企业级Docker虚拟化平台实战

虚拟化技术概述及简介

通俗的说，虚拟化就是把物理资源转变为逻辑上可以管理的资源，以打破物理结构间的壁垒，计算元件运行在虚拟的基础上而不是真实的基础上，可以扩大硬件的容量，简化软件的重新配置过程。

允许一个平台同时运行多个操作系统，并且应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高计算机的工作效率，是一个为了简化管理，优化资源的解决方案。

目前主流的虚拟化技术主要有：KVM、Xen、VMware Esxi、VirtualBox、Podman、Hyper-v、Open-vz、Docker（Containerd、GO语言），虚拟化技术也越来越广泛的应用在企业中，例如Taobao、Google等。

**虚拟化原理：**虚拟化解决方案的底部是要进行虚拟化的物理机器，这台机器可能直接支持虚拟化，也可能不会直接支持虚拟化，那么就需要系统管理程序层的支持。

系统管理程序(Virtual machine monitor)，或称为 VMM，可以看作是平台硬件和操作系统的抽象化。在某些情况中，这个系统管理程序就是一个操作系统，此时它就称为主机操作系统。

图 1. 虚拟化的分层抽象

__完全拟化技术__实际上是通过软件实现对操作系统的资源再分配，比较成熟，例如我们的KVM、VirtualBOX；

__半虚拟化技术__则是通过代码修改已有的系统，形成一种新的可虚拟化的系统，调用硬件资源去安装多个系统，整体速度上相对高一点，代表产品有Xen。

轻量级虚拟化，Docker虚拟化（介于完全虚拟化、半虚拟化之间），轻量级虚拟化；

Docker虚拟化入门简介

Docker技术类似集装箱，最早集装箱没有出现的时候，码头上有许多搬运的工人在搬运货物，集装箱出现以后，码头上看到更多的不是工人，而且集装箱的搬运模式更加单一，更加高效，还有其他的好处。

例如：货物多打包在集装箱里面，可以防止货物之间相互影响。并且到了另外一个码头需要转运的话，有了在集装箱以后，直接把它运送到另一个容器内即可，完全可以保证里面的货物是整体的搬迁，并且不会损坏货物本身。

Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化。

容器是完全使用沙箱机制，相互之间不会有任何接口（类似 iPhone 的 app）。几乎没有性能开销,可以很容易地在机器和数据中心中运行。最重要的是，他们不依赖于任何语言、框架或包括系统。

Docker应该是近年最火爆的技术之一，如果没有听说过，那么你就out了，2018年将开启新的跨越。

Docker 自开源后受到广泛的关注和讨论，以至于 dotCloud 公司后来都改名为 Docker Inc。Redhat 已经在其 RHEL6.5 中集中支持 Docker；Google 也在其 PaaS 产品中广泛应用。

Docker 项目的目标是实现轻量级的操作系统虚拟化解决方案。 Docker 的基础是 Linux 容器（LXC）等技术。在LXC的基础上 Docker 进行了进一步的封装，让用户不需要去关心容器的管理，使得操作更为简便。用户操作 Docker 的容器就像操作一个快速轻量级的虚拟机一样简单。

下面对比了Docker 和传统虚拟化（KVM、XEN等）方式的不同之处，Docker容器是在操作系统层面上实现虚拟化，直接复用本地主机的操作系统，而传统方式则是在硬件的基础上，虚拟出自己的系统，再在系统上部署相关的APP应用。

传统虚拟化结构图

Server硬件设备资源->Host OS宿主机系统（win11）->虚拟化软件（VMware workstation、Hyper-v）->虚拟机系统Guest OS->部署Libs/APP应用（MYSQL、Nginx、LVS、Ansible、Keepalived）。

Docker虚拟化结构图

Server硬件设备资源->Host OS宿主机系统（Linux）->虚拟化软件（Docker）->部署Libs/APP应用（MYSQL、Nginx、LVS、Ansible、Keepalived）。

Docker虚拟化有三个概念需要理解，分别__镜像、容器、仓库__。

**镜像：**Docker的镜像其实就是模板，跟我们常见的ISO镜像类似，是一个样板。

容器（服务、轻量级的虚拟机）：使用镜像常见的应用或者系统，我们称之为一个容器。

程序-进程

**仓库：**仓库是存放镜像的地方，分为公开仓库（Public）和私有仓库（Private）两种形式。

Docker虚拟化特点

跟传统VM比较具有如下优点：

操作启动快

运行时的性能可以获取极大提升，管理操作（启动，停止，开始，重启等等）都是以秒或毫秒为单位的。

轻量级虚拟化

你会拥有足够的“轻量级的操作系统（容器）”，仅需添加或减小镜像即可。在一台服务器上可以布署100~1000个Containers容器。但是传统虚拟化，你虚拟10-20个虚拟机就不错了。

开源免费

开源的，免费的，低成本的。由现代Linux内核支持并驱动。注* 轻量的Container必定可以在一个物理机上开启更多“容器”，注定比VMs要便宜。

前景及云支持

正在越来越受欢迎，包括各大主流公司都在推动docker的快速发展，性能有很大的优势。

跟传统VM比较具有如下缺点：

目前知道的人比较少；

相关的中文技术资料欠缺；

Go语言还未完全成熟。

为什么使用docker

Docker 在如下几个方面具有较大的优势：

更快速的交付和部署

Docker在整个开发周期都可以完美的辅助你实现快速交付。Docker允许开发者在装有应用和服务本地容器做开发。可以直接集成到可持续开发流程中。

开发者可以使用一个标准的镜像来构建一套开发容器，开发完成之后，运维人员可以直接使用这个容器来部署代码。 Docker 可以快速创建容器，快速迭代应用程序，并让整个过程全程可见，使团队中的其他成员更容易理解应用程序是如何创建和工作的。 Docker 容器很轻很快！容器的启动时间是秒级的，大量地节约开发、测试、部署的时间。

