Docker自测题（基础、容器、镜像等）

一起养成写作习惯！这是我参与「掘金日新计划 · 4 月更文挑战」的第20天，点击查看活动详情。

Go 语言开发，容器虚拟化技术，C/S 架构，具有隔离、快速、轻便的特点。

Docker结构如下：

Docker通过虚拟化技术，解决了开发环境、测试环境、生产环境不一致的问题，让 App 及其运行环境达到“Build，Ship and Run Any APP，Anywhere”（在任何地方构建、发布和运行任何应用程序）的目的，方便做持续集成，并有助于整体发布和扩缩容的容器虚拟化技术。

我们可以使用命令 docker version [options] 来查看docker版本。

如果我们不提供任何选项，则 Docker 会提供有关客户端和服务器的所有版本相关信息。

例如，仅获取服务器版本，使用如下命令：docker version --format '{{.Server.Version}}'。

Linux namespaces 是对全局系统资源的一种封装隔离，使得处于不同 namespace 的进程拥有独立的全局系统资源，改变一个 namespace 中的系统资源只会影响当前 namespace 里的进程，对其他 namespace 中的进程没有影响。这些资源包括：进程树、网络接口、挂载点以及进程间通信等资源。

在同一个 namespace 下的进程可以感知彼此的变化，而对外界的进程一无所知。这样就可以让容器中的进程产生错觉，认为自己置身于一个独立的系统中，从而达到隔离的目的。

2、通过 Cgroups 做资源限制。

命名空间为新创建的进程隔离了文件系统、网络并与宿主机器之间的进程相互隔离，但是命名空间并不能够为我们提供物理资源上的隔离。如果在同一台机器上运行了多个对彼此以及宿主机器一无所知的容器，这些容器却共同占用了宿主机器的物理资源。

而 Control Groups（简称 CGroups）就是能够隔离宿主机器上的物理资源，例如：CPU、内存、磁盘 I/O 和网络带宽。每一个 CGroup 都是一组被相同的标准和参数限制的进程，不同的 CGroup 之间是有层级关系的，也就是说它们之间可以从父类继承一些用于限制资源使用的标准和参数。

3、基于 rootfs 的文件系统。

Linux 的命名空间和控制组分别解决了不同资源隔离的问题，前者解决了进程、网络以及文件系统的隔离，后者实现了 CPU、内存等资源的隔离，但是在 Docker 中还有另一个非常重要的问题需要解决 - 也就是镜像。Docker 镜像其实本质就是一个压缩包。

联合文件系统（UnionFS）是 Docker 镜像的基础。UnionFS 其实是一种为 Linux 操作系统设计的用于把多个文件系统『联合』到同一个挂载点的文件系统服务。

而 AUFS（Advanced UnionFS）其实就是 UnionFS 的升级版，它能够提供更优秀的性能和效率。AUFS 作为联合文件系统，它能够将不同文件夹中的层联合（Union）到了同一个文件夹中，这些文件夹在 AUFS 中称作分支，整个『联合』的过程被称为联合挂载（Union Mount）。

Docker 利用了 Linux 内核中很多安全特性来保证不同容器之间的隔离，并且通过签名机制来对镜像进行验证。

大量生产环境的部署证明，Docker 虽然隔离性无法与虚拟机相比，但仍然具有极高的安全性。

联合文件系统是一种分层、轻量级并且高性能的文件系统，它支持对文件系统的修改作为一次提交来一层层的叠加；同时，可以将不同目录挂载到同一个虚拟文件系统下。

镜像可以通过分层来进行继承，基于基础镜像（没有父镜像），可以制作各种具体的应用镜像。

联合文件系统是 Docker 镜像的基础。Docker 在镜像的设计中，引入了层（layer）的概念。也就是说，用户制作镜像的每一步操作，都会生成一个层，也就是一个增量 rootfs。 用到的技术就是联合文件系统（Union File System），也叫 UnionFS ，最主要的功能是将多个不同位置的目录联合挂载（union mount）到同一个目录下。

另外，不同 Docker 容器可以共享一些基础的文件系统层，同时，再加上自己独有的改动层，这样大大提高了存储的效率。

虽然存储资源较为廉价，但是网络 IO 是有限的，在带宽有限的情况下，部署一个 1G 的镜像和 10M 的镜像带来的时间差距可能就是分钟级和秒级的差距。特别是在出现故障，服务被调度到其他节点时，这个时间尤为宝贵。

