docker基础内容讲解

一、初识docker

1.1 LXC介绍

LXC为LinuX Container的简写。Linux Container容器是一种内核虚拟化技术，可以提供轻量级的虚拟化，以便隔离进程和资源，而且不需要提供指令解释机制以及全虚拟化的其他复杂性。相当于C++中的NameSpace。容器有效地将由单个操作系统管理的资源划分到孤立的组中，以更好地在孤立的组之间平衡有冲突的资源使用需求。与传统虚拟化技术相比，它的优势在于：

与宿主机使用同一个内核，性能损耗小；

不需要指令级模拟；

不需要即时(Just-in-time)编译；

容器可以在CPU核心的本地运行指令，不需要任何专门的解释机制；

避免了准虚拟化和系统调用替换中的复杂性；

轻量级隔离，在隔离的同时还提供共享机制，以实现容器与宿主机的资源共享。

总结：Linux Container是一种轻量级的虚拟化的手段。

1.2 docker简介

Docker是Docker.lnc公司开源的一个基于LXC技术之上构建的contailer容器引擎，源代码托管在github上，基于go语言并遵从Apache2.0协议开源。

Docker是通过内核虚拟化技术（namespace及cgroups等）来提供容器的资源隔离与安全保障等，由于Docker通过操作系统层的虚拟化实现隔离，所以Docker容器在运行时，不需要类似虚拟机VM额外的操作系统开销，提高资源利用率。

下图比较了Docker和传统虚拟化方式的不同之处，可见容器是在操作系统层面上实现虚拟化，直接复制本地主机的操作系统，而传统方式则是在硬件层面实现。

1.3 docker的工作模式

学习Docker的源码并不是一个枯燥的过程，反而可以从中理解Docker架构的设计原理。

Docker对使用者来讲是一个C/S模式的架构，而Docker的后端是一个非常松耦合的架构，模块各司其职，并有机组合，支撑Docker的运行。

用户是使用Docker Client与Docker Daemon建立通信，并发送请求给后者。而Docker Daemon作为Docker架构中的主体部分，首先提供Server的功能使其可以接受Docker Client的请求；而后Engine执行Docker内部的一系列工作，每一项工作都是以一个Job的形式的存在。

Job的运行过程中，当需要容器镜像时，则从Docker Registry中下载镜像，并通过镜像管理驱动graphdriver将下载镜像以Graph的形式存储；当需要为Docker创建网络环境时，通过网络管理驱动networkdriver创建并配置Docker容器网络环境；当需要限制Docker容器运行资源或执行用户指令等操作时，则通过execdriver来完成。而libcontainer是一项独立的容器管理包，networkdriver以及execdriver都是通过libcontainer来实现具体对容器进行的操作。当执行完运行容器的命令后，一个实际的Docker容器就处于运行状态，该容器拥有独立的文件系统，独立并且安全的运行环境等。

CLI交互模型

Remote API 交互模型

二、Docker的三大核心概念

2.1 镜像

Docker镜像（Image）类似于虚拟机的镜像，可以将他理解为一个面向Docker引擎的只读模板，包含了文件系统。

例如：一个镜像可以完全包含了Ubuntu操作系统环境，可以把它称作一个Ubuntu镜像。镜像也可以安装了Apache应用程序（或其他软件），可以把它称为一个Apache镜像。

镜像是创建Docker容器的基础，通过版本管理和增量的文件系统，Docker提供了一套十分简单的机制来创建和更新现有的镜像。用户可以从网上下载一个已经做好的应用镜像，并通过命令直接使用。

总之，应用运行是需要环境的，而镜像就是来提供这种环境。

2.2 容器

Docker容器（Container）类似于一个轻量级的沙箱子（因为Docker是基于Linux内核的虚拟技术，所以消耗资源十分少），Docker利用容器来运行和隔离应用。