高效的部署和扩容

Docker容器几乎可以在任意的平台上运行，包括物理机、虚拟机、公有云、私有云、个人电脑、服务器等。这种兼容性可以让用户把一个应用程序从一个平台直接迁移到另外一个。

Docker的兼容性和轻量特性可以很轻松的实现负载的动态管理。你可以快速扩容或方便的下线的你的应用和服务，这种速度趋近实时。

更高的资源利用率

Docker 对系统资源的利用率很高，一台主机上可以同时运行数千个 Docker 容器。容器除了运行其中应用外，基本不消耗额外的系统资源，使得应用的性能很高，同时系统的开销尽量小。传统虚拟机方式运行 10 个不同的应用就要起 10 个虚拟机，而Docker 只需要启动 10 个隔离的应用即可。

更简单的管理

使用 Docker只需要小小的修改，就可以替代以往大量的更新工作。所有的修改都以增量的方式被分发和更新，从而实现自动化并且高效的管理。

Docker引擎架构

docker引擎是一个C/S结构的应用，组件如图所示：

Server是一个常驻进程（守护进程）；

REST API 实现了client和server间的交互协议；

CLI 实现容器和镜像的管理，为用户提供统一的操作界面。

Docker使用C/S架构，Client 通过接口与Server进程通信实现容器的构建，运行和发布。client和server可以运行在同一台集群，也可以通过跨主机实现远程通信，架构如图所示：

Docker镜像原理

一个完整的Docker镜像可以支撑一个Docker容器的运行，在Docker容器运行过程中主要提供文件系统数据支撑。

Docker镜像作为docker中最基本的概念，有以下几个特性：

镜像分层，每个镜像都由一个或多个镜像层组成；
可通过在某个镜像加上一定的镜像层得到新镜像（此过程可通过编写Dockerfile或基于容器Commit实现）；
每个镜像层拥有唯一镜像ID；
镜像在存储和使用时共享相同的镜像层（根据ID），所以在pull镜像时，已有的镜像层会自动跳过下载；
每个镜像层都是只读的，即使启动成容器，也无法对其真正的修改，修改只会作用于最上层的容器层。

Docker容器，可以理解为一个或多个运行的进程，而这些运行进程将占有相应的内存，相应的CPU计算资源，相应的虚拟网络设备以及相应的文件系统资源。而Docker容器所占用的文件系统资源，则通过Docker镜像的镜像层文件来提供。

基于每个镜像的json文件，Docker可以通过解析Docker镜像的json的文件，获知应该在这个镜像之上运行什么样的进程，应该为进程配置怎么样的环境变量，Docker守护进程：实现了静态的镜像向动态的容器转变。

YUM方式构建Docker平台实战

掌握了Docker虚拟化概念和原理之后，最重要的就是要在生产环节中落地Docker，Docker虚拟化平台最早期只支持Linux操作系统，现在最新版Windows操作系统也慢慢支持Docker虚拟化。

本章节将选择不同的发行版本来构建Docker虚拟化平台，Linux操作系统主流发行版本包括：Red Hat Linux、CentOS、Ubuntu、SUSE Linux、Fedora Linux等，如下简要介绍即将部署Docker虚拟化平台的两个系统：CentOS和Ubuntu。

Docker官方要求Linux内核版本在3.8+以上，生产环境中尽量推荐使用3.10+的Linux内核版本，Docker从1.13版本起，采用时间线的方式作为版本号，Docker版本现在基于YY.MM，分为社区版（Community Edition）和企业版（ Enterprise Edition），社区版是免费提供给个人开发者和小型团体使用的，而企业版会提供额外的收费服务。

社区版按照Stable和Edge两种方式发布，每个季度更新Stable版本，如17.06，17.09，每个月份更新Edge版本，如17.09，17.10。

虚拟化&Docker虚拟化技术本质的用途：

为了最大化的利用高配物理机的资源，提高硬件设备服务器的资源利用率，淘汰一些老、旧服务器，对老、旧服务器进行资源的重组、重用，满足企业飞快的发展。

虚拟化落地实施硬件设备选配上，尽量使用高配物理机资源，参考配置如下：

服务器品牌：Dell R730、R820;
CPU配置：Intel 至强E5-2600系列;
MEM配置：ECC DDR3 256G;
DISK配置：SAS 12TB（最大支持24T）;

网络配置：Intel四端口千兆网卡/双端口万兆网卡;

安装步骤和命令如下：


#安装国内阿里源; wget -P /etc/yum.repos.d/ http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo #安装Docker-CE版本; yum install docker-ce -y #查Docker版本是否安装; rpm -qa