要保证镜像尽可能小，可以从以下五个方面着手：

具体请参考：纯干货！如何优雅的精简Docker镜像？

与Docker相关的本地资源存放在/var/lib/docker/目录下。其中，

整体上，尽量保持镜像功能的明确和内容的精简，要点包括：

具体指令请参考：纯干货！Docker Dockerfile指令大全

两者功能类似，都是复制文件或者目录到容器里指定路径。

除此之外，ADD 还支持使用TAR文件和URL路径，并且会将tar压缩文件（gzip, bzip2以及 xz格式）解压缩。

如果指定的是url，会从指定的url下载文件放到目录中（如果url下载的文件为tar文件，则不会展开）

这俩命令非常像，而且还可以配合使用。

相同点：

不同点：

如果我们在Dockerfile中同时写了 ENTRYPOINT 和 CMD ，并且CMD指令不是一个完整的可执行命令，那么CMD指定的内容将会作为ENTRYPOINT的参数。

构建参数ARG和ENV指令一样，都是设置环境变量。不过作用域不一样。

ARG 设置的环境变量仅对 Dockerfile 内有效，也就是说只有 docker build 的过程中有效，构建好的镜像内不存在此环境变量。

ENV无论是接下来的指令（如ENV、ADD、COPY等，其调用格式为$variable_name或${variable_name}），还是在容器中运行的程序，都可以使用这里定义的环境变量。

sudo docker run IMAGE env

sudo docker rmi $(sudo docker images -q -f danging=true)

其中，dangling=true表示虚悬镜像。

虚悬镜像（dangling image）: 镜像没有仓库名或没有标签

查询显示虚悬镜像：docker images -f dangling=true

每个 Docker 容器都有一个本地存储空间，用于保存层叠的镜像层（Image Layer）以及挂载的容器文件系统。

默认情况下，容器的所有读写操作都发生在其镜像层上或挂载的文件系统中，所以存储是每个容器的性能和稳定性不可或缺的一个环节。

以往，本地存储是通过存储驱动（Storage Driver）进行管理的，有时候也被称为 Graph Driver。

虽然存储驱动在上层抽象设计中都采用了栈式镜像层存储和写时复制（Copy-on-Write）的设计思想，但是 Docker 在 Linux 底层支持几种不同的存储驱动的具体实现，每一种实现方式都采用不同方法实现了镜像层和写时复制。

虽然底层实现的差异不影响用户与 Docker 之间的交互，但是对 Docker 的性能和稳定性至关重要。

存储驱动的选择是节点级别的。这意味着每个 Docker 主机只能选择一种存储驱动，而不能为每个容器选择不同的存储驱动。

在 Linux 上，可以通过修改 /etc/docker/daemon.json 文件来修改存储引擎配置，修改完成之后需要重启 Docker 才能够生效。

下面的片段展示了如何将存储驱动设置为 Overlay2：

Docker容器是一个具体的镜像实例，Docker容器包括应用程序及所有的依赖项，作为操作系统的独立进程运行。

容器编排有助于管理大型环境中运行的容器。

容器编排可以控制和自动化以下任务：

docker cp命令用于容器与主机之间的数据拷贝

Docker提供docker stats和docker events等工具来监控生产中的docker。我们可以使用这些命令获取重要统计数据的报告。

docker run -d -p --name nginx2 -v /home/nginx:/usr/share/nginx/html nginx

容器退出后会处于 终止（exited） 状态，此时可以通过 docker ps -a 查看，其中数据不会丢失，还可以通过 docker start 来启动，只有删除容器才会清除数据。

docker kill $(sudo docker ps -q)

docker rm $(sudo docker ps -a -q)

docker 以交互式的方式启动容器后，如果使用exit退出交互界面后，整个容器都会exit（按Ctrl+c会使容器内的应用进程终止，进而会使容器终止）。但是如何使我们退出交互模式的同时不关闭容器呢，那就是在要退出交互模式时不使用exit还是使用命令 Ctrl+P+Q (先按Ctrl+p，后按Ctrl+q)。

使用 -rm 选项，例如：sudo docker run -rm -it ubuntu。

使用docker logs，后面跟容器的名称或者ID信息。

一般不推荐在同一个容器内运行多个应用进程。

如果有类似需求，可以通过额外的进程管理机制。比如，supervisord来管理所运行的进程。

注册服务器利用注册索引来实现认证等管理。

可以

Linux Container 容器是一种内核虚拟化技术，可以提供轻量级的虚拟化，以便隔离进程和资源，LXC 利用 Linux 上相关技术实现容器。

Docker 则在如下的几个方面进行了改进：