容器镜像

镜像是用于创建容器的只读模板。

目前，OCI镜像规范定义了容器镜像的开放规范、容器运行软件的构建规范。大多数容器运行时均支持此统一的开放镜像标准。

Linux下的镜像存储基于UnionFS，利用union mount（UnionFS的一种挂载机制）将不同的目录挂载到同一个虚拟文件系统下，以实现Layer的概念。Layer可以被其它镜像所复用。

挂载目录的时候会严格按照各目录之间的增量关系，将被增量操作的目录优先于在它基础上增量操作的目录挂载。挂载到同一虚拟文件系统下的所有目录全部设置成read-only权限。

当镜像被运行成一个容器时，会在所有read-only的目录挂载结束后，继续挂载一个空的read-write层，写操作是在read-only上的一种增量操作，不影响read-only目录。这个容器的read-write层也可以通过commit命令把它变成一个镜像顶层最新的read-only层。

示例：使用Docker创建镜像

rootfs的存储位置可以在daemon.json中指定：

{
  "data-root": "/data/aikube/docker"
}

底层可能基于不同的文件系统，比如AUFS、btrfs、devicemapper、overlay。

docker对不同文件系统分别做了对应定制的存储驱动，通过驱动把镜像存在磁盘上面。

创建方法包括：

（1）基于已有容器创建

docker commit <container name | id> repo:tag

-a --author="" 作者信息

-m --message="" 提交信息

-p --pause=true 提交时暂停容器运行

（2）导出容器为本地文件

将容器的文件系统作为tar文件导出到stdout：

docker export <container name | id> -o xxx.tar
docker export <container name | id> > xxx.tar

导出容器为文件，将丢弃所有历史记录和元数据信息。

基于本地tgz文件导入：

cat ubuntu-14.04-x86_64-minimal.tar.gz | docker import - ubuntu:14.04
docker import /path/to/exampleimage.tgz

基于本地目录导入：

tar -c . | docker import - exampleimagedir

（3）导出镜像为本地文件

将镜像的文件系统作为tar文件导出到stdout：

docker save repo:tag > xxx.tar
docker save repo:tag  -o xxx.tar

基于本地tar文件导入：

docker load --input xxx.tar
docker load < xxx.tar

使用脚本批量加载要用到的所有镜像：

imageTgzNames=(`ls /data/k8s-package/images`)
for nameTgz in ${imageTgzNames[@]};
do
  docker load < /data/k8s-package/images/${nameTgz}
done

（4）基于Dockerfile创建（正规方法）

Dockerfile是一个文本格式的配置文件，可快速创建自定义镜像

编写完成后通过docker build命令创建镜像，该命令会读取指定目录下的所有dockerfile

docker build -t repo:tag /tmp/docker_builder/

-f 指定Dockerfile，不指定的话默认构建当前目录下所有Dockerfile

-t 指定镜像信息

--no-cache=true/false 指定是否使用缓存。若使用，会遍历本地所有镜像，发现镜像与即将构建出的镜像一致时，将找到的镜像作为cache镜像，复用cache镜像作为构建结果。使用ADD/COPY或RUN命令存在外部依赖（如yum install）时一般需要不使用缓存。

指定目录下不能有多余的文件，如果是当前目录则为.

每个构建步骤都会对已有的文件系统进行操作，这样就会带来文件系统内容的变化，这些变化称之为changeset。

把构建步骤所产生的变化依次作用到一个空文件夹上，就能够得到一个完整的镜像。

指令详解：

①第一行必须指定来自的镜像

FROM repo:tag

有时候会使用多个镜像，可以为镜像指定别名：

FROM golang:1.15 as builder

②维护者信息

MAINTAINER docker_user docker_user@email.com

③从上下文目录中复制文件或者目录到容器里指定路径

ADD <源路径1> <目标路径>
COPY <源路径1> <目标路径>

区别：ADD的<源文件>为压缩格式为gzip、bzip2、xz的tar压缩文件时，会自动复制并解压到<目标路径>。

在多个基础镜像间拷贝：

COPY --from=builder /workspace/manager .