安装完成，如图所示：

EQXWUU%W4P)4I`5GAR0UDM8

查看启动进程如图所示：

K$ZI)FHJ(Z6VPEK7@XOWQGF

查看docker info信息，如图所示：

I}DG6}RP)3G~IK1HR@Y$GVG

从Docker仓库下载Nginx镜像：

![}BX7S~EL9O[YO$80OCBQ

二进制方式构建Docker平台实战

基于OpenEuler22.x Linux操作系统，从0开始构建一套Docker虚拟化平台，使用二进制Tar包方式，部署的方法和步骤如下：

#从Docker官网下载Docker软件包; ls -l docker-24.0.6.tgz #通过Tar工具对其解压缩（-x extract解压，-z gzip压缩格式，-v verbose详细显示，-f file文件属性）; tar -xzvf docker-24.0.6.tgz #创建Docker程序部署目录：/usr/local/docker/; mkdir -p /usr/local/docker/ #将解压后的Docker程序移动至部署目录; \mv docker/* /usr/local/docker/ #查看Docker程序是否部署成功; ls -l /usr/local/docker/ #创建Docker用户和组，同时将Docker部署目录加入PATH环境变量中; useradd -s /sbin/nologin docker -M cat>>/etc/profile<<EOF export PATH=$PATH:/usr/local/docker/ EOF #使其PATH环境变量生效; source /etc/profile #启动Docker引擎服务; nohup /usr/local/docker/dockerd & #查看Docker进程状态; ps -ef

根据如上Docker平台部署指令，Docker平台部署成功，查看其版本信息如图所示：

Docker仓库源更新实战

Docker默认连接的国外官方镜像，通常根据网络情况不同，访问时快时慢，大多时候获取速度非常慢，为了提示效率可以自建仓库或者先修改为国内仓库源，提升拉取镜像的速度。

Docker可以配置的国内镜像有很多可供选择，例如：Docker中国区官方镜像、阿里云、网易蜂巢、DaoCloud等，这些都是国内比较快的镜像仓库。

从国外官网下载Docker Tomcat镜像，访问速度慢，如图所示：

Docker镜像修改方法，vim /etc/docker/daemon.json，执行如下命令即可：


cat>/etc/docker/daemon.json<<EOF { "registry-mirrors": [ "https://docker.m.daocloud.io" ] } EOF service docker restart

重启Docker服务即可，修改仓库地址为国内仓库后，获取镜像速度非常快，如图所示：

Docker典型命令演练

要使用docker虚拟化，需要下载镜像，使用docker命令启动，为了好让大家理解，这里直接利用docker启动centos系统。

公共仓库下载centos镜像：

docker run -itd --name=jfedu01 -p 80:80 nginx:latest

Run，全新创建&运行容器；
-i，interactive打开交互模式；
-t，tty打开登录终端；
-d，detach后台启动；
--name，指定或者自定义容器的名称；
-p，publish发布端口，将宿主机80映射至容器的80端口（DNAT）。

网络比较慢，可以下载好，然后导入镜像也可以，如下为Docker常用命令详解：

docker search 在docker hub中搜索镜像; docker pull 从docker镜像源服务器拉取指定镜像或者库镜像; docker push 推送指定镜像或者库镜像至docker源服务器; docker history 展示一个镜像形成历史; docker images 列出系统当前镜像; docker run 创建一个新的容器并运行一个命令; docker start 启动容器; docker stop 停止容器; docker attach 当前shell下attach连接指定运行镜像; docker build 通过Dockerfile定制镜像; docker commit 提交当前容器为新的镜像; docker cp 从容器中拷贝指定文件或者目录到宿主机中; docker create 创建一个新的容器，同run，但不启动容器; docker diff 查看docker容器变化; docker events 从docker服务获取容器实时事件; docker exec 在已存在的容器上运行命令; docker export 导出容器的内容流作为一个tar归档文件[对应import]; docker import 从tar包中的内容创建一个新的文件系统映像[对应export]; docker info 显示系统相关信息; docker inspect 查看容器详细信息; docker kill 指定docker容器; docker load 从一个tar包中加载一个镜像[对应save]; docker login 注册或者登陆一个docker源服务器; docker logout Dockerregistry退出; docker logs 输出当前容器日志信息; docker port 查看映射端口对应的容器内部源端口; docker pause 暂停容器; docker ps 列出容器列表; docker restart 重启运行的容器; docker rm 移除一个或者多个容器; docker rmi 移除一个或多个镜像； docker save 保存一个镜像为一个tar包[对应load]; docker tag 给源中镜像打标签; docker top 查看容器中运行的进程信息; docker unpause 取消暂停容器; docker version 查看docker版本号; docker wait 截取容器停止时的退出状态值;

Docker命令表格如下：


docker	search	在docker hub中搜索镜像;
docker	pull	从docker镜像源服务器拉取指定镜像或者库镜像;
docker	push	推送指定镜像或者库镜像至docker源服务器;
docker	history	展示一个镜像形成历史;
docker	images	列出系统当前镜像;
docker	run	创建一个新的容器并运行一个命令;
docker	start	启动容器;
docker	stop	停止容器;
docker	attach	当前shell下attach连接指定运行镜像;
docker	build	通过Dockerfile定制镜像;
docker	commit	提交当前容器为新的镜像;
docker	cp	从容器中拷贝指定文件或者目录到宿主机中;
docker	create	创建一个新的容器，同run，但不启动容器;
docker	diff	查看docker容器变化;
docker	events	从docker服务获取容器实时事件;
docker	exec	在已存在的容器上运行命令;
docker	export	导出容器的内容流作为一个tar归档文件[对应import];
docker	import	从tar包中的内容创建一个新的文件系统映像[对应export];
docker	info	显示系统相关信息;
docker	inspect	查看容器详细信息;
docker	kill	指定docker容器;
docker	load	从一个tar包中加载一个镜像[对应save];
docker	login	注册或者登陆一个docker源服务器;
docker	logout	Docker registry退出;
docker	logs	输出当前容器日志信息;
docker	port	查看映射端口对应的容器内部源端口;
docker	pause	暂停容器;
docker	ps	列出容器列表;
docker	restart	重启运行的容器;
docker	rm	移除一个或者多个容器;
docker	rmi	移除一个或多个镜像；
docker	save	保存一个镜像为一个tar包[对应load];
docker	tag	给源中镜像打标签;
docker	top	查看容器中运行的进程信息;
docker	unpause	取消暂停容器;
docker	version	查看docker版本号;
docker	wait	截取容器停止时的退出状态值。

