Docker

Docker是目前最具代表性的容器平台之一，具有持续部署与测试、跨云平台支持等优点。在基于Kubernetes等容器编排工具实现的容器云环境中，通过对跨主机集群资源的调度，容器云可提供资源共享与隔离、容器编排与部署、应用支撑等功能。

基本概念

Docker有三个基本概念，镜像（Image）、容器（Container）、仓库（Repository）。镜像是一个只读的模版，由一组文件系统通过Union FS技术组成。

镜像是静态的定义，容器是从镜像创建的运行实例。容器的本质是进程，拥有自己独立的命名空间。

仓库（Repository） 是集中存放镜像文件的场所，用于存储、分发镜像。

容器可以被启动、开始、停止、删除，每个容器都是相互隔离的，可以把容器看做是一个简易版的 Linux 环境（包括root用户权限、进程空间、用户空间和网络空间等）和运行在其中的应用程序。

组成

Docker引擎由如下主要组件构成：Docker客户端（Docker Client）、Docker守护进程（Docker daemon）、containerd以及RunC，它们共同负责容器的创建和运行。

Docker Client是和Docker Daemon建立通信客户端，Docker Client可以通过http/unix socket等方式Daemon建立通信。

Docker Daemon是容器管理的守护进程，在宿主机运行，作为服务端接受来自客户端的请求，主要功能包括镜像管理、镜像构建、REST API、身份验证、安全、核心网络以及编排。Docker daemon通过位于 /var/run/docker.sock 的本地 IPC/Unix socket 来实现Docker远程API，默认非TLS网络端口为2375，TLS默认端口为2376。

containerd 是容器技术标准化之后出现的，用于将容器运行时从 Docker Daemon 剥离。containerd 主要职责是镜像管理、容器执行。

RunC 是 Docker 按照OCF标准制定的一种具体实现，实现了容器启动与停止、资源隔离等功能。

数据

Docker的数据主要分为持久化和非持久化数据，默认情况下非持久化存储是自动创建生命周期与容器相同，删除容器也会删除非持久化数据，在Linux环境下，非持久化数据默认存储于 /var/lib/docker/ 下。

网络

Docker网络架构源自一种叫作容器网络模型的方案，主要由CNM、Libnetwork、网络驱动构程。

安装docker

yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
yum -y install docker-ce

设置docker为开机自启动, 并且现在将docker启动

systemctl enable docker && systemctl start docker

常用指令

仅删除停止创建超过24小时的镜像

docker image prune -a --filter "until=24h"

docker-daemon.json配置详解

使用yum安装后默认文件不存在, 需要自己编辑并保存文件

vim  /etc/docker/daemon.json

常用配置

写入以下内容

{
    "registry-mirrors": [
        "https://.mirror.aliyuncs.com",
        "https://dockerproxy.com",
        "https://docker.mirrors.ustc.edu.cn",
        "https://docker.nju.edu.cn"
    ],
    "exec-opts": ["native.cgroupdriver=systemd"],
    "log-driver": "json-file",
    "log-opts": {
        "max-file": "3",
        "max-size": "100m",
    }
}