④运行命令

RUN <command>

此命令将于构建时在shell中运行

⑤设置容器启动命令（只能设置一次）

CMD ["/usr/sbin/sshd","-D"]
ENTRYPOINT ["java","-jar","/xxx.jar"]

CMD命令设置容器启动后默认执行的命令及其参数，但CMD设置的命令能够被docker run命令后面的命令行参数替换

ENTRYPOINT配置容器启动时的执行命令，即使运行docker run时指定了其他命令也不会覆盖，除非docker run使用了--entrypoint 参数

两个命令同时使用时，CMD指定变参，相当于给ENTRYPOINT传参，例如：

FROM nginx
ENTRYPOINT ["nginx", "-c"] # 定参
CMD ["/etc/nginx/nginx.conf"] # 变参

直接运行容器时，会执行以下命令：

nginx -c /etc/nginx/nginx.conf

传参运行：

docker run  nginx:test -c /etc/nginx/new.conf

此时会覆盖参数

⑥参数

环境变量设置：

ENV <key> <value>
ENV <key1>=<value1> <key2>=<value2>...

构建时的参数设置

ARG <参数名>[=<默认值>]

⑦用户设置

USER <用户名>[:<用户组>]

overlay文件系统下docker镜像与容器存储结构

以overlay这个文件系统为例，overlay文件系统的工作原理如下图。

lower层是镜像层，它是一个只读层。容器刚创建出来的时候，upper其实是空的。这个时候如果去读的话，所有数据都是从lower层读来的。

upper层是容器的读写层，采用了写实复制的机制，只有对某些文件需要进行修改的时候才会从lower层把这个文件拷贝上来，之后所有的修改操作都会对upper层的副本进行修改。

workdir充当中间层，当对upper层里面的副本进行修改时，会先放到workdir，然后再从workdir移到 upper 里面去。

PS:这个是overlay 的工作机制。

mergedir是统一视图层。从mergedir里面可以看到upper和lower中所有数据的整合。docker exec到容器里面，看到的文件系统其实就是mergedir统一视图层。

overlay里面其实是没有真正的删除操作的。删除其实是通过对文件进行标记，然后从最上层的统一视图层去看，看到这个文件标记就认为这个文件是被删掉的。这个标记有两种方式：

一种是 whiteout 的方式。

第二个就是通过设置目录的一个扩展权限，通过设置扩展参数"trusted.overlay.opaque"为y来做到目录的删除。、

devicemapper文件系统下docker镜像与容器存储结构

devicemapper文件系统下实际有两种模式：

（1）loop-lvm模式

用一个稀疏文件来当成一个块设备，给devicemapper用，作为Docker镜像容器文件系统

初始化时创建了两个比较大的稀疏文件：20G的Metadata loop file，默认在/var/lib/docker/devicemapper/metadata；100G的Data loop file，默认在/var/lib/docker/devicemapper/data

把文件映射为两个伪设备，虽然是伪设备，但是可以像普通块设备一样，对其进行格式化为想要的文件系统，比如xfs

基于这两个loop伪设备创建100GB大小的thin-pool（基于linux内核提供的dm机制），每启动一个容器就从 thin-pool里分出来10GB空间给该容器

（2）direct-lvm模式

直接使用块设备创建thin-pool，且块设备可以根据需要增长

启动docker后/var/lib/docker目录的结构如下：

[root@docker-100 docker]# tree ./
./
├── containers
├── devicemapper
│   ├── devicemapper
│   │   ├── data
│   │   └── metadata
│   └── metadata
│       ├── base
│       ├── deviceset-metadata
│       └── transaction-metadata
├── graph
├── linkgraph.db
├── repositories-devicemapper
├── tmp
├── trust
└── volumes

/var/lib/docker/devicemapper/devicemapper/目录下有两个文件：data和metadata，用来存储对应的存储池和相关的元数据。

/var/lib/docker/devicemapper/metadata/目录下有三个文件：base、transaction-metadata和deviceset-metadata，用来存放前面元数据的id、大小、以及UUID等信息。

现在存在几个空目录：

/var/lib/docker/containers

/var/lib/docker/graph

/var/lib/docker/tmp

/var/lib/docker/trust

/var/lib/docker/volumes

还有一个文件/var/lib/docker/repositories-devicemapper

下载centos镜像：

[root@docker-100 metadata]# docker images -a
REPOSITORY      TAG             IMAGE ID             CREATED           VIRTUAL SIZE
centos                latest        ce20c473cd8a      8 weeks ago           172.3 MB
<none>            <none>     4234bfdd88f8      8 weeks ago            172.3 MB
<none>            <none>     812e9d9d677f     8 weeks ago             172.3 MB
<none>            <none>     168a69b62202     8 weeks ago             172.3 MB
<none>             <none>     47d44cb6f252     3 months ago           0 B