Docker网络深入剖析

基于Docker run创建Docker容器时，可以使用--net选项指定容器的网络模式，Docker默认有以下四种网络模式：

host模式，使用--net=host指定；
container模式，使用--net=container:NAME_or_ID指定；
none模式，使用--net=none指定；
bridge模式，使用--net=bridge指定，默认设置；

Host模式详解：

默认Docker容器运行会分配独立的Network Namespace隔离子系统，基于host模式，容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace，容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口（1-65535）。

Container模式详解：

熟悉了host模式，Container模式也非常好理解，Container模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace，而不是和宿主机共享。

即新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围等。同样两个容器除了网络方面相同之外，其他的如文件系统、进程列表等还是隔离的。

None模式详解：（自定义IP地址、静态IP）

None模式与其他的模式都不同，如果处于None模式，Docker容器拥有自己的Network Namespace，但是并不为Docker容器进行任何网络配置。也就是说该Docker容器没有网卡、IP、路由（网关）等信息，需要手工为Docker容器添加网卡、配置IP等，典型Pipework工具为Docker容器指定IP等信息；

Bridge桥接模式

Bridge模式是Docker默认的网络模式，该模式会为每一个容器分配Network Namespace、设置IP、路由等配置，默认会将Docker容器连接到一个虚拟网桥交换机Docker0上。本文采用Bridge模式，如下为桥接模式拓扑图：

Docker Bridge创建过程：

首先Docker宿主机上创建一对虚拟网卡veth pair设备，veth设备总是成对出现的，组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来，veth设备常用来连接两个网络设备。
Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0，然后将另一端放在宿主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中，可以通过brctl show命令查看。(将Veth虚拟设备加入网桥交换机里面，相当于把虚拟机加入交换机)
从Docker0子网（DHCP池子）中分配一个IP给容器使用，并设置Docker0（网桥的名称、宿主机桥接网卡）的IP地址为容器的默认网关。
此时容器IP与宿主机能够通信，宿主机也可以访问容器中的IP地址，在Bridge模式下，连在同一网桥上的容器之间可以相互通信，同时容器也可以访问外网，但是其他物理机不能访问docker容器IP，需要通过NAT将容器IP的port映射为宿主机的IP和port。

OpenEuler22.x Docker桥接网络实战

基于OpenEuler22.x构建Docker桥接网络，案例方法如下：

配置bridge桥接网络可以直接设置网卡配置文件：

/etc/sysconfig/network-scripts/下，修改ifcfg-ens33网卡配置，同时增加ifcfg-br0桥接网卡配置，操作流程如下：

vi ifcfg-ens33内容修改为如下：


DEVICE=ens33 BOOTPROTO=none NM_CONTROLLED=no ONBOOT=yes TYPE=Ethernet BRIDGE="br0" IPADDR=192.168.43.81 NETMASK=255.255.255.0 GATEWAY=192.168.43.1 USERCTL=no

vi ifcfg-br0内容如下：


DEVICE="br0" BOOTPROTO=none IPV6INIT=no NM_CONTROLLED=no ONBOOT=yes TYPE="Bridge" IPADDR=192.168.43.81 NETMASK=255.255.255.0 GATEWAY=192.168.43.1 USERCTL=no

启动docker服务，即可；

service docker start

Docker默认提供了一个隔离的内网环境，启动时会建立一个docker0的虚拟网卡，每个容器都是连接到docker0网卡上的。而docker0的ip段为172.17.0.1，如果想让容器与宿主机同一网段的其他机器访问，就必须在启动docker的时候将某个端口映射到宿主机的端口。

KVM的桥接网络非常方便，其实docker也比较方便，至少不是自带的桥接而已，上次课程我们讲解了docker容器在centos6.5下的实现方法，今天我们来讲解centos7下如果快速实现docker容器桥接网络，并为容器分配外网IP。如下为通过pipework工具配置容器IP方法：


安装pipework git clone https://github.com/jpetazzo/pipework cp ~/pipework/pipework /usr/local/bin/ 启动容器并设置网络 docker run -itd --net=none --name=lamp2 centos7 /bin/bash pipework br0 lamp2 192.168.1.11/24@192.168.1.88 进入容器查看ip docker exec lamp2 ifconfig

基于Docker WEB管理Docker容器

通常来讲，开发人员和管理人员默认通过命令行来创建及运行Docker容器，但Docker的Remote API让他们可以通过充分利用REST（代表性状态传输协议）的API，运行相同的命令。

Docker UI也是基于API方式管理宿主机的Docker引擎。Docker UI Web前端程序让你可以处理通常通过Web浏览器的命令行来管理的许多任务。

主机上的所有容器都可以通过仅仅一条连接来处理，该项目几乎没有任何依赖关系。该软件目前仍在大力开发之中，但是它采用麻省理工学院（MIT）许可证，所以可以免费地重复使用。

Docker UI不包含任何内置的身份验证或安全机制，所以务必将任何公之于众的DockerUI连接放在用密码来保护的系统后面。

下载Docker UI镜像；

只需要在宿主机pull相关的镜像即可，指令如下：

docker pull uifd/ui-for-docker

docker images

启动docker-UI服务，并且映射9000至容器9000；

docker run -it -d --name docker-web -p 9000:9000 -v /var/run/docker.sock:/var/run/docker.sock docker.io/uifd/ui-for-docker

如果启动Docker端口映射，报错信息如下：

docker0: iptables: No chain/target/match by that name.