配置详解

{
    "api-cors-header":"", # ——————在引擎API中设置CORS标头
    "authorization-plugins":[], # ——————要加载的授权插件
    "bridge":"", ————将容器附加到网桥
    "cgroup-parent":"", # ——————为所有容器设置父cgroup
    "cluster-store":"", # ——————分布式存储后端的URL
    "cluster-store-opts":{}, # ————————设置集群存储选项（默认map []）
    "cluster-advertise":"", # ————————要通告的地址或接口名称
    "debug": true, # ————————启用调试模式，启用后，可以看到很多的启动信息。默认false
    "default-gateway":"", # ——————容器默认网关IPv4地址
    "default-gateway-v6":"", # ——————容器默认网关IPv6地址
    "default-runtime":"runc", # ————————容器的默认OCI运行时（默认为" runc"）
    "default-ulimits":{}, # ——————容器的默认ulimit（默认[]）
    "dns": ["192.168.1.1"], # ——————设定容器DNS的地址，在容器的 /etc/resolv.conf文件中可查看。
    "dns-opts": [], # ————————容器 /etc/resolv.conf 文件，其他设置
    "dns-search": [], # ————————设定容器的搜索域，当设定搜索域为 .example.com 时，在搜索一个名为 host 的 主机时，DNS不仅搜索host，还会搜索host.example.com 。 注意：如果不设置， Docker 会默认用主机上的 /etc/resolv.conf 来配置容器。
    "exec-opts": [], # ————————运行时执行选项
    "exec-root":"", # ————————执行状态文件的根目录（默认为’/var/run/docker‘）
    "fixed-cidr":"", # ————————固定IP的IPv4子网
    "fixed-cidr-v6":"", # ————————固定IP的IPv6子网
    "data-root":"/var/lib/docker", ————-Docker运行时使用的根路径，默认/var/lib/docker
    "group": "", # ——————UNIX套接字的组（默认为"docker"）
    "hosts": [], # ——————设置容器hosts
    "icc": false, # ——————启用容器间通信（默认为true）
    "ip":"0.0.0.0", # ————————绑定容器端口时的默认IP（默认0.0.0.0）
    "iptables": false, # ———————启用iptables规则添加（默认为true）
    "ipv6": false, # ——————启用IPv6网络
    "ip-forward": false, # ————————默认true, 启用 net.ipv4.ip_forward ,进入容器后使用 sysctl -a |     grepnet.ipv4.ip_forward 查看
    "ip-masq":false, # ——————启用IP伪装（默认为true）
    "labels":["nodeName=node-121"], # ————————docker主机的标签，很实用的功能,例如定义：–label nodeName=host-121
    "live-restore": true, # ——————在容器仍在运行时启用docker的实时还原
    "log-driver":"", # ——————容器日志的默认驱动程序（默认为" json-file"）
    "log-level":"", # ——————设置日志记录级别（"调试"，"信息"，"警告"，"错误"，"致命"）（默认为"信息"）
    "max-concurrent-downloads":3, # ——————设置每个请求的最大并发下载量（默认为3）
    "max-concurrent-uploads":5, # ——————设置每次推送的最大同时上传数（默认为5）
    "mtu": 0, # ——————设置容器网络MTU
    "oom-score-adjust":-500, # ——————设置守护程序的oom_score_adj（默认值为-500）
    "pidfile": "", # ——————Docker守护进程的PID文件
    "raw-logs": false, # ——————全时间戳机制
    "selinux-enabled": false, # ——————默认 false，启用selinux支持
    "storage-driver":"", # ——————要使用的存储驱动程序
    "swarm-default-advertise-addr":"", # ——————设置默认地址或群集广告地址的接口
    "tls": true, # ————————默认 false, 启动TLS认证开关
    "tlscacert": "", # ——————默认 ~/.docker/ca.pem，通过CA认证过的的certificate文件路径
    "tlscert": "", # ————————默认 ~/.docker/cert.pem ，TLS的certificate文件路径
    "tlskey": "", # ————————默认~/.docker/key.pem，TLS的key文件路径
    "tlsverify": true, # ————————默认false，使用TLS并做后台进程与客户端通讯的验证
    "userland-proxy":false, # ——————使用userland代理进行环回流量（默认为true）
    "userns-remap":"", # ————————用户名称空间的用户/组设置
    "bip":"192.168.88.0/22", # ——————————指定网桥IP
    "registry-mirrors": ["https://192.498.89.232:89"], # ————————设置镜像加速
    "insecure-registries": ["120.123.122.123:12312"], # ———————设置私有仓库地址可以设为http
    "storage-opts": [
        "overlay2.override_kernel_check=true",
        "overlay2.size=15G"
    ], # ————————存储驱动程序选项
    "log-opts": {
        "max-file": "3",
        "max-size": "10m",
    }, # ————————容器默认日志驱动程序选项
    "iptables": false # ————————启用iptables规则添加（默认为true）
}

docker run 参数

通常

选项	简写	是否常用	描述
--help		❌	打印用法
--name		✅	为容器分配一个名称
--detach	-d	✅	以后台模式运行容器并打印容器ID
--rm		❌	容器退出时自动删除容器(一般不用)
--quiet	-q	❌	抑制拉取输出(一般不用)
--env	-e	✅	设置环境变量

网络

选项	简写	是否常用	描述
--add-host		❌	添加自定义主机到IP映射（host:ip）
--dns		❌	设置自定义DNS服务器
--dns-opt		❌	设置DNS选项
--dns-search		❌	设置自定义DNS搜索域
--hostname	-h	❌	容器主机名
--mac-address		❌	容器的MAC地址
--ip		❌	IPv4地址
--ip6		❌	IPv6地址
--network		❌	将容器连接到网络
--publish	-p	✅	将容器的端口发布到主机
--publish-all	-P	❌	将所有暴露的端口发布到随机端口

资源管理

选项	简写	是否常用	描述
--cpu-shares	-c	❌	CPU份额（相对权重）
--cpus		❌	CPU数量
--memory	-m	❌	内存限制
--memory-reservation		❌	内存软限制
--memory-swap		❌	交换限制等于内存加交换
--memory-swappiness		❌	调整容器内存的使用率

存储

选项	简写	是否常用	描述
--volume	-v	✅	绑定挂载一个卷
--mount		❌	附加文件系统挂载到容器
--tmpfs		❌	挂载一个临时文件系统目录

安全

选项	简写	是否常用	描述
--cap-add		❌	添加Linux功能
--cap-drop		❌	删除Linux功能
--privileged		❌	为该容器提供扩展权限

安全基线

在考虑Docker安全性的时候主要考虑以下几点

• 内核本身的安全性及其对命名空间和cgroups的支持
• Docker守护进程本身的攻击面
• 内核的“强化”安全功能以及它们如何与容器进行交互