。

• journald

把所有容器的回显日志打到系统的journald服务中。

• fluentd

把所有容器的回显日志打到fluentd服务中

• gelf

把所有容器的回显日志打到支持Graylog Extended Log Format格式的服务（比如Graylog或Logstash）中

• json-file

把每个容器的回显日志打到每个容器的内部，形式为json文件。

在实际使用中，有些容器在启动后有大量的回显日志，尤其在程序内部报错时打出的日志信息尤其巨大，因此要配置存储目录、存储上限：

  "log-driver": "json-file",
  "log-level": "warn",
  "log-opts": {
    "max-size": "100m",
    "max-file": "3"    # 意味着一个容器有三个日志，分别是id+.json、id+1.json、id+2.json
    }
  "date-root": "xxx"   # 存储目录

 

数据卷

默认情况下，当用户退出容器而容器中又没有非守护进程在运行时，容器会进入关闭状态，数据的修改会保留在层级的可写文件系统内。当用户需要重新开启一个容器时，是无法访问原来所做的修改的，而是恢复到镜像的初始化状态。

为了解决数据持久化的问题，Docker提供了卷（Volume）机制。就是将宿主机中的某个目录，mount到容器中

这样，在容器中此目录下的修改，即便容器关闭，数据也会保留下来，供宿主机和其他容器访问。

卷是受控存储，是由Docker引擎进行管理维护的。因此使用卷，不必处理 uid、SELinux 等各种权限问题，Docker引擎在建立卷时会自动添加安全规则，以及根据挂载点调整权限。并且可以统一列表、添加、删除。

• 在运行容器的时候，在Docker中创建一个匿名数据卷

docker run -dti -v /data centos

在docker容器中会有/data目录，这个目录不归属于层级文件系统

创建命名数据卷：

docker volume create --name xxx

由于数据卷有名字，下次挂载的时候还可以用

数据卷默认可能会保存于/var/lib/docker/volumes，不过一般不需要、也不应该访问这个位置

• 将宿主机的一个目录，挂在到容器里

docker run -tdi -v /var/data:/data:ro centos

冒号前为宿主机目录，必须为绝对路径，冒号后为镜像内挂载的路径在冒号后指定权限

直接挂载目录，可能会遇到Permission Denied问题

• 挂载单个文件到容器中

docker run -tdi ~/dbback.tar.gz:/dbback.tar.gz centos

• 数据卷容器

数据卷其实就是一个正常的容器，专门用来提供数据卷供其它容器挂载共同使用的。其它容器启动可以直接挂载数据卷容器中定义的挂载信息。

创建一个包含数据卷的容器供其他容器使用，这个容器并不需要一直开启

docker run -tdi -v /data --name data_s centos

如果需要将数据同步到宿主机的目录中，则创建数据卷容器的时候，选择挂载宿主机的目录，如：

docker run -tdi -v /data:/data --name data_s centos

创建两个容器，使用这个数据卷容器

docker run -ti --volumes-from data_s  --name web1 centos
docker run -ti --volumes-from data_s  --name web2 centos

此时这两个容器，都可以共同读写/data目录了

其实就是挂载了匿名卷的容器，早就过时了。

 

监控

docker自带的docker stats命令，可以显示容器使用的系统资源。数据主要来自cgroup。

 

例如，/cgroup/memory/docker/xxxx/目录下，cgroup中的memory子系统为hierarchy提供了大量文件，与docker监控相关的主要有：

    memory.usage_in_bytes：已使用的内存量（包含cache和buffer）字节数，相当于linux的used_mem

    memory.limit_in_bytes：限制的内存字节数，相当于linux的total_mem

    memory.failcnt：申请内存失败次数计数

    memory.memsw.usage_in_bytes：已使用的内存和swap字节数

    memory.memsw.limit_in_bytes：限制的内存和swap字节数

    memory.memsw.failcnt：申请内存和swap失败次数计数

    memory.stat：内存相关状态

 

docker stats命令会将容器的内存监控分为cache、usage、swap usage、kernel usage、kernel tcp usage。

其中cache是从memory.stat中的cache中获取；usage是使用memory.usage_in_bytes和memory.limit_in_bytes进行相除。

这一方式有一个弊端，就是不够细化，没有区分出cache部分，不能真正反映内存使用率。因为一般来说cache是可以复用的内存部分，因此一般将其计入到可使用的部分。

 

在统计内存使用量时可以考虑将cache计算排除出去。类似于linux中计算real_used时将buffer和cache排除。

但计算cache并不能直接应用memory.stat中的cache，因为其中包括了tmpfs，而tmpfs（即share memory）算是实际使用的内存部分。

因为在memory.stat中存在：active_file + inactive_file = cache - size of tmpfs

因此可以计算实际使用的内存量为：real_used = memory.usage_in_bytes - (rss + active_file + inactive_file)

 

---

 

Docker是client-server架构，docker daemon（dockerd）监听API请求，负责管理容器、镜像、容器网络、卷等；用户使用CLI通过API接口来控制dockerd。

Docker服务启动之后，可以看见系统上启动了dockerd进程，其子进程为containerd，containerd的子进程为若干个containerd-shim进程，每个containerd-shim进程有1个子进程，就是容器内的主进程，该进程启动命令就是容器的启动命令

 

moby daemon是实际管理容器的engine。

 

containerd是容器运行时管理引擎

    向上为moby daemon提供容器、镜像的相关管理的gRPC接口，使得moby daemon屏蔽下面的结构变化，确保原有接口向下兼容。

    向下通过containerd-shim结合runC，使得引擎可以独立升级，避免之前Docker升级会导致所有容器不可用的问题。

上图从左右两部分看，可以认为containerd提供了两大功能：对容器生命周期（runtime）的管理；对镜像拉取、存储的管理。

按照水平层次来看：

    第一层是GRPC，containerd通过GRPC的形式来对上层提供服务的。Metrics主要是提供cgroup Metrics的一些内容。

    第二层的左边是容器镜像的存储；中间images、containers对应的Matadata是通过bootfs存储在磁盘上的；右边的Tasks是管理容器的容器结构，容器的一些操作会有Event向上层发出，上层订阅Event以知道容器状态发生什么变化。

    第三层是Runtimes层。

 

shim类似于containerd底层的守护进程模块，这样设计的原因有几点：

1、containerd需要管理容器生命周期，而容器可能是由不同的容器运行时所创建出来的，因此需要提供一个灵活的插件化管理。而 shim就是针对于不同的容器运行时所开发的，这样就能够从 containerd中脱离出来，通过插件的形式进行管理。

2、因为shim插件化的实现，使其能够被containerd动态接管。如果不具备这样的能力，当moby daemon或者containerd daemon意外退出的时候，容器就没人管理了，那么它也会随之消失、退出，这样就会影响到应用的运行。

3、因为随时可能会对moby或者containerd进行升级，如果不提供shim机制，那么就无法做到原地升级，也无法做到不影响业务的升级，因此containerd shim非常重要，它实现了动态接管的能力。

 

runC是Docker开发的容器runtime，符合oci规范，也是现在docker的默认runtime。

它提供了一个命令行小工具，没有镜像管理功能，只能根据准备好的文件系统创建容器。具体底层实现基于libcontainer库。

启动Docker Daemon时增加--add-runtime参数可以选择其他的runtime实现