解决方法：

如上报错信息是因为本地iptables规则策略没有匹配的链表，解决方案如下：

pkill docker

iptables -t nat -F
ifconfig docker0 down

yum install -y bridge* -y

brctl delbr docker0

service docker restart

通过docker ps 查看Docker UI状态；

通过浏览器登录WEB 9000端口访问如图所示：

选择WEB界面images镜像列表，如图所示：

基于镜像启动Docker容器虚拟机，并且实现端口映射，如图所示：

创建Docker容器之后，通过浏览器实现访问81端口，如图所示：

Docker容器资源WEB监控如图所示：

Docker二进制Systemctl方式管理

根据如上Docker二进制Tar方式部署完成，默认启动Docker需要执行完整的路径去启动，而且停止直接kill也不是很友好。

OpenEuler使用systemd服务来代替daemon，原来管理系统启动和管理系统服务的相关命令全部由Systemctl命令来代替。

![Z6%2]E]N{3V0PA~Y_M(D98

在企业生产环境中，我们可以将二进制部署的Docker程序用Systemctl方式去管理，支持优雅的启动和关闭服务。

首先创建/usr/lib/systemd/system/docker.service启动脚本，代码如下：

[Unit] Description=Docker Application Container Engine Documentation=https://docs.docker.com After=network-online.target firewalld.service Wants=network-online.target [Service] Type=notify ExecStart=/usr/local/docker/dockerd ExecReload=/bin/kill -s HUP $MAINPID LimitNOFILE=infinity LimitNPROC=infinity TimeoutStartSec=0 Delegate=yes KillMode=process Restart=on-failure StartLimitBurst=4 StartLimitInterval=20s [Install] WantedBy=multi-user.target

启动脚本创建完毕之后，执行reload指令，如下所示：

systemctl daemon-reload

将Docker.service服务加入开机启动项，同时启动服务，查看其运行状态;

systemctl enable docker.service

systemctl start docker.service

systemctl status docker.service

查看Docker服务运行进程，如图所示;

systemctl enable docker.service

ls -l /usr/local/docker/

Dockerfile企业案例演练

由于Docker官网公共仓库镜像大多不完整，无法真正满足企业的生产环境系统，此时需要我们自行定制镜像或者重新打包镜像。

Docker镜像制作是管理员的必备工作之一，Docker镜像制作的方法主要有两种，制作方法如下：

Docker commit|export将新容器提交至Images列表；
编写Dockerfile，bulid新的镜像至镜像列表、docker save导出、load导入；

Dockerfile语法命令详解一

企业生产环境推荐使用Dockerfile制作镜像，Dockerfile制作原理：将基于一个基础镜像，通过编写Dockerfile方式，将各个功能进行叠加，最终形成新的Docker镜像，是目前互联网企业中打包镜像最为推荐的方式。

Dockerfile是一个镜像的表示，也是一个镜像的原材料，可以通过Dockerfile来描述构建镜像，并自动构建一个容器。

如下为DockerFile制作镜像，必备的指令和参数的详解：

FROM 指定所创建镜像的基础镜像; MAINTAINER 指定维护者信息; RUN 运行命令; CMD 指定启动容器时默认执行的命令; LABEL 指定生成镜像的元数据标签信息; EXPOSE 声明镜像内服务所监听的端口; ENV 指定环境变量; ADD 赋值指定的路径下的内容到容器中的路径下，可以为URL；如果为tar文件，会自动解压到路径下 COPY 赋值本地主机的路径下的内容到容器中的路径下；一般情况下推荐使用COPY而不是ADD; ENTRYPOINT 指定镜像的默认入口; CMD 指定启动容器时默认执行的命令; VOLUME 创建数据挂载点; USER 指定运行容器时的用户名或UID; WORKDIR 配置工作目录; ARG 指定镜像内使用的参数(例如版本号信息等); ONBUILD 配置当前所创建的镜像作为其他镜像的基础镜像时，所执行的创建操作的命令; STOPSIGNAL 容器退出的信号; HEALTHCHECK 如何进行健康检查; SHELL 指定使用SHELL时的默认SHELL类型;

