容器技术Docker 容器操作大总结

Posted 2020-10-16

Docker实战之容器操作：

新建容器：

docker create创建的容器处于停止状态，可以使用docker start命令启动Docker容器。

使用docker run命令，可以创建一个运行中的容器。

create命令与容器运行模式相关的选项：

-a,--attach=[]                                      是否绑定到标准输出、输入和错误

-a,--detach=true|false                              是否在后台运行容器，默认是否

--detach-keys=""                                    从attach模式退出的快捷键

--entrypoint=""                                     镜像存在入口指令时，覆盖为新的命令

--pxpose=[]                                         指定容器会暴露出来的端口或端口范围

--group-add=[]                                      运行容器的用户组

-i,--interactive=true|false                         保持标准输入打开，默认为false

--ipc=""                                            容器IPC命名空间，可以为其他容器或主机

--isolation="default"                               容器使用的隔离机制

--log-driver="json-file"                            指定容器的日志驱动类型，取值范围是：json-file/syslog/journald/gelf/fluentd/awslogs/splunk/etwlogs/gcplogs/none

--log-opt=[]                                        传递给日志驱动的选项

--net="bridge"                                      指定容器的网络模式，包括bridge/none/其他容器内网络/host的网络或某个现有的网络

--net-alias=[]                                      容器在网络中的别名

-P,--publish-all=true|false                         通过NAT机制将容器标记暴露的端口自动映射到本地主机的临时端口

-p,--public=[]                                      指定如何映射到本地主机端口

--pid=host                                          容器的PID命名空间

--userns=""                                         启用userns-remap时配置用户命名空间的模式

--uts=host                                          容器的UTS命名空间

--restart="no"                                      容器的重启策略，取值no/no-failure[:max-retry]/always/unless-stopped等

--rm=true|false                                     容器退出后是否自动删除，不能跟-d同时使用

-t,--tty=true|false                                 是否分配一个伪终端，默认是false

--tmpfs=[]                                          挂载临时文件系统到容器

-v|--volume[=[[HOST-DIR:]CONTAINER_DIR[:OPTIONS]]]  挂载主机上的文件卷到容器

--volume-driver=""                                  挂载文件卷的驱动类型

--volume-from=[]                                    从其他容器挂在卷

-w,--workdir=""                                     容器内的默认工作目录

create命令与容器环境和配置相关的选项：

--add-host=[]                                       在容器内添加一个主机名到IP地址的映射关系

--device=[]                                         映射物理机上的设备到容器

--dns-search=[]                                     DNS搜索域

--dns-opt=[]                                        自定义的DNS选项

--dns=[]                                            自定义的DNS服务器

-e,--env=[]                                         指定容器内环境变量

--env-file=[]                                       从文件中读取环境变量到容器中

-h,--hostname=""                                    指定容器内的主机名

--ip=""                                             指定容器的IPV4地址

--ipv6=""                                           指定容器的IPV6地址

--link=[<name or id>:alias]                         连接到其他容器

--mac-address=""                                    指定容器的MAC地址

--name=""                                           指定容器的别名

create命令与容器资源限制和安全保护相关的选项：

--blkio-weight=10~1000                              容器读写块设备的I/O性能权重，默认是0

--blkio-weight-device=[DEVICE_NAME_WEIGHT]          指定各个块设备的I/O性能权重

--cpu-shares=0                                      允许容器使用CPU资源的相对权重，默认一个容器能用满一个核心的CPU

--cap-add=[]                                        增加容器的Linux指定安全能力

--cap-drop=[]                                       移除容器的Linux指定安全性能

--cgroup-parnet=""                                  指定容器CGroups限制的创建路径

--cidfile=""                                        指定容器的进程ID号写到文件

--cpu-period=0                                      限制容器在CFS调度器下的CPU占用时间片

--cpuset-cpus=""                                    限制容器能使用哪些CPU核心

--cpuset-mems=""                                    NUMA架构下使用哪些核心的内存

--cpu-quota=0                                       限制容器在CFS调度器下的CPU额配

--device-read-bps=[]                                挂载设备的读吞吐率(以bps为单位)限制

--device-write-bps=[]                               挂载设备的写吞吐率(以bps为单位)限制

--device-read-iops=[]                               挂载设备的读速率(以每秒I/O次数为单位)限制

--device-write-iops=[]                              挂载设备的写速率(以每秒I/O次数为单位)限制

--kernel-memory=""                                  限制容器内使用内核的内存大小，单位可以是b/k/m/g

-m,--memory=""                                      限制容器内应用使用的内存，单位可以是b/k/m/g

--memory-reservation=""                             当系统中内存过低的时候，容器会被限制内存到给定的值，默认情况下等于内存限制值

--memory-swap="LIMIT"                               限制容器使用内存和交换分区的总大小

--oom-kill-disable=true|false                       内存耗尽的时候是否杀死容器

--oom-score-adj=""                                  调整容器的内存耗尽参数

--pids-limit=""                                     限制容器的PID个数

--privileged=true|false                             是否给容器以高权限，这个意味着容器内应用将不受权限下限制，一般不推荐使用