/var/lib/docker目录的结构变为：

[root@docker-100 docker]# tree ./
./
├── containers
├── devicemapper
│   ├── devicemapper
│   │   ├── data
│   │   └── metadata
│   ├── metadata
│   │   ├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
│   │   ├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
│   │   ├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
│   │   ├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
│   │   ├── base
│   │   ├── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
│   │   ├── deviceset-metadata
│   │   └── transaction-metadata
│   └── mnt
│       ├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
│       ├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
│       ├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
│       ├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
│       └── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
├── graph
│   ├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   ├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   ├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   ├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   ├── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   └── _tmp
├── linkgraph.db
├── repositories-devicemapper
├── tmp
├── trust
└── volumes
 
20 directories, 27 files

查看/var/lib/docker/devicemapper/metadata目录下的内容（按device_id排序）

[root@docker-100 metadata]# cat base
{"device_id":1,"size":107374182400,"transaction_id":3,"initialized":true}
 
[root@docker-100 metadata]# cat 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
{"device_id":2,"size":107374182400,"transaction_id":4,"initialized":false}
 
[root@docker-100 metadata]# cat 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
{"device_id":3,"size":107374182400,"transaction_id":5,"initialized":false}
 
[root@docker-100 metadata]# cat 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
{"device_id":4,"size":107374182400,"transaction_id":6,"initialized":false}
 
[root@docker-100 metadata]# cat 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
{"device_id":5,"size":107374182400,"transaction_id":7,"initialized":false}
 
[root@docker-100 metadata]# cat ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
{"device_id":6,"size":107374182400,"transaction_id":8,"initialized":false}

除了base这个文件以外，其它都对应于刚才添加的中间件

那么可以得出：

/var/lib/devicemapper/metadata 目录下的文件（除了base、 deviceset- metadata、transaction-medatata）都是images本身和images的中间件信息，用来描述它们的id、size、transaction_id、是否initialized，并且它们大小都是一样的。

/var/lib/docker/devicemapper下新出现了目录/var/lib/docker/devicemapper/mnt

它主要是用来挂载 images 和Container的目录，因为 devicemapper 本身就是通过在存储池中挂载的方式进行运行的。

/var/lib/docker/graph目录下是在每个images本身及中间件，每个里面有三个文件，分别为：

json文件是用来描述 images本身或者中间件的详细信息

layersize是用来表示中间件的大小

tar-data.json.gz

另一个文件/var/lib/docker/repositories-devicemapper ，也其实就是记录 images本身（不是中间件）信息的文件；换句话说，它记录了镜像名称、镜像 tag（默认为 latest）、镜像ID等信息。

内容为：

{"Repositories":{"centos":{"latest":"ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e"}},"ConfirmDefPush":true}

运行centos镜像，容器名设为centos

[root@docker-100 docker]# tree /var/lib/docker/
/var/lib/docker/
├── containers
│   └── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052
│       ├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052-json.log
│       ├── config.json
│       ├── hostconfig.json
│       ├── hostname
│       ├── hosts
│       ├── resolv.conf
│       ├── resolv.conf.hash
│       └── secrets
├── devicemapper
│   ├── devicemapper
│   │   ├── data
│   │   └── metadata
│   ├── metadata
│   │   ├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
│   │   ├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
│   │   ├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
│   │   ├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
│   │   ├── base
│   │   ├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052
│   │   ├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052-init
│   │   ├── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
│   │   ├── deviceset-metadata
│   │   └── transaction-metadata
│   └── mnt
│       ├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
│       ├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
│       ├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
│       ├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
│       ├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052
│       ├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052-init
│       └── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
├── graph
│   ├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
│   │   ├── json
│   │   ├── layersize
│   │   ├── tar-data.json
│   │   └── tar-data.json.gz.bak
│   ├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   ├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   ├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   ├── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
│   │   ├── json
│   │   ├── layersize
│   │   └── tar-data.json.gz
│   └── _tmp
├── linkgraph.db
├── repositories-devicemapper
├── tmp
├── trust
└── volumes
 
24 directories, 37 files

/var/lib/docker/devicemapper/metadata/目录下多了两个文件：

[root@docker-100 containers]# tree /var/lib/docker/devicemapper/metadata/
/var/lib/docker/devicemapper/metadata/
├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
├── base
├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052
├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052-init
├── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
├── deviceset-metadata
└── transaction-metadata
 