Dockerfile语法命令详解二

FROM指定所创建的镜像的基础镜像，如果本地不存在，则默认会去Docker Hub下载指定镜像。格式为：FROM，或FROM:，或FROM@。任何Dockerfile中的第一条指令必须为FROM指令。并且，如果在同一个Dockerfile文件中创建多个镜像，可以使用多个FROM指令(每个镜像一次)。 MAINTAINER指定维护者信息，格式为MAINTAINER。例如： MAINTAINER image_creator@docker.com 该信息将会写入生成镜像的Author属性域中。 RUN运行指定命令。格式为：RUN或RUN ["executable","param1","param2"]。注意：后一个指令会被解析为json数组，所以必须使用双引号。前者默认将在shell终端中运行命令，即/bin/sh -c；后者则使用exec执行，不会启动shell环境。指定使用其他终端类型可以通过第二种方式实现，例如： RUN ["/bin/bash","-c","echo hello"] 每条RUN指令将在当前镜像的基础上执行指定命令，并提交为新的镜像。当命令较长时可以使用\换行。例如： RUN apt-get update \ && apt-get install -y libsnappy-dev zliblg-dev libbz2-dev \ && rm -rf /var/cache/apt CMD用来指定启动容器时默认执行的命令。它支持三种格式： CMD ["executable","param1","param2"] 使用exec执行，是推荐使用的方式； CMD param1 param2 在/bin/sh中执行，提供给需要交互的应用； CMD ["param1","param2"] 提供给ENTRYPOINT的默认参数。每个Dockerfile只能有一条CMD命令。如果指定了多条命令，只有最后一条会被执行。入股用户启动容器时指定了运行的命令(作为run的参数)，则会覆盖掉CMD指定的命令。 LABEL指令用来生成用于生成镜像的元数据的标签信息。格式为：LABEL = = = ...。例如： LABEL version="1.0" LABEL description="This text illustrates \ that label-values can span multiple lines." EXPOSE声明镜像内服务所监听的端口。格式为：EXPOSE [...] 例如： EXPOSE 22 80 443 3306 注意：该命令只是起到声明作用，并不会自动完成端口映射。在容器启动时需要使用-P(大写P)，Docker主机会自动分配一个宿主机未被使用的临时端口转发到指定的端口；使用-p(小写p)，则可以具体指定哪个宿主机的本地端口映射过来。 ENV指定环境变量，在镜像生成过程中会被后续RUN指令使用，在镜像启动的容器中也会存在。格式为：ENV 或ENV=...。例如： ENV GOLANG_VERSION 1.6.3 ENV GOLANG_DOWNLOAD_RUL https://golang.org/dl/go$GOLANG_VERSION.linux-amd64.tar.gz ENV GOLANG_DOWNLOAD_SHA256 cdd5e08530c0579255d6153b08fdb3b8e47caabbe717bc7bcd7561275a87aeb RUN curl -fssL "$GOLANG_DOWNLOAD_RUL" -o golang.tar.gz && echo "$GOLANG_DOWNLOAD_SHA256 golang.tar.gz"

Dockerfile制作规范及技巧

从企业需求出发，定制适合自己需求、高效方便的镜像，可以参考官方Dockerfile文件，也可以根据自身的需求，逐步的完善，在构建中不断优化Dockerfile文件；

Dockerfile制作镜像规范和技巧如下：

精简镜像用途：尽量让每个镜像的用途都比较集中、单一，避免构造大而复杂、多功能的镜像；
选用合适的基础镜像：过大的基础镜像会造成构建出臃肿的镜像，一般推荐比较小巧的镜像作为基础镜像；
提供详细的注释和维护者信息： Dockerfile也是一种代码，需要考虑方便后续扩展和他人使用；
正确使用版本号：使用明确的具体数字信息的版本号信息，而非latest，可以避免无法确认具体版本号，统一环境；
减少镜像层数：减少镜像层数建议尽量合并RUN指令，可以将多条RUN指令的内容通过&&连接；
及时删除临时和缓存文件：这样可以避免构造的镜像过于臃肿，并且这些缓存文件并没有实际用途；
提高生产速度：合理使用缓存、减少目录下的使用文件，使用.dockeringore文件等；
调整合理的指令顺序：在开启缓存的情况下，内容不变的指令尽量放在前面，这样可以提高指令的复用性；
减少外部源的干扰：如果确实要从外部引入数据，需要制定持久的地址，并带有版本信息，让他人可以重复使用而不出错。

DockerFile企业案例一

DockerFile企业案例一，将启动Docker容器，同时开启Docker容器对外的22端口的监听，实现通过CRT或者Xshell登录。

Docker服务端创建Dockerfile文件，实现容器运行开启22端口，内容如下：

#2023-5-10 21:24:06 #指定基础镜像； FROM rockylinux/rockylinux:latest #设置维护者信息; MAINTAINER www.jfedu.net 2023 #指定容器系统的工作目录； WORKDIR /root/ #配置YUM源文件; RUN mv /etc/yum.repos.d/* /tmp/ RUN cp /tmp/OpenEuler-Base.repo /etc/yum.repos.d/ #安装网络工具和openssh服务； RUN yum install -y net-tools openssh-server #修改系统的密码为1; RUN echo 1

基于Dockerfile来创建生成镜像，命令如下：

用docker build根据Dockerfile创建镜像(OpenEuler:ssh)：

docker build -t OpenEuler:ssh - < Dockerfile

docker build -t OpenEuler:ssh ./

DockerFile企业案例二

DockerFile企业案例二，开启SSH 6379端口，让Redis端口对外访问，Dockerfile内容如下：

FROM OpenEuler:latest #作者信息 MAINTAINER WWW.JFEDU.NET #安装依赖工具&删除默认YUM源，使用YUM源为国内163 YUM源; RUN rpm --rebuilddb;yum install make wget tar gzip passwd openssh-server gcc -y RUN rm -rf /etc/yum.repos.d/*;wget -P /etc/yum.repos.d/ http://mirrors.163.com/.help/OpenEuler-Base-163.repo #配置SSHD&修改root密码为1qaz@WSX RUN ssh-keygen -q -t rsa -b 2048 -f /etc/ssh/ssh_host_rsa_key -N '' RUN ssh-keygen -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -N '' RUN ssh-keygen -q -t ed25519 -f /etc/ssh/ssh_host_ED25519_key -N '' RUN echo '1qaz@WSX'

