docker容器dockerfile详解

docker公司在容器技术发展中提出了镜像分层的理念，可以说也是这个革命性的理念让原本只不过是整合linux内核特性的容器，开始野蛮生长。

docker通过UnionFS联合文件系统将镜像的分层实现合并,关于镜像相关知识有兴趣的同学可参考我们之前文章docker容器技术基础之联合文件系统OverlayFS

本文是对docker官方文档Dockerfile reference学习与实践，在学习docker容器相关技术的同学别光收藏，你要动起来！实践起来！

提示：没有人比docker公司更懂docker，本小作文含部分自己的理解，有英文阅读习惯的同学，建议直接阅读官方文档哈。

---

docker build

Dockerfile是一个镜像构建命令集合的文本文件，下面是我们最常见的Dockerfile构建,假如我们目录下有一个文件Dockerfile

[root@localhost nginx_project]# ls
Dockerfile
[root@localhost nginx_project]# docker build -t nginx:v1 .

通过build指定了目标镜像的标签为nginx:v1，以及Dockerfile的上下文context .

什么是docker上下文？

一个面向服务端的目录夹结构，除了Dockerfile，你的一切构建资源都应该在这个目录（指定的上下文）中。

上下文是递归处理的。因此， 如果是PATH则包含任何子目录，如果是一个URL则包含存储库及其子模块。

关键点，构建是由 Docker 守护程序运行，而不是由 CLI 运行，所以docker会把上下文资源打包传输给守护进程进行构建，为了减少不必要的臃肿，最好从一个空目录作为上下文开始，并将 Dockerfile 保存在该目录中。仅添加构建 Dockerfile 所需的文件。

我们可以使用-f选项指定dockerfile

[root@localhost folder]# docker build -f ../Dockerfile -t nginx:v1 .

使用多个-t选项保持多个tag

[root@localhost folder]# docker build  -t nginx:v1 -t dockerhub.com/nginx:v2 .
Sending build context to Docker daemon  1.583kB
Step 1/2 : FROM nginx
 ---> 08b152afcfae
Step 2/2 : run echo 123
 ---> Using cache
 ---> 3b636c79fbfa
Successfully built 3b636c79fbfa
Successfully tagged nginx:v1
Successfully tagged dockerhub.com/nginx:v2

这样就构建两个不同tag的同一ID镜像

[root@localhost folder]# docker images
REPOSITORY            TAG       IMAGE ID       CREATED          SIZE
dockerhub.com/nginx   v2        3b636c79fbfa   23 minutes ago   133MB
nginx                 v1        3b636c79fbfa   23 minutes ago   133MB

BuildKit

buildkit将 Dockerfile 变成了 Docker 镜像。它不只是构建 Docker 镜像；它可以构建 OCI 图像和其他几种输出格式。

从版本18.09开始，Docker支持由moby / buildkit项目提供的用于执行构建的新后端。与旧的实现相比，BuildKit后端提供了许多好处。例如，BuildKit可以：

• 检测并跳过执行未使用的构建阶段。
• 平行构建独立的构建阶段。
• 在不同的构建过程中,只增加传输构建上下文中的更改文件。
• 在构建上下文中检测并跳过传输未使用的文件。
• 使用外部Dockerfile实现许多新功能。
• 避免与API的其他部分(中间镜像和容器)产生副作用。
• 优先处理您的构建缓存,以便自动修剪。

要使用BuildKit后端，只需要在调用 DOCKER_BUILDKIT=1 docker build 之前在CLI上设置环境变量DOCKER_BUILDKIT = 1。或者配置/etc/docker/daemon.json启用。

[root@localhost folder]#  DOCKER_BUILDKIT=1 docker build -f ../Dockerfile -t nginx:v1 -t dockerhub.com/nginx:v2 .
[+] Building 5.2s (6/6) FINISHED
 => [internal] load build definition from Dockerfile                                                  0.7s
 => => transferring dockerfile: 118B                                                                  0.0s
 => [internal] load .dockerignore                                                                     0.6s
 => => transferring context: 2B                                                                       0.0s
 => [internal] load metadata for docker.io/library/nginx:latest                                       0.0s
 => [1/2] FROM docker.io/library/nginx                                                                2.2s
 => [2/2] RUN echo 123                                                                                1.3s
 => exporting to image                                                                                0.5s
 => => exporting layers                                                                               0.2s
 => => writing image sha256:813b09c58322dce98ee28e717baeb9f3593ce3e46a032488949250f761004495          0.0s
 => => naming to docker.io/library/nginx:v1                                                           0.0s
 => => naming to dockerhub.com/nginx:v2

---

dockerfile格式

1、注释

一个标准的dockerfile，注释是必须的。

#这是dockerfile注释,dockerfile中指令以"CMD args"格式出现
CMD args
CMD args
...