0 directories, 10 files

这两个文件对应于运行容器时在镜像顶部添加的可读写的层

查看base+后面的5个中间件（包括 images本身）对应的文件+新增的两个文件，发现5个中间件对应的文件没变，新增的两个文件（c2adc… 和 c2adc…-init）描述了容器本身的一些信息。

[root@docker-100 metadata]# cat base
{"device_id":1,"size":107374182400,"transaction_id":3,"initialized":true}
 
[root@docker-100 metadata]# cat 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
{"device_id":2,"size":107374182400,"transaction_id":4,"initialized":false}
 
[root@docker-100 metadata]# cat 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
{"device_id":3,"size":107374182400,"transaction_id":5,"initialized":false}
 
[root@docker-100 metadata]# cat 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
{"device_id":5,"size":107374182400,"transaction_id":7,"initialized":false}
 
[root@docker-100 metadata]# cat 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
{"device_id":4,"size":107374182400,"transaction_id":6,"initialized":false}
 
[root@docker-100 metadata]# cat ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
{"device_id":6,"size":107374182400,"transaction_id":8,"initialized":false}
 
[root@docker-100 metadata]# cat c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052-init
{"device_id":7,"size":107374182400,"transaction_id":9,"initialized":false}
 
[root@docker-100 metadata]# cat c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052
{"device_id":8,"size":107374182400,"transaction_id":10,"initialized":false}

发生变化的第二个目录 /var/lib/docker/devicemapper/mnt，和metadata目录一样，只是在目录下新增了两个目录

[root@docker-100 mnt]# tree /var/lib/docker/devicemapper/mnt/
/var/lib/docker/devicemapper/mnt/
├── 168a69b6220279e6d5bd8dafd2edf71434a08e32b60a7060f7a705f64857169d
├── 4234bfdd88f8ed2bc4607bd2ebba2d41d61e2693ad0d184e7b05e1b57f8b8b33
├── 47d44cb6f252ea4f6aecf8a447972de5d9f9f2e2bec549a2f1d8f92557f4d05a
├── 812e9d9d677f15c39277b2edc8f9bc07354c899483409bb07d1c13c2b9c33ec8
├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052
├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052-init
└── ce20c473cd8ac1fab6601529ce6a075743f2cf7a8f4cfed2216f8cfcb53bfc4e
 
7 directories, 0 files

发生变化的第三个目录/var/lib/docker/container：

[root@docker-100 containers]# tree /var/lib/docker/containers/
/var/lib/docker/containers/
└── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052
    ├── c2adc691ad19428e44d655d9daa8573cd71b162e05faaaa824010929089bc052-json.log
    ├── config.json
    ├── hostconfig.json
    ├── hostname
    ├── hosts
    ├── resolv.conf
    ├── resolv.conf.hash
    └── secrets
 
2 directories, 7 files

下面有一个 c2adc…（容器本身）的目录，并且该目录下有许多子文件，如container log信息、配置文件（需要 cat config.json | Python -mjson.tools 查看）、还有host及resolv等配置

如果在这时候删除该容器，就会发现容器的信息全都没了，所涉及的文件包括：

/var/lib/docker/devicemapper/metadata/c2adc… 及 c2adc…-init 文件

/var/lib/docker/devicemapper/mnt/c2adc… 及 c2adc…-init文件

/var/lib/docker/container/c2adc文件夹

总结：每个文件及作用

1、/var/lib/docker/devicemapper/devicemapper/data #用来存储相关的存储池数据

2、/var/lib/docker/devicemapper/devicemapper/metadata #用来存储相关的元数据。3、/var/lib/docker/devicemapper/metadata/ #用来存储 device_id、size、传输_id、初始化信息

4、/var/lib/docker/devicemapper/mnt #用来存储挂载信息

5、/var/lib/docker/container/ #用来存储容器信息

6、/var/lib/docker/graph/ #用来存储镜像中间件及本身详细信息和大小、以及依赖信息7、/var/lib/docker/repositores-devicemapper #用来存储镜像基本信息

8、/var/lib/docker/tmp #docker临时目录

9、/var/lib/docker/trust #docker信任目录

10、/var/lib/docker/volumes #docker卷目录

posted @ 2020-12-24 14:55 扬羽流风阅读(455) 评论(0) 编辑收藏举报

刷新页面返回顶部

扬羽流风

容器镜像

公告