容器是从镜像创建的应用运行实例，可以将其启动、开始、停止、删除，而这些容器都是相互隔离、互不可见的。

可以把每个容器看作一个简易版的Linux系统环境（包括了root用户权限、进程空间、用户空间和网络空间），以及与运行在其中的应用程序打包而成的应用盒子。

镜像自身是只读的。容器从镜像启动的时候，Docker会在镜像的最上层创建一个可写层，镜像本身将保持不变。就像用ISO装系统之后，ISO并没有什么变化一样。

2.3 仓库

Docker仓库（Repository）类似于代码仓库，是Docker集中存放镜像文件的场所。

有时候会看到有资料将Docker仓库和注册服务器（Registry）混为一谈，并不严格区分。实际上，注册服务器是存放仓库的地方，其上往往存放着多个仓库。每个仓库集中存放某一类镜像，往往包括多个镜像文件，通过不同的标签（tag）来进行区分。例如存放Ubuntu操作系统镜像的仓库，称为Ubuntu仓库，其中可能包括14.04,12.04等不同版本的镜像。

根据存储的镜像公开分享与否，Docker仓库分为公开仓库（Public）和私有仓库（Private）两种形式。

目前，最大的公开仓库是Docker Hub，存放了数量庞大的镜像供用户下载。国内的公开仓库包括Docker Pool等，可以提供稳定的国内访问。

如果用户不希望公开分享自己的镜像文件，Docker也支持用户在本地网络内创建一个只能自己访问的私有仓库。当用户创建了自己的镜像之后就可以使用push命令将它上传到指定的公有或者私有仓库。这样用户下次在另一台机器上使用该镜像时，只需将其从仓库pull下来就可以了。

三、对比docker和虚拟化

类别	Docker	OpenStack
部署难度	非常简单	组件多，部署复杂
启动速度	秒级	分钟级
执行性能	和物理系统几乎一致	VM会占用一些资源
镜像体积	镜像是MB级别	虚拟机镜像GB级别
管理效率	管理简单	组件相互依赖，管理复杂
隔离性	隔离性高	彻底隔离
可管理性	单进程、不建议启动SSH	完整的系统管理
网络连接	比较弱	借助Neutron可以灵活组建各类网络架构

四、Docker八种应用场景

1）简化配置，统一配置，通过镜像快速启动(Simplifying)

2）代码流水线管理，开发环境->测试环境->预生产环境->灰度发布->正式发布，docker在这里实现了快速迁移(Code Oioeline Management)

3）开发效率，对开发人员，有了镜像，直接启动容器即可(Developer Productivity)

4）应用隔离，相对于虚拟机的完全隔离会占用资源,docker会比较节约资源(App lsolation)

5）服务器整合，一台服务器跑多个docker容器，提高服务器的利用率(Server Consolidation)

6）调试能力，debug调试(Debugging Capabilties)

7）多租户，一个租户多个用户，类似于阿里公有云的一个project下多个用户(Multi-tenancy)

8）快速部署，不需要启动操作系统，实现秒级部署(Rapid Deplovment)

五、安装docker并且pull镜像

yum install -y docker

systemctl start docker

systemctl enable docker

下载镜像（时间较长）：

docker pull centos

docker pull registry

docker pull nginx

也可以使用docker导入和导出镜像：

docker load  < /opt/centos.tar.gz

docker save centos  > /opt/centos.tar.gz

搜索镜像：docker search +镜像名字

查看镜像：docker images

注： 每个镜像都有一个唯一的ID

删除镜像：docker rmi +镜像ID，如果镜像用于创建了容器是不能被删除的，需要先删除容器

六、容器

6.1 启动容器

启动容器：docker run 启动一个容器，centos是镜像的名称，如果没有centos这个镜像会自动pull一个，后面的是command，在这里命令执行完容器也就退出了

[root@docker ~]# docker run centos echo "hehe"