一个Dockerfile 第一个指令必须是FROM指令，用于指定基础镜像，那么基础镜像的父镜像从哪里来？答案是scratch带有该FROM scratch指令的 Dockerfile会创建一个基本映像。

2.解析器指令

解析器指令是可选的，会影响 aDockerfile中后续行的处理方式。解析器指令不会向构建添加层，也不会显示为构建步骤，单个指令只能使用一次。

dockerfile目前支持以下两个解析器指令：

• syntax
• escape

2.1syntax

此功能仅在使用BuildKit后端时可用，在使用经典构建器后端时会被忽略。

我们可以在dockerfile文件开头指定此dockerfile语法解析器，如下：

# syntax=docker/dockerfile:1
# syntax=docker.io/docker/dockerfile:1
# syntax=example.com/user/repo:tag@sha256:abcdef...

通过syntax自定义 Dockerfile 语法解析器可以实现如下：

• 在不更新 Docker 守护进程的情况下自动修复错误
• 确保所有用户都使用相同的解析器来构建您的 Dockerfile
• 无需更新 Docker 守护程序即可使用最新功能
• 在将新功能或第三方功能集成到 Docker 守护进程之前试用它们
• 使用替代的构建定义，或创建自己的定义

官方dockerfile解析器：

• docker/dockerfile:1 不断更新最新的1.x.x次要和补丁版本
• docker/dockerfile:1.2 保持更新最新的1.2.x补丁版本，一旦版本1.3.0发布就停止接收更新。
• docker/dockerfile:1.2.1 不可变：从不更新1.2版本

比如我们使用1.2最新补丁版本，我们的Dockerfile如下：

#syntax=docker/dockerfile:1.2
FROM busybox
run echo 123

我们启用buildkit构建

# DOCKER_BUILDKIT=1 docker build -t busybox:v1 .
[+] Building 5.8s (8/8) FINISHED
 => [internal] load build definition from Dockerfile                                                  0.3s
 => => transferring dockerfile: 150B                                                                  0.0s
 => [internal] load .dockerignore                                                                     0.4s
 => => transferring context: 2B                                                                       0.0s
 => resolve image config for docker.io/docker/dockerfile:1.2                                          2.6s
 => CACHED docker-image://docker.io/docker/dockerfile:1.2@sha256:e2a8561e419ab1ba6b2fe6cbdf49fd92b95  0.0s
 => [internal] load metadata for docker.io/library/busybox:latest                                     0.0s
 => [1/2] FROM docker.io/library/busybox                                                              0.3s
 => [2/2] RUN echo 123                                                                                1.1s
 => exporting to image                                                                                0.3s
 => => exporting layers                                                                               0.3s
 => => writing image sha256:bd66a3db9598d942b68450a7ac08117830b4d66b68180b6e9d63599d01bc8a04          0.0s
 => => naming to docker.io/library/busybox:v1

2.2 escape

通过escape定义dockerfile的换行拼接转义符

# escape=\

如果要构建一个window镜像就有大用处了，我们看下面dockerfile

FROM microsoft/nanoserver
COPY testfile.txt c:\\
RUN dir c:\

由于默认转义符为\，则在构建的第二步step2会是这样COPY testfile.txt c:\RUN dir c:显然与我们的预期不符。

我们把转义符换成`号即可

# escape=`

FROM microsoft/nanoserver
COPY testfile.txt c:\ `
RUN dir c:\

3.类bash的环境变量

FROM busybox
ENV FOO=/bar
WORKDIR ${FOO}   # WORKDIR /bar
ADD . $FOO       # ADD . /bar
COPY \$FOO /quux # COPY $FOO /quux

${variable_name}语法还支持bash 指定的一些标准修饰符：

• ${variable:-word}表示如果variable变量被设置（存在），则结果将是该值。如果variable未设置，word则将是结果。
• ${variable:+word}表示如果variable被设置则为word结果，否则为空字符串。

4. .dockerignore

.dockerignore用于忽略CLI发送到docker守护进程的文件或目录。以下是一个.dockerignore文件

#.dockeringre可以有注释
*.md
!README.md
temp?
*/temp*
*/*/temp*

规则	行为
*/temp*	排除名称以temp根目录的任何直接子目录开头的文件和目录。例如，纯文件/somedir/temporary.txt被排除在外，目录/somedir/temp.
*/*/temp*	排除temp从根目录下两级的任何子目录开始的文件和目录。例如，/somedir/subdir/temporary.txt被排除在外。
temp?	排除根目录中名称为一个字符扩展名的文件和目录temp。例如，/tempa和/tempb被排除在外。
！	不排除到文件

---

dockerfile命令

1.FROM

指定基础镜像。一般格式如下，[]括号内容可省略：

FROM [--platform=<platform>] <image>[:<tag>] [AS <name>]