DockerFile企业案例三

DockerFile企业案例三，基于Dockerfile开启Nginx 80端口，并远程连接服务器，dockerfile内容如下：

FROM OpenEuler:latest #作者信息 MAINTAINER WWW.JFEDU.NET #安装依赖工具&删除默认YUM源，使用YUM源为国内163 YUM源; RUN rpm --rebuilddb;yum install make wget tar gzip passwd openssh-server gcc pcre-devel open ssl-devel net-tools -y RUN rm -rf /etc/yum.repos.d/*;wget -P /etc/yum.repos.d/ http://mirrors.163.com/.help/OpenEuler-Base-163.repo #配置SSHD&修改root密码为1qaz@WSX RUN ssh-keygen -q -t rsa -b 2048 -f /etc/ssh/ssh_host_rsa_key -N '' RUN ssh-keygen -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -N '' RUN ssh-keygen -q -t ed25519 -f /etc/ssh/ssh_host_ED25519_key -N '' RUN echo '1qaz@WSX'

DockerFile企业案例四

DockerFile企业案例四，Docker虚拟化中，如何来构建我们的MYSQL数据库服务器呢？答案很简单，我们可以是dockerfile来生成mysql镜像并启动运行即可。

FROM OpenEuler:v1 RUN groupadd -r mysql && useradd -r -g mysql mysql RUN rpm --rebuilddb;yum install -y gcc zlib-devel gd-devel ENV MYSQL_MAJOR 5.6 ENV MYSQL_VERSION 5.6.20 RUN && curl -SL "http://dev.mysql.com/get/Downloads/MySQL-$MYSQL_MAJOR/mysql-$MYSQL_VERSION-linux-glibc2.5-x86_64.tar.gz" -o mysql.tar.gz \ && curl -SL "http://mysql.he.net/Downloads/MySQL-$MYSQL_MAJOR/mysql-$MYSQL_VERSION-linux-glibc2.5-x86_64.tar.gz.asc" -o mysql.tar.gz.asc \ && mkdir /usr/local/mysql \ && tar -xzf mysql.tar.gz -C /usr/local/mysql \ && rm mysql.tar.gz* \ ENV PATH $PATH:/usr/local/mysql/bin:/usr/local/mysql/scripts WORKDIR /usr/local/mysql VOLUME /var/lib/mysql EXPOSE 3306 CMD /usr/bin/mysqld_safe --datadir=/var/lib/mysql --user=mysql

Docker本地私有仓库实战

Docker仓库主要用于存放Docker镜像，Docker仓库分为公共仓库和私有仓库，基于registry可以搭建本地私有仓库，使用私有仓库的优点如下：

节省网络带宽，针对于每个镜像不用去Docker官网仓库下载；
下载Docker镜像从本地私有仓库中下载；
组件公司内部私有仓库，方便各部门使用，服务器管理更加统一；
可以基于GIT或者SVN、Jenkins、K8S更新本地Docker私有仓库镜像版本。

官方提供Docker Registry来构建本地私有仓库，目前最新版本为v2，最新版的docker已不再支持v1，Registry v2使用Go语言编写，在性能和安全性上做了很多优化，重新设计了镜像的存储格式。如下为在192.168.101.128服务器上构建Docker本地私有仓库的方法及步骤：

下载Docker registry镜像，命令如下：


docker pull docker.io/registry

启动私有仓库容器，启动命令如下：


mkdir -p /data/registry/ docker run -itd -p 5000:5000 -v /data/registry:/var/lib/registry registry

Docker本地仓库启动后台容器启动，如图24-2所示：

默认情况下，会将仓库存放于容器内的/tmp/registry目录下，这样如果容器被删除，则存放于容器中的镜像也会丢失，所以我们一般情况下会指定本地一个目录挂载到容器内的/tmp/registry下。

上传镜像至本地私有仓库：

客户端上传镜像至本地私有仓库，如下以busybox镜像为例，将busybox上传至私有仓库服务器。


docker pull busybox docker tag busybox 192.168.101.128:5000/busybox docker push 192.168.101.128:5000/busybox

检测本地私有仓库：


curl -XGET http://192.168.101.128:5000/v2/_catalog curl -XGET http://192.168.101.128:5000/v2/busybox/tags/list

客户端使用本地私有仓库：

客户端docker配置文件添加如下代码，同时重启docker服务，获取本地私有仓库如图24-3所示：


OPTIONS='--selinux-enabled --log-driver=journald --signature-verification=false --insecure-registry 192.168.101.128:5000' ADD_REGISTRY='--add-registry 192.168.101.128:5000'

至此，docker本地私有仓库部署完毕，可以向仓库中添加或者更新Docker镜像。

配置Docker仓库第二种方法

可以在/etc/docker/daemon.json写入如下内容：

{

"insecure-registries":["192.168.101.128:5000"]

}

重启docker引擎服务

service docker restart

下载远程仓库镜像，如图所示：

Docker磁盘&内存&CPU资源实战

Docker容器默认启动的虚拟机，会占用宿主机的资源（CPU、内存、硬盘），例如默认Docker基于Overlay2驱动方式，容器硬盘的rootfs根分区空间是整个宿主机的空间大小。

可以指定默认容器的大小（在启动容器的时候指定），可以在docker配置文件：/etc/sysconfig/docker中，OPTIONS参数后面添加如下代码,指定Docker容器rootfs容量大小为40G：

OPTIONS='--storage-opt overlay2.size=40G'

以上方法只适用于新容器生成，并且修改后需要重启docker，无法做到动态给正在运行容器指定大小，如下图为默认容器大小：

修改Docker存储配置文件，加入如下代码：(默认如果已经为overlay2，则无需修改)

vi /etc/sysconfig/docker-storage

DOCKER_STORAGE_OPTIONS="--storage-driver overlay2 "

然后重启docker即可;

Overlay2 Docker磁盘驱动模式，如果要调整其大小，通过如上的方法，会导致Docker引擎服务无法启动，还需要让Linux文件系统设置为xfs，并且支持目录级别的磁盘配额功能；

OpenEuler22.x Xfs磁盘配额配置，新添加一块硬盘，设置磁盘配额方法步骤如下：

1）添加新的硬盘如图所示：

格式化硬盘为xfs文件系统格式，命令如下：

mkfs.xfs -f /dev/sdb

创建data目录，后续将作为docker数据目录；

mkdir /data/ -p

挂载data目录，并且开启磁盘配额功能（默认xfs支持配额功能）；

mount -o uquota,prjquota /dev/sdb /data/

挂载配额类型如下：

根据用户(uquota/usrquota/quota)
根据组(gquota/grpquota) ；
根据目录(pquota/prjquota)(不能与grpquota同时设定) 。

查看配额-配置详情，命令如下：

xfs_quota -x -c 'report' /data/

可以通过命令xfs_quota设置来为用户和目录分配配额，也可以通过命令来查看配额信息；

xfs_quota -x -c 'limit bsoft=10M bhard=10M jfedu' /data

xfs_quota -x -c 'report' /data/

将docker引擎默认数据存储目录:/var/lib/docker重命名，并且将/data/docker目录软链接至/var/lib/下即可；

mkdir -p /data/docker/

cd /var/lib/

mv docker docker.bak

ln -s /data/docker/ .

重启Docker服务，并且查看进程，可以看到docker overlay2.size大小配置，如图所示：

基于Docker客户端指令启动Docker容器，并且查看最新容器的磁盘空间为10G，则设置容器大小成功，如图所示：

Docker构建Nginx服务器实战

Nginx [engine x]是Igor Sysoev编写的一个HTTP和反向代理服务器，另外它也可以作为邮件代理服务器。它已经在众多流量很大的俄罗斯网站上使用了很长时间，这些网站包括Yandex、Mail.Ru、VKontakte，以及Rambler。

据Netcraft统计，在2012年8月份，世界上最繁忙的网站中有11.48%使用Nginx作为其服务器或者代理服务器。目前互联网主流公司360、百度、新浪、腾讯、阿里等都在使用nginx作为自己的web服务器。

Nginx由内核和模块组成，其中，内核的设计非常微小和简洁，完成的工作也非常简单，仅仅通过查找配置文件将客户端请求映射到一个location block（location是Nginx配置中的一个指令，用于URL匹配），而在这个location中所配置的每个指令将会启动不同的模块去完成相应的工作。

Nginx相对于Apache优点：

高并发响应性能非常好，官方Nginx处理静态文件并发5w/s
反向代理性能非常好。（可用于负载均衡）
内存和cpu占用率低。（为Apache的1/5-1/10）
功能较Apache少（常用功能均有）
对php可使用cgi方式和fastcgi方式。

Nginx WEB安装

首先需要安装pcre库，然后再安装Nginx：

#安装pcre支持rewrite库,也可以安装源码，注*安装源码时，指定pcre路径为解压

源码的路径，而不是编译后的路径，否则会报错

（make[1]: *** [/usr/local/pcre/Makefile] Error 127 错误）

yum install pcre-devel pcre -y

#下载Nginx源码包

cd /usr/src ;wget -c http://nginx.org/download/nginx-1.4.2.tar.gz

#解压Nginx源码包

tar -xzf nginx-1.4.2.tar.gz

#进入解压目录，然后sed修改Nginx版本信息为WS

cd nginx-1.4.2 ; sed -i -e 's/1.4.2//g' -e 's/nginx//WS/g' -e

's/"NGINX"/"WS"/g' src/core/nginx.h

#预编译Nginx

useradd www ;./configure --user=www --group=www --prefix=/usr/local/nginx --with-

http_stub_status_module --with-http_ssl_module

#.configure预编译成功后，执行make命令进行编译

make

#make执行成功后，执行make install 正式安装

make install

#自此Nginx安装完毕

/usr/local/nginx/sbin/nginx -t 检查nginx配置文件是否正确，返回OK即正确。

[root@localhost ~]# /usr/local/nginx/sbin/nginx -t

nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok

nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

[root@localhost ~]#

然后启动nginx，/usr/local/nginx/sbin/nginx 回车即可。查看进程是否已启动：

[root@localhost ~]# ps -ef |grep nginx

nobody 5381 30285 0 May16 ? 00:04:31 nginx: worker process

root 30285 1 0 2014 ? 00:00:00 nginx: master process /usr/local/nginx/sbin/nginx

root 32260 32220 0 12:34 pts/0 00:00:00 grep nginx

[root@localhost ~]#

然后我们可以通过docker 的ip去访问即可。

Docker自动化部署二

生产环境中，由于Docker指令过多，操作比较繁琐，可以编写SHELL自动安装并配置Docker虚拟化及桥接网络，同时使用pipework脚本来配置容器IP，能够实现容器的批量管理，此脚本适用于OpenEuler22.x系统；

OpenEuler22.x系列Docker批量管理脚本代码如下：


#!/bin/bash #auto install docker and Create VM #by jfedu.net 2024 #Define PATH Varablies IPADDR=`ifconfig