查看容器，-a可以查看所有容器，包含退出的和正在运行的：

[root@docker ~]# docker ps -a

CONTAINER ID      IMAGE       COMMAND     CREATED   STATUS                    PORTS               NAMES

e7978584b4ac        centos              "echo hehe"         28 seconds ago      Exited (0) 26 seconds ago                       berserk_panini

启动一个名字为mydocker，不退出（指定-it）的容器

[root@docker ~]# docker run --name mydocker -it centos /bin/bash

[root@29ce3ee90173 /]#               此时容器的主机名就是容器的ID

补充：

--name: 给容器定义一个名称

-i: 则让容器的标准输入保持打开。

-t: 让Docker分配一个伪终端,并绑定到容器的标准输入上

/bin/bash: 执行一个命令

当利用docker run来创建容器时，Docker在后台运行的标准操作包括：

1）检查本地是否存在指定的镜像，不存在就从公有仓库下载

2）利用镜像创建并启动一个容器

3）分配一个文件系统，并在只读的镜像层外面挂载一层可读写层

4）从宿主主机配置的网桥接口中桥接一个虚拟接口到容器中去

5）从地址池配置一个ip地址给容器

6）执行用户指定的应用程序

7）执行完毕后容器被终止

这时执行完exit，容器也就退出了，想要启动该容器就要start

[root@docker ~]# docker start 29ce3ee90173

29ce3ee90173

[root@docker ~]# docker ps -a

CONTAINER ID  IMAGE  COMMAND  CREATED     STATUS    PORTS           NAMES

29ce3ee90173  centos  "/bin/bash"  2 minutes ago Up 58 seconds                                 mydocker

6.2 进入docker容器的几种方式

1）使用attach进入，使用此方法进入的话，多个窗口进入时，显示是同步的；而且exit时，该容器也停了

[root@docker ~]# docker attach 29ce3ee90173

2）使用nsenter进入容器，如果没有此命令，yum安装util-linux包即可，使用此方法exit，容器就不会停掉了，推荐使用此方法！！！

获取docker容器进程的pid：

[root@docker ~]# docker inspect --format "{{.State.Pid}}" 29ce3ee90173

36128

进入容器：

[root@docker ~]# nsenter -t 36128 -u -i -n -p

[root@29ce3ee90173 ~]#

3）docker exec

此方法也不推荐使用

6.3 删除和杀掉正在运行的容器

删除容器

docker rm +容器ID或者名称，删除运行的容器，加上-f参数即可

[root@docker ~]# docker rm c720c8a6a3db

c720c8a6a3db

在容器启动时，使用--rm参数，在容器退出时会自动删除，在自己实验的时候很好用。

[root@docker ~]# docker run --rm centos echo "hello world"

hello world

杀掉正在运行的容器：

[root@docker ~]# docker kill $(docker ps -a -q)

29ce3ee90173

七、Docker的网络和存储

7.1 Docker的4种网络模式

1）host模式

众所周知，Docker使用了Linux的Namespaces技术来进行资源隔离，如PID Namespace隔离进程，Mount Namespace隔离文件系统，Network Namespace隔离网络等。一个Network Namespace提供了一份独立的网络环境，包括网卡、路由、Iptable规则等都与其他的Network Namespace隔离。一个Docker容器一般会分配一个独立的Network Namespace。但如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。

例如，我们在192.168.1.200/24的机器上用host模式启动一个含有web应用的Docker容器，监听tcp80端口。当我们在容器中执行任何类似ifconfig命令查看网络环境时，看到的都是宿主机上的信息。而外界访问容器中的应用，则直接使用192.168.1.200:80即可，不用任何NAT转换，就如直接跑在宿主机中一样。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