特别需要注意的是FROM在一个dockerfile中可以多次出现，以实现多阶段构建。并且可以和ARG 参数交互。如下：

ARG  CODE_VERSION=latest
FROM base:${CODE_VERSION}
CMD  /code/run-app

FROM extras:${CODE_VERSION}
CMD  /code/run-extras

我们加载了两个通过arg参数指定的不同版本基础镜像。

2.RUN

RUN的两种形式

• RUN 首选， (命令在shell中运行,即默认为/bin/sh -c )
• RUN ["exec",param1,param2]

RUN命令主要是在镜像构建时执行，形成新层。比如我们经常会看到在构建镜像时安装相关软件。

RUN yum install -y gcc

当我们不想使用默认shell是可以采用exec形式实现

RUN ["/bin/bash","-c","yum install -y gcc"]

当然，exec形式可以不使用shell

RUN ["yum","install","-y","gcc"]

EXEC形式被解析为一个JSON阵列，所以必须使用双引号

3.CMD

CMD指令有三种形式：

• CMD ["executable","param1","param2"]（exec形式，这是首选形式）
• CMD ["param1","param2"]（作为ENTRYPOINT 的默认参数）
• CMD command param1 param2（shell形式）

一个dockerfile中，应该只写一个CMD，如果有多个只有最后一个生效。在实际编写dockerfie时CMD命令常常用于为ENTRYPOINT提供默认值，后面我们会讲到。

与RUN相比，CMD在构建时不会执行任何操作，主要用于指定镜像的启动命令。CMD的启动命令可以被docker run 参数代替。

我们在dockerfile中添加如下CMD命令

CMD echo hello

构建镜像后，docker run 不添加参数，启动容器

[root@localhost dockerfiles]# docker run centos:v1
hello

当我们在docker run 添加参数后

[root@localhost dockerfiles]# docker run centos_env:v1 echo container
container

显然我们CMD命令echo hello已被docker run中的参数echo container取代。

4. LABEL

label用于添加镜像的元数据，采用key-value的形式。

LABEL <key>=<value>

比如我们添加如下LABEL

LABEL "miantainer"="iqsing.github.io"
LABEL "version"="v1.2"
LABEL "author"="waterman&&iqsing"

为了防止创建三层，我们最好通过一个标签来写。

LABEL "miantainer"="iqsing.github.io" \
      "version"="v1.2" \
      "author"="waterman&&iqsing"

我们通过docker inspect 来查看镜像label信息

#docker inspect centos_labels:v1

"Labels": {
    "author": "waterman&&iqsing",
    "miantainer": "iqsing.github.io",
    "org.label-schema.build-date": "20201204",
    "org.label-schema.license": "GPLv2",
    "org.label-schema.name": "CentOS Base Image",
    "org.label-schema.schema-version": "1.0",
    "org.label-schema.vendor": "CentOS",
    "version": "v1.2"
}

5.EXPOSE

EXPOSE 80/tcp
EXPOSE 161/udp

注意，EXPOSE只是告诉dockerfile的阅读者，我们构建的镜像需要暴露哪些端口，只是一个信息。在容器中还是需要通过-p选项来暴露端口。

6.ENV

ENV <key>=<value> ... 首先方式
或
ENV <key>  <value>

通过ENV指定环境变量，将作用于在构建阶段的所有后续指令的环境中。

ENV username="iqsing"

这样当我们启动这个容器后可以查看到容器信息已经附带了ENV环境变量

"Env": [
"PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin",
"username=iqsing"
],

当然我们也可以在启动容器时添加环境变量

docker run --env <key>=<value>

另外如果只需要在镜像构建期间使用环境变量，更好的选择是使用ARG参数来处理

7.ADD && COPY

ADD和COPY格式相似，有两种形式,包含空格的路径需要后一种形式：

ADD [--chown=<user>:<group>] <src>... <dest>
ADD [--chown=<user>:<group>] ["<src>",... "<dest>"]

COPY [--chown=<user>:<group>] <src>... <dest>
COPY [--chown=<user>:<group>] ["<src>",... "<dest>"]

在linux平台中可以对添加到远程目录或文件设置所属用户和组。

<SRC> 指复制新文件、目录或远程文件 URL，每<src>可以包含通配符，如下：

ADD hom* /mydir/
ADD hom?.txt /mydir/

一般使用中，ADD、COPY都遵守以下规则：

• <src>路径必须是内部语境的构建; 你不能COPY ../something /something，因为 docker build是将上下文目录（和子目录）发送到 docker 守护进程。

• 如果<src>是目录，则复制目录的全部内容，包括文件系统元数据。

• 如果<src>是任何其他类型的文件，则将其与其元数据一起单独复制。在这种情况下，如果<dest>以斜杠结尾/，它将被视为一个目录，其内容<src>将被写入<dest>/base(<src>)。

• 如果<src>直接指定了多个资源，或者由于使用了通配符，则<dest>必须是目录，并且必须以斜杠结尾/。

• 如果<dest>不以斜杠结尾，则将其视为常规文件，并将其内容<src>写入<dest>.

• 如果<dest>不存在，则在其路径中创建所有丢失的目录。

特别的，当是可识别的压缩包如gzip、bzip2等tar包时，首先会将包添加到镜像中，然后自动解压。这可以说是与COPY命令在使用中的最大的区别。

8.ENTRYPOINT

exec首选和shell形式:

ENTRYPOINT ["executable", "param1", "param2"]
ENTRYPOINT command param1 param2

ENTRYPOINT 和CMD很相似，都是指定启动命令，不同之处在于ENTRYPOINT 指定的命令无法被docker run 参数取代。

我们在dockerfile中添加ENTRYPOINT

ENTRYPOINT echo hello container

构建镜像并启动容器，可以看到docker run 中的参数并未取代ENTRYPOINT

[root@localhost dockerfiles]# docker run centos_entrtpoint:v1 echo hello docker
hello container

这指令优秀的另一个地方在于可以和CMD指令做交互。让容器以应用或者服务运行。

经典操作：ENTRYPOINT + CMD = 默认容器命令参数

ENTRYPOINT是dockerfile中非常重要的指令，有必要另写一篇小作文深入学习一下这东西。

9.VOLUME

VOLUME ["/data"]

volume指令可以用于创建存储卷，我来看一下实例：

FROM centos
RUN mkdir /volume
RUN echo "hello world" > /volume/greeting
VOLUME /volume

构建镜像后，创建一个容器

[root@localhost dockerfiles]# docker create   --name centos_volume  centos_volue:v1
[root@localhost dockerfiles]# docker inspect centos_volume 

 "Mounts": [
            {
                "Type": "volume",
                "Name": "494cdb193984680045c36a16bbc2b759cf568b55c7e9b0852ccf6dff8bf79c46",
                "Source": "/var/lib/docker/volumes/494cdb193984680045c36a16bbc2b759cf568b55c7e9b0852ccf6dff8bf79c46/_data",
                "Destination": "/volume",
                "Driver": "local",
                "Mode": "",
                "RW": true,
                "Propagation": ""
            }
        ],

这样我们就通过VOLUME指令创建一个存储卷，你可以通过--volumes-from共享这个容器，可参考我之前的小作文《docker容器存储》

10.USER

指定指令集所属用户和组。组默认为root。可以作用于RUN，CMD和 ENTRYPOINT它们后面的指令。

USER <user>[:<group>]
或
USER <UID>[:<GID>]

11.WORKDIR

指定指令集所在的工作目录，若目录不存在将会自动创建。可作用于RUN，CMD， ENTRYPOINT，COPY和ADD

WORKDIR /path/to/workdir

12.ARG

ARG <name>[=<default value>]

ARG指令定义了一个变量，我们可以在docker build通过使用--build-arg <varname>=<value> 标志的命令将其传递给构建器。

• 如果ARG指令具有默认值并且在构建时没有传递任何值，则构建器使用默认值。

• 在多阶段构建应该添加多个ARG

• ENV变量会覆盖ARG变量

• 与ENV变量相比，ARG变量多用于构建，无法驻留在镜像中。

13.STOPSIGNAL

配置容器退出时的系统调用

STOPSIGNAL signal

14.HEALTHCHECK

HEALTHCHECK指令有两种形式：

• HEALTHCHECK [OPTIONS] CMD command （通过在容器内运行命令来检查容器健康状况）
• HEALTHCHECK NONE （禁用从基础镜像继承的任何健康检查）

OPTIONS支持如下参数：

• --interval=DURATION（默认值：30s）
• --timeout=DURATION（默认值：30s）
• --start-period=DURATION（默认值：0s）
• --retries=N（默认值：3）

比如我们可以添加如下参数用于检查web服务：

HEALTHCHECK --interval=5m --timeout=3s \
  CMD curl -f http://localhost/ || exit 1

每五分钟左右检查一次web服务器能否在3s内响应。如果失败则返回状态码1

命令的退出状态指示容器的健康状态。可能的值为：

• 0：成功 - 容器运行良好，可以使用
• 1：不健康 - 容器无法正常工作
• 2：reserved - 不要使用这个退出代码

---

编写一个优质的Dockerfile并不容易，你需要考虑所构建镜像的迭代、服务稳定运行、启动与停止、安全等等问题，希望这篇小作文可以帮助你对Dockerfile有多一点了解。

您可以随意转载、修改、发布本文章，无需经过本人同意。 个人blog：iqsing.github.io

---

NEXT

• Dockerfile 理解ENTRYPOINT与CMD结合
• Dockerfile 多阶段构建实践
• Dockerfile 与docker容器安全实践