--read-only=true|false                              是否让容器内的文件系统只读

--security-opt=[]                                   指定一些安全参数，包括权限、安全能力、apparmor

--stop-signal-SIGTERM                               指定停止容器的系统信号

--shm-size=""                                       /dev/shm的大小

--sig-proxy=true|false                              是否代理收到的信号给应用，默认是true，不能代理SIGCHLD

--memory-swappiness="0~100"                         调整容器内存交换区参数

-u,--user=""                                        指定在容器内执行命令的用户信息

--ulimit=[]                                         通过ulimit来限制最大文件数，最大进程数

其他常用参数：

-l,--label=[]                                       以键值对的方式指定容器的标签信息

--label-file=[]                                     从文件中读取标签信息

docker run来启动容器的时候Docker在后台运行的标准操作包括：

1。检查本地是否存在指定的镜像，不存在就从公有仓库下载。

2.利用镜像创建一个容器，并启动该容器。

3.分配一个文件系统给容器，并在只读的镜像层外边挂载一层可读写层。

4.从宿主机配置的网桥接口中桥接一个虚拟接口到容器中。

5.从网桥的地址池配置一个IP地址给容器

6.执行用户指定的应用程序

对于创建的容器，当使用exit命令退出之后，容器就会自动处于退出状态。

默认情况下，常见的错误代码：

125：Docker daemon执行出错，指定了不支持的Docker命令参数

126：所指定命令无法运行，例如权限不足

127：容器内命令无法找到

命令执行出错，会默认返回错误码。

Docker守护态运行：通过-d参数来实现。

终止容器：

docker stop [-t|--time[=10]] [CONTAINER...]

首先向容器发送SIGTERM信号，等待一段时间(默认10秒)后，在发送SIGKILL信号终止容器。

docker kill命令会直接发送SIGKILL信号来强行终止容器。

进入Docker容器：

docker attach [--detach-keys[=[]]] [--no-stdin] [--sig-proxy[=true]] CONTAINER

支持子选项的作用：

--detach-keys[=[]]:退出attach模式的快捷键序列，默认是CTRL+P，CTRL+Q或CTRL+P+Q

--no-stdin=true|false:是否关闭标准输入，默认是保持打开的

--sig-proxy=true|false:是否代理收到的系统信号给应用程序，默认为true

40d5d3816472175538f48f506eb7aa74019ef643c50a1351cc830f96a1a66217

[email protected]:~# docker ps

CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES

40d5d3816472        centos              "/bin/bash"         6 seconds ago       Up 4 seconds                            vigilant_noether

[email protected]:~# docker attach vigilant_noether

[[email protected] /]# ls

anaconda-post.log  bin  dev  etc  home  lib  lib64  lost+found  media  mnt  opt  proc  root  run  sbin  srv  sys  tmp  usr  var

当多个窗口同时用attach命令连接同一个容器的时候，所有窗口都会同步显示。当某个窗口因为命令阻塞时，其他窗口也是无法执行操作的。

docker exec [-d|detach] [--detach-keys[=[]]] [-i|interactive] [--privileged] [-t|--tty] [-u|--user[=USER]] CONTAINER COMMAND [ARG...]

支持子选项的作用：

-i,--interactive=true|false:打开标准输入接受用户输入的命令，默认是false

--privileged=true|false:是否执行命令以高权限，默认是false

-t,--tty=true|false:分配伪终端，默认是false

-u,--user="":执行命令的用户名或ID

nsenter工具：

[email protected]:~# apt-get install util-linux

nsenter --target $PID --mount --uts --ipc --net --pid

删除容器：

docker rm [-f|--force] [-l|--link] [-v|--volumes] CONTAINER [CONTAINER...]

-f,--force=false：是否强行终止并删除一个运行中的容器

-l,--link=false：删除容器的连接，但是保留容器

-v,--volumes=false：删除容器挂载的数据卷

当添加-f参数的时候，Docker会先发送SIGKILL信号给容器，终止其中的应用，之后强行删除。

导出容器：

导出容器指的是导出一个已经创建的文件，不管此时这个容器是否处于运行状态，可以使用docker export命令：

docker export [-o|--output[=""]] CONTAINER

-o选项指定tar包的文件名或者使用>重定向。

[email protected]:~# docker ps

CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES

40d5d3816472        centos              "/bin/bash"         27 minutes ago      Up 4 seconds                            vigilant_noether

[email protected]:~# docker export >MyCentOS:6.0.tar 40d5d3816472

[email protected]:~# ll

drwxr-xr-x 16 doc  doc       4096 11月 29 22:00 ./

drwxr-xr-x  3 root root      4096 11月 27 21:52 ../

-rw-r--r--  1 root root 204790272 11月 29 22:00 MyCentOS:6.0.tar

导入容器：

docker import [-c|--change[=[]]] [-m|--message[=MESSAGE]] file|url - [REGISTRY[:TAG]]

可以通过-c选项在导入的同时对容器执行Dockerfile指令。

实际上，既可以使用docker load命令来导入镜像库存储文件到本地镜像库，也可以使用docker import命令来导入一个容器快照到本地镜像库。

两者的区别在于容器快照将会丢弃所有的历史记录和元数据信息，而镜像存储文件将保存完整记录，体积也会更大。此外从容器快照文件导入时，也可以重新指定标签等元数据。