2）container模式

在理解了host模式后，这个模式也就好理解了。这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信。

3）none模式

这个模式和前两个不同。在这种模式下，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

4）bridge模式（默认模式）

当Docker server启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。接下来就要为容器分配IP了，Docker会从RFC1918所定义的私有IP网段中，选择一个和宿主机不同的IP地址和子网分配给docker0，连接到docker0的容器就从这个子网中选择一个未占用的IP使用。如一般Docker会使用172.17.0.0/16这个网段，并将172.17.42.1/16分配给docker0网桥（在主机上使用ifconfig命令是可以看到docker0的，可以认为它是网桥的管理接口，在宿主机上作为一块虚拟网卡使用）。单机环境下的网络拓扑如下，主机地址为192.168.1.200/24。

Docker完成以上网络配置的过程大致是这样的：

1）在主机上创建一对虚拟网卡veth pair设备。veth设备总是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来。因此，veth设备常用来连接两个网络设备。

2）Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0。另一端放在主机中，以veth65f9这样类似的名字命名，并将这个网络设备加入到docker0网桥中，可以通过brctl show命令查看。

[root@docker ~]# brctl  show

bridge name     bridge id               STP enabled     interfaces

docker0         8000.0242deee1511       no              veth20cb318

virbr0           8000.525400c144f4       yes             virbr0-nic

3）从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。

网络拓扑介绍完后，接着介绍一下bridge模式下容器是如何通信的。

7.2 启动一个nginx容器，默认前台运行nginx -g daemon off

[root@docker ~]# docker run -d -P nginx

查看创建的容器，把虚拟机的32769端口映射成nginx容器的80端口，32768端口映射成443端口

[root@docker ~]# docker ps -a

CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS                      PORTS                                           NAMES

622269d81b85        nginx               "nginx -g 'daemon off"   3 minutes ago       Up 3 minutes                0.0.0.0:32769->80/tcp, 0.0.0.0:32768->443/tcp   amazing_bell

mydocker

通过浏览器访问32769端口：

查看docker的log，命令为：docker logs +容器ID

[root@docker ~]# docker logs 29ce3ee90173

启动容器时指定端口：

[root@docker ~]# docker run -d -p 81:80 nginx

e6cefc4d2937c439c189f85e1ea37b348646a3dfd4bcb20186d613743c5baa41

7.3 docker的存储

docker存储的两种模式

1）数据卷

-v /data  挂载data目录

-v file    挂载一个文件

-v src:dst 指定一个挂载目录，开发常用，挂载物理机代码所在目录，nginx直接使用代码

创建一个centos容器，挂载/data目录，挂载的时候可以指定权限，ro，rw等

[root@docker ~]# docker run -it --name volume-test1 -v /data centos

[root@895a9a4ae975 /]# ls -l /data/

total 0

注：/data对应的物理机的路径

[root@docker ~]# docker inspect 895a9a4ae975 |grep -A 5 "Mounts"

"Mounts": [

{

"Name": "2db8cff65b4fc3242e62c231b59d6533bd56fdce3b6d9074feb2022824ac650c",

"Source": "/var/lib/docker/volumes/2db8cff65b4fc3242e62c231b59d6533bd56fdce3b6d9074feb2022824ac650c/_data",

"Destination": "/data",

"Driver": "local",

注：上面标蓝的地方是物理机所在路径也就是容器对应的/data路径

验证挂载情况：

[root@docker ~]# cd /var/lib/docker/volumes/2db8cff65b4fc3242e62c231b59d6533bd56fdce3b6d9074feb2022824ac650c/_data

[root@docker _data]# touch peng

[root@docker _data]# ls

peng

[root@895a9a4ae975 /]# ls -l /data/  (在容器内查看)

total 0

-rw-r--r-- 1 root root 0 Apr 25 14:50 peng

启动一个容器，挂载物理机/opt目录，挂载的时候可以指定权限ro，rw等

[root@docker ~]# docker run -it -v /opt:/opt centos

[root@3a3eb71c21f7 /]# cd /opt/

[root@3a3eb71c21f7 opt]# ls

index.html nginx ngix.tar.gz rh

[root@docker ~]# ls /opt/   （物理机执行）

index.html nginx ngix.tar.gz rh

2）数据卷容器

启动一个容器挂载/data目录，-d启动就放在后台

[root@docker _data]# docker run -d --name myvolume -v /data centos

e54efa889625686f70c9beb341344b2a5a09d8e3408a1848032e033e5cfd3b3e

启动一个容器，挂载到刚才的容器的/data目录

[root@docker ~]# docker run -it --name myvolume-test --volumes-from myvolume centos

[root@4f430d56682c /]#

在物理机中创建个目录在myvolume-test容器内检查挂载情况

[root@docker ~]# docker ps |grep myvolume

4f430d56682c centos "/bin/bash" About a minute ago Up About a minute myvolume-test1

[root@docker ~]# docker inspect 4f430d56682c|grep -A 5 Mounts

"Mounts": [

{

"Name": "2c2abf5f9db57115741bcce627d15d659e7a4ef079b2092bd0c698950b8fc48a",

"Source": "/var/lib/docker/volumes/2c2abf5f9db57115741bcce627d15d659e7a4ef079b2092bd0c698950b8fc48a/_data",

"Destination": "/data",

"Driver": "local",

[root@docker ~]# cd /var/lib/docker/volumes/2c2abf5f9db57115741bcce627d15d659e7a4ef079b2092bd0c698950b8fc48a/_data

[root@docker _data]# mkdir 123

[root@4f430d56682c /]# ls /data/ -l

total 0

drwxr-xr-x 2 root root 6 Dec 26 05:34 123  (在容器内执行)

八、手动构建镜像

先创建一个centos镜像并yum一个nginx等待做镜像

[root@docker ~]# docker run -it --name mynginx centos

[root@378173b83b16 /]#

[root@378173b83b16 /]# rpm -ivh http://mirrors.aliyun.com/epel/epel-release-latest-7.noarch.rpm

[root@378173b83b16 /]# yum install -y nginx

更改nginx的配置文件改为前台启动，退出容器：

[root@378173b83b16 ~]# vi /etc/nginx/nginx.conf

daemon off;

[root@378173b83b16 /]# exit

exit

基于刚才创建的容器创建一个docker镜像,版本为V1，peng为用户名，镜像名称为mynginx，镜像来自于id为378173b83b16的容器：

[root@docker ~]# docker commit -m "my nginx" 378173b83b16 peng/mynginx:v1

7f52f9681827c4a6a354ed0fdcdaed25cdd7a86bc50ae81d4a4ebd6d312ccd73

[root@docker ~]# docker images

REPOSITORY    TAG         IMAGE ID        CREATED             VIRTUAL SIZE

peng/mynginx   v1          7f52f9681827     27 seconds ago      349.7 MB

docker.io/nginx  latest        e32087da8ee6    2 weeks ago         182.6 MB

docker.io/centos latest         28e524afdd05    3 weeks ago         196.7 MB

通过上述制作的镜像，启动一个容器,要指定用户名peng和版本，如果不指定版本则默认选择lastest

[root@docker ~]# docker run -it --name nginxv1 peng/mynginx:v1

[root@64f90e96221b /]#

九、使用Dockerfile 创建容器

9.1 dockerfile的四大部分

基础镜像信息

维护者信息

镜像操作指令

容器启动时执行指令

9.2 编写Dockerfile创建容器

[root@docker nginx]# mkdir /opt/dockerfille/nginx -p

[root@docker nginx]# cat index.html

hello,world.

[root@docker nginx]# cat Dockerfile

# This is nginx dockfile

# Verion 1.1.1

# Author peng

FROM centos

MAINTAINER peng@alibaba.com

RUN rpm -ivh http://mirrors.aliyun.com/epel/epel-release-latest-7.noarch.rpm

RUN yum install -y nginx

ADD index.html /usr/share/nginx/html/index.html

RUN echo "daemon off;" >>/etc/nginx/nginx.conf

EXPOSE 80

CMD ["nginx"]

使用docker build执行dockerfile构建镜像：

[root@docker nginx]# docker build -t peng/mynginx:v2 /opt/dockerfille/nginx/

查看使用dockerfile创建的镜像，并run一个docker容器

[root@docker nginx]# docker images

REPOSITORY   TAG          IMAGE ID        CREATED             VIRTUAL SIZE

peng/mynginx  v2          e9b122650b4e    17 seconds ago      366.7 MB

[root@docker nginx]# docker run -d --name nginxv2 -p 800:80 peng/mynginx:v2

0e199dccb749d348225125ff35f0342099bbb248478e1d537719e28c1c4bd46f

浏览器直接查看http://192.168.1.200:800：

十、Docker的Registry私有仓库构建

run一个registry。

[root@docker ~]# docker run -d -p 5000:5000 registry

bf2156a9b00e9f2e49ebbd7b79a26ec196886b4f9cd573b6385786cd1207dd77

[root@docker ~]# curl 192.168.1.200:5000/v1/search

{"num_results": 0, "query": "", "results": []}

给registry打一个新的tag：

[root@docker ~]# docker tag peng/mynginx:v2 192.168.1.200:5000/peng/mynginx:lastest

配置nginx，使用用户认证https的方式将镜像push到仓库中，必须使用https！！

增加一个nginx-registry的配置文件：

[root@docker conf.d]# pwd

/etc/nginx/conf.d

[root@docker conf.d]# cat docker-registry.conf

upstream docker-registry {

server 127.0.0.1:5000;

}

server {

listen 443;

server_name registry.peng.com;

ssl on;

ssl_certificate       /etc/ssl/nginx.crt;

ssl_certificate_key   /etc/ssl/nginx.key;

proxy_set_header Host $http_host;

proxy_set_header X-Real-IP $remote_addr;

client_max_body_size       0;

chunked_transfer_encoding  on;

location / {

auth_basic            "Docker";

auth_basic_user_file  /etc/nginx/conf.d/docker-registry.htpasswd;

proxy_pass            http://docker-registry;

}

location /_ping {

auth_basic off;

proxy_pass http://docker-registry;

}

location /v1/_ping {

auth_basic off;

proxy_pass http://docker-registry;

}

}

生成一个根证书,生产环境最好是买一个证书：

[root@docker CA]# cd /etc/pki/CA/

[root@docker CA]# touch ./{serial,index.txt}

[root@docker CA]# echo 00 >serial

[root@docker CA]# openssl genrsa -out private/cakey.pem 2048

Generating RSA private key, 2048 bit long modulus

..........................................................................................+++

..........................+++

e is 65537 (0x10001)

[root@docker CA]# openssl req -new -x509 -key private/cakey.pem -days 3650 -out cacert.pem

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) [XX]:CN

State or Province Name (full name) []:beijing

Locality Name (eg, city) [Default City]:beijing

Organization Name (eg, company) [Default Company Ltd]:peng

Organizational Unit Name (eg, section) []:peng

Common Name (eg, your name or your server's hostname) []:peng-blog.com

Email Address []:admin@peng-blog.com

生成nginx的key和证书：

[root@docker CA]# cd /etc/ssl

[root@docker ssl]# openssl genrsa -out nginx.key 2048

Generating RSA private key, 2048 bit long modulus

.....+++

...........................+++

e is 65537 (0x10001)

[root@docker ssl]# openssl req -new -key nginx.key -out nginx.csr

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) [XX]:CN

State or Province Name (full name) []:beijing

Locality Name (eg, city) [Default City]:beijing

Organization Name (eg, company) [Default Company Ltd]:peng

Organizational Unit Name (eg, section) []:peng

Common Name (eg, your name or your server's hostname) []:peng-blog.com

Email Address []:admin@peng-blog.com

Please enter the following 'extra' attributes

to be sent with your certificate request

A challenge password []:123456

An optional company name []:peng

签发证书：

[root@docker ssl]# openssl ca -in nginx.csr -days 3650 -out nginx.crt

让系统接收签发的证书：

[root@docker ssl]# cat /etc/pki/CA/cacert.pem >> /etc/pki/tls/certs/ca-bundle.crt

创建密码：

[root@docker ssl]# htpasswd -c /etc/nginx/conf.d/docker-registry.htpasswd peng

New password:

Re-type new password:

Adding password for user peng

启动nginx：

[root@docker ssl]# systemctl start nginx

[root@docker nginx]# netstat -lntup|grep 443

tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN 54093/nginx: master

登录认证并push上打tag的lastest的镜像

[root@docker nginx]#docker login -u peng -p 123456 -e admin@peng-blog.com peng-blog.com

[root@docker nginx]#docker push registry.peng.com/peng/mynginx:lastest

浏览器登录:https://192.168.1.200:443会要求用户输入用户名和密码。服务器提示docker。

十一、Namespace资源隔离

Namespace	系统调用参数	隔离内容
UTS	CLONE_NEWUTS	主机名与域名
IPC	CLONE_NEWIPC	信号量、消息队列和共享内存
PID	CLONE_NEWPID	进程编号
Network	CLONE_NEWNET	网络设备、网格栈、端口等等
Mount	CLONE_NEWNS	挂载点（文件系统）
User	CLONE_NEWUSER	用户和用户组

 

1）pid namespace

不同用户的进程就是通过pid namespace隔离开的，且不同 namespace 中可以有相同pid。所有的LXC进程在docker中的父进程为docker进程，每个lxc进程具有不同的namespace。同时由于允许嵌套，因此可以很方便的实现 Docker in Docker。

2）net namespace

有了 pid namespace， 每个namespace中的pid能够相互隔离，但是网络端口还是共享host的端口。网络隔离是通过net namespace实现的， 每个net namespace有独立的 network devices，IP addresses,，IP routing tables，/proc/net 目录。这样每个container的网络就能隔离开来。docker默认采用veth的方式将container中的虚拟网卡同host上的一个docker bridge: docker0连接在一起。

3）ipc namespace

container中进程交互还是采用linux常见的进程间交互方法(interprocess communication – IPC)，包括常见的信号量、消息队列和共享内存。然而同 VM 不同的是，container 的进程间交互实际上还是host上具有相同pid namespace中的进程间交互，因此需要在IPC资源申请时加入namespace信息 -- 每个IPC资源有一个唯一的 32 位 ID。

4）mnt namespace

类似chroot，将一个进程放到一个特定的目录执行。mnt namespace允许不同namespace的进程看到的文件结构不同，这样每个 namespace 中的进程所看到的文件目录就被隔离开了。同chroot不同，每个namespace中的container在/proc/mounts的信息只包含所在namespace的mount point。

5）uts namespace

UTS(“UNIX Time-sharing System”) namespace允许每个container拥有独立的hostname和domain name, 使其在网络上可以被视作一个独立的节点而非Host上的一个进程。

6）user namespace

每个container可以有不同的 user 和 group id，也就是说可以在container内部用container内部的用户执行程序而非Host上的用户。

 

十二、docker拓展

12.1 可配额/可度量 – Control Groups (cgroups)

cgroups 实现了对资源的配额和度量。

cgroups 的使用非常简单，提供类似文件的接口，在 /cgroup目录下新建一个文件夹即可新建一个group，在此文件夹中新建task文件，并将pid写入该文件，即可实现对该进程的资源控制。

groups可以限制blkio、cpu、cpuacct、cpuset、devices、freezer、memory、net_cls、ns九大子系统的资源，以下是每个子系统的详细说明（可以使用docker run -help查看）：

blkio 这个子系统设置限制每个块设备的输入输出控制。例如:磁盘，光盘以及usb等等。

cpu 这个子系统使用调度程序为cgroup任务提供cpu的访问。

cpuacct 产生cