Chinaunix

标题: 我的碎碎念：Docker入门指南 [打印本页]
作者: send_linux    时间: 2016-10-08 11:38
标题: 我的碎碎念：Docker入门指南
【编者的话】之前曾经翻译过很多Docker入门介绍的文章，之所以再翻译这篇，是因为Anders的角度很独特，思路也很调理。你也可以看下作者的演讲稿《Docker， DevOps的未来》。本文介绍了Docker的一些基本概念、诱人的特性、Docker的工作原理、日常管理基本操作，以及一些Docker的问题的解决方案。
       

什么是Docker，你应该知道些什么？相比很多人的解释，我相信说Docker是一个轻量级的虚拟机更容易理解。另外一种解释是：Docker就是操作系统中的chroot。如果你不知道chroot是什么的话，后一种解释可能无法帮助你理解什么是Docker。

chroot是一种操作，能改变当前运行的进程和子进程的根目录。 程序运行在这样的一个被修改的环境中，它不能访问这个环境目录树之外的文件和命令，这个被修改的环境就是“chroot牢笼”。
  
  
-- Arch Linux 的 wiki 中对 chroot 的解释
虚拟机 vs. Docker下面这张图描述了虚拟机和Docker之间的差异。 在VM中，宿主OS上是hypervisor（虚拟机监视器）, 最上层是客户机操作系统，而Docker则使用Docker引擎和容器。 这样解释你能理解吗? Docker引擎和hypervisor之间的区别又是什么呢？你可以列出运行在宿主OS上的进程来理解它们的区别。
       

下面这个简单的进程树可以看出它们的差异。虽然虚拟机中运行了很多进程，但是运行虚拟机的宿主机上却只有一个进程。
    # Running processes on Host for a VM$ pstree VM-+= /VirtualBox.app|--= coreos-vagrant
而运行Docker引擎的主机上则可以看到所有的进程。 容器进程是运行在宿主OS上的！，他们可以通过普通的ps，kill等命令进行检查和维护。
    # Docker在主机中的进程$ pstree docker-+= /docker|--= /bin/sh|--= node server.js|--= go run app|--= ruby server.rb...|--= /bin/bash
所有的东西都是透明的， 意味着什么呢？意味着Docker容器比虚拟机更小，更快，更容易与其它东西集成。如下图所示。
       

安装CoreOS的小型虚拟机居然有1.2GB， 而装上busybox的小型容器只有2.5MB。最快的虚拟机启动时间也是分钟级的，而容器的启动时间通常不到一秒。在同一宿主机上安装虚拟机需要正确的设置网络， 而安装Docker非常简单。

这么来看，容器是轻量、快速并且易集成，但这并不是它的全部！
Docker 是一份合约Docker还是开发者和运维之间的“合约”。 开发和运维在选择工具和环境时的姿态通常差别很大。开发者想要使用一些闪亮的新东西，比如Node.js、Rust、Go、微服务、Cassandra、Hadoop、blablabla.........而运维则倾向于使用以往用过的工具，因为事实证明那些旧的工具很有效。

但这恰恰是Docker的亮点， 运维喜欢它，因为Docker让他们只要关心一件事: 部署容器， 而开发者也一样很开心，只要写好代码，然后往容器里一扔，剩下的交给运维就完事了。
       

不过别急，这还没完。运维还能帮助开发者构建优化好的容器以便用于本地开发。
更好的资源利用很多年前，那时候还没有虚拟化，当我们需要创建一个新服务时，我们必须申请实际的物理机硬件。 这可能要花上数月，依赖于公司的流程。一旦服务器到位，我们创建好服务，很多时候它并没有像我们希望的那样成功，因为服务器的CPU使用率只有5%。 太奢侈了。  

接着，虚拟化来了。它可以在几分钟之内把一台机器运转起来，还可以在同一硬件上运行多个虚拟机，资源使用率就不只5%了。但是，我们还需要给每个服务分配一个虚拟机，因此我们还是不能如愿的使用这台机器。

容器化是演化进程的下一步。容器可以在几秒之内创建起来，而且还能以比虚拟机更小的粒度进行部署。
依赖       

Docker启动速度真的很酷。 但是，我们为什么不把所有的都服务部署到同一台机器上呢？ 原因很简单：依赖的问题。在同一台机器上安装多个独立的服务，不管是真是机器还是虚拟机都是一场灾难。用Docker公司的说法是：地狱一样的矩阵依赖。

而Docker通过在容器中保留依赖关系解决了矩阵依赖的问题。
速度       

快当然不错，但是能快100倍就太不可思议了。速度让很多事情成为可能，增加了更多新的可能性。比如，现在可以快速创建新的环境，如果需要从Clojure开发环境完整的切换到Go语言吗？启动一个容器吧。需要为集成和性能测试提供生产环境DB ？启动一个容器吧！ 需要从Apache切换整个生产环境到Nginx？启动容器吧！
Docker是怎么工作的？Docker是一个Client-Server结构的系统，Docker守护进程运行在主机上， 然后通过Socket连接从客户端访问， 客户端和守护进程也可以运行再同一主机上，但这不是必须的。Docker命令行客户端也是类似的工作方式，但它通常通过Unix域套接字而不是TCP套接字连接。

守护进程从客户端接受命令并管理运行在主机上的容器。
       

Docker 概念及相互作用
创建镜像可以通过docker commit  container-id、docker import url-to-tar或者docker build -f Dockerfile .来创建镜像。
先看commit的方式：
    # 通过commit的方式来创建镜像$ docker run -i -t debian:jessie bashroot@e6c7d21960:/# apt-get updateroot@e6c7d21960:/# apt-get install postgresqlroot@e6c7d21960:/# apt-get install noderoot@e6c7d21960:/# node --versionroot@e6c7d21960:/# curl https://iojs.org/dist/v1.2.0/iojs-v1.2.0-linux-x64.tar.gz -o iojs.tgzroot@e6c7d21960:/# tar xzf iojs.tgzroot@e6c7d21960:/# lsroot@e6c7d21960:/# cd iojs-v1.2.0-linux-x64/root@e6c7d21960:/# lsroot@e6c7d21960:/# cp -r * /usr/local/root@e6c7d21960:/# iojs --version1.2.0root@e6c7d21960:/# exit$ docker ps -l -qe6c7d21960$ docker commit e6c7d21960 postgres-iojsdaeb0b76283eac2e0c7f7504bdde2d49c721a1b03a50f750ea9982464cfccb1e
从上面可以看出，我们可以通过docker commit来创建镜像，但是这种方式有点凌乱而且很难复制， 更好的方式是通过Dockerfile来构建镜像，因为它步骤清晰并且容易复制：
    FROM debian:jessie# Dockerfile for postgres-iojsRUN apt-get updateRUN apt-get install postgresqlRUN curl https://iojs.org/dist/iojs-v1.2.0.tgz -o iojs.tgzRUN tar xzf iojs.tgzRUN cp -r iojs-v1.2.0-linux-x64/* /usr/local
然后用下面的命令来构建：
    $ docker build -tag postgres-iojs .
Dockerfile中的每一个命令都创建了新版的layer，通常把类似的命令放在一起，通过&&和续行符号把命令组合起来：
    FROM debian:jessie# Dockerfile for postgres-iojsRUN apt-get update && \  apt-get install postgresql && \  curl https://iojs.org/dist/iojs-v1.2.0.tgz -o iojs.tgz && \  tar xzf iojs.tgz && \  cp -r iojs-v1.2.0-linux-x64/* /usr/local
这些行中命令的顺序很重要，因为Docker为了加速镜像的构建，会缓存中间的镜像。 组织Dockerfile的顺序时，注意把经常变化的行放在文件的底部，当缓存中相关的文件改变时，镜像会重新运行，即使Dockerfile中的行没有发生变化也是如此。
Dockerfile 中的命令Dockerfile 支持13个命令， 其中一些命令用于构建镜像，另外一些用于从镜像中运行容器，这是一个关于命令什么时候被用到的表格:
       

BUILD 命令：
RUN 命令：
BUILD, RUN命令都有的命令:
运行的容器容器启动后，进程在它可以运行的联合文件系统中获得了新的可写层。

从1.5版本起，它还可以让最顶层的layer设置为只读，强制我们为所有文件输出（如日志、临时文件）使用卷。
    # 用于与容器交互的命令$ docker create  # 创建一个容器，但不启动它$ docker run     #  创建并启动一个容器$ docker stop    # 停止容器$ docker start   #  启动容器$ docker restart # 重启容器$ docker rm      # 删除容器$ docker kill    #  给容器发送kill信号$ docker attach  # 连接到正在运行的容器中$ docker wait    # 阻塞直到容器停止为止$ docker exec    # 在运行的容器中执行一条命令
docker run如上所述， docker run是用户启动新容器的命令， 这里是一些通用的运行容器的方法：
       

    # 交互式运行容器$ docker run -it --rm ubuntu
这是一个可以让你像普通的终端程序一样交互式的运行容器的方法， 如果你想把管道输出到容器中，可以使用-t选项。

docker run -publish    # 发布容器的80端口到主机上的随机端口$ docker run -p 80 nginx# 发布容器端口80和主机上的8080端口$ docker run -p 8080:80 nginx# 发布容器80端口到主机127.0.0.0.1的8080端口$ docker run -p 127.0.0.1:8080:80 nginx# 发布所有容器中暴露的端口到主机的随机端口上$ docker run -P nginx
nginx 镜像，比如暴露出80和443端口。
      FROM debian:wheezy  MAINTAINER NGINX "docker-maint@nginx.com" EXPOSE 80 443
docker run --link    # 启动postgres容器，给它起名为mydb$ docker run --name mydb postgres# 把mydb 链接到 myqpp 的db$ docker run --link mydb:db myapp
连接容器需要设置容器到被连接的容器之间的网络，有两件事要做：

docker run limits还可以通过run limits来限制容器可以使用的主机资源
    # 限制内存大小$ docker run -m 256m yourapp# 限制进程可以使用的cpu份数(cpu shares)(总CPU份数为1024)$ docker run --cpu-shares 512 mypp# 改变运行进程的用户为www，而不是root（出于安全考虑）$ docker run -u=www nginx
设置CPU份数为1024中的512份并不意味着可以使用一半的CPU资源，这意味着在一个无任何限制的容器中，它最多可以使用一半的份数。比如我们有两个有1024份的容器，和一个512份的容器(1024:1024:512) ，那么512份的那个容器，就只能得到1/5的总CPU份数
docker exec containerdocker exec 允许我们在已经运行的容器内部执行命令，这点在debug的时候很有用。
    # 使用id 6f2c42c0在容器内部运行shell$ docker exec -it 6f2c42c0 sh
卷       

卷提供容器外的持久存储。 这意味着如果你提交了新的镜像，数据将不会被保存。
    # Start a new nginx container with /var/log as a volume$ docker run  -v /var/log nginx
如果目录不存在，则会被自动创建为：/var/lib/docker/valumes/ec3c543bc..535

实际的目录名可以通过命令：docker inspect container-id 找到。
    # 启动新的nginx容器，设置/var/log为卷，并映射到主机的/tmp目录下$ docker run -v /tmp:/var/log nginx
还可以使用--valumes-from选项从别的容器中挂载卷。
    # 启动容器db$ docker run -v /var/lib/postgresql/data --name mydb postgres# 启动backup容器，从mydb容器中挂载卷$ docker run --volumes-from mydb backup
Docker RegistryDocker Hub是Docker的官方镜像仓库，支持私有库和共有库，仓库可以被标记为官方仓库，意味着它由该项目的维护者（或跟它有关的人）策划。  

Docker Hub 还支持自动化构建来自Github和Bitbucket的项目，如果启用自动构建功能，那么每次你提交代码到代码库都会自动构建镜像。

即使你不想用自动构建，你还是可以直接docker push到Docker Hub，Docker pull则会拉取镜像下来。docker run 一个本地不存在的镜像，则会自动开始docker pull操作。   

你也可以在任意地方托管镜像，官方有Registry的开源项目，但是，还有很多Bug。

此外，Quay、Tutum和Google 还提供私有镜像托管服务。
检查容器检查容器的命令有一大把:
    $ docker ps      # 显示运行的容器$ docker inspect # 显示容器信息（包括ip地址）$ docker logs    # 获取容器中的日志$ docker events  # 获取容器事件$ docker port    # 显示容器的公开端口$ docker top     # 显示容器中运行的进程$ docker diff    # 查看容器文件系统中改变的文件$ docker stats   # 查看各种纬度数据、内存、CPU、文件系统等
下面详细讲一下docker ps 和docker inspect，这两个命令最常用了。
# 列出所有容器，包括已停止的。$ docker ps --allCONTAINER ID   IMAGE            COMMAND    NAMES9923ad197b65   busybox:latest   "sh"       romantic_fermatfe7f682cf546   debian:jessie    "bash"     silly_bartik09c707e2ec07   scratch:latest   "ls"       suspicious_perlmanb15c5c553202   mongo:2.6.7      "/entrypo  some-mongofbe1f24d7df8   busybox:latest   "true"     db_data# Inspect the container named silly_bartik# Output is shortened for brevity.$ docker inspect silly_bartik    1 [{    2     "Args": [    3         "-c",    4         "/usr/local/bin/confd-watch.sh"    5     ],    6     "Config": {   10         "Hostname": "3c012df7bab9",   11         "Image": "andersjanmyr/nginx-confd:development",   12     },   13     "Id": "3c012df7bab977a194199f1",   14     "Image": "d3bd1f07cae1bd624e2e",   15     "NetworkSettings": {       16         "IPAddress": "",   18         "Ports": null   19     },   20     "Volumes": {},   22 }]
技巧花招获取容器id。写脚本时很有用。
    # Get the id (-q) of the last (-l) run container# 获取最后(-l)一个启动的容器id(-q)$ docker ps -l -qc8044ab1a3d0
docker inspect可以带格式化的字符串----Go语言模板作为参数，详细描述所需的数据。写脚本时同时有用。
    $ docker inspect -f '{{ .NetworkSettings.IPAddress }}' 6f2c42c05500172.17.0.11
使用docker exec来跟运行中的容器进行交互。
    # 获取容器环境变量$ docker exec -it 6f2c42c05500 envPATH=/usr/local/sbin:/usr...HOSTNAME=6f2c42c05500REDIS_1_PORT=tcp://172.17.0.9:6379REDIS_1_PORT_6379_TCP=tcp://172.17.0.9:6379...
通过卷来避免每次运行时都重建镜像， 下面是一个Dockerfile，每次构建时，会拷贝当前目录到容器中。
      1 FROM dockerfile/nodejs:latest  2  3 MAINTAINER Anders Janmyr "anders@janmyr.com"  4 RUN apt-get update && \  5   apt-get install zlib1g-dev && \  6   npm install -g pm2 && \  7   mkdir -p /srv/app  8  9 WORKDIR /srv/app 10 COPY . /srv/app 11 12 CMD pm2 start app.js -x -i 1 && pm2 logs 13
构建并运行镜像:
    $ docker build -t myapp .$ docker run -it --rm myapp
为避免重建，创建一次性镜像并在运行时挂载本地目录。
安全       

大家可能听说过使用Docker不那么安全。这不是假话，但这不成问题。  

目前Docker存在以下安全问题：

安全解决办法:

如果服务器上所有的容器都是你的，那你不需要担心他们之间会有危险的交互。

“选择”容器我给选择两字加了引号， 因为目前根本没有任何别的选择， 但是很多容器爱好者想玩玩，比如Ubuntu的LXD、微软的Drawbridge，还有Rocket。

Rocket由CoreOS开发，CoreOS是一个很大的容器平台。  他们开发Rocket的理由是觉得Docker公司让Docker变得臃肿，并且还和CoreOS有业务冲突。

他们在这个新的容器中，尝试移除那些因为历史原因而留下来的Docker瑕疵。并通过socket activation提供简单的容器和彻底的安全构建。
       

编排当我们把应用程序拆开到多个不同的容器中时，会产生一些新的问题。怎么让不同的部分进行通信呢？ 这些容器在单个主机上怎么办？ 多个主机上又是怎么处理？  

单个主机上，Docker通过连接来解决编排的问题。  

为简化容器的链接操作，Docker提供了一个叫docker-compose的工具。（以前它叫fig, 由另一家公司开发，然后最近Docker收购了他们）
docker-compose       

docker-compose在单个docker-compose.yml文件中声明多个容器的信息。来看一个例子，管理web和redis两个容器的配置文件：
      1 web:  2   build: .  3   command: python app.py  4   ports:  5    - "5000:5000"  6   volumes:  7    - .:/code  8   links:  9    - redis 10 redis: 11   image: redis
启动上述容器，可以使用docker-compose up命令
      $ docker-compose up  Pulling image orchardup/redis...  Building web...  Starting figtest_redis_1...  Starting figtest_web_1...  redis_1 | [8] 02 Jan 18:43:35.576 # Server  started, Redis version 2.8.3  web_1   |  * Running on http://0.0.0.0:5000/
也可以通过detached模式（detached mode）启动： docker-compose up -d，然后可以通过docker-compose ps查看容器中跑了啥东西:
    $ docker-compose up -dStarting figtest_redis_1...Starting figtest_web_1...$ docker-compose psName              Command                    State   Ports------------------------------------------------------------figtest_redis_1   /usr/local/bin/run         Upfigtest_web_1     /bin/sh -c python app.py   Up      5000->5000
还可以同时让命令在一个容器或者多个容器中同时工作。
    # 从web容器中获取环境变量$ docker-compose run web env# 扩展到多个容器中(Scale to multiple containers)$ docker-compose scale web=3 redis=2# 从所有容器中返回日志信息$ docker-compose logs
从以上命令可以看出，扩展很容易，不过应用程序必须写成支持处理多个容器的方式。在容器外，不支持负载均衡。
Docker托管很多公司想做在云中托管Docker的生意，如下图。
       

这些提供商尝试解决不同的问题， 从简单的托管到做"云操作系统"。其中有两家比较有前景：
CoreOS如上图所示，CoreOS是可以在CoreOS集群中托管多个容器的一系列服务的集合：
       


AWSDocker容器托管在Amazon有两种途径：

总结
原文链接：A Not Very Short Introduction to Docker（翻译：何林冲 校对：宋瑜）
=============================

译者介绍
何林冲, 目前就职于腾讯计算机系统有限公司, 负责游戏自动化运维体系架构设计及开发工作, 热爱开源技术。希望通过翻译技术文章为社区贡献微薄之力。                                                               

来源：http://dockone.io/article/277

作者: 千变莫名    时间: 2016-10-08 14:44
好文，学习了
作者: gaokeke123    时间: 2016-10-21 10:25
学习了 谢谢分享
作者: 李团长    时间: 2016-11-09 11:18
提示: 作者被禁止或删除 内容自动屏蔽
作者: 听海★蓝心梦    时间: 2017-02-03 14:10
好文章，学习了
作者: redspider    时间: 2018-08-29 21:44
mark           



欢迎光临 Chinaunix (http://bbs.chinaunix.net/) Powered by Discuz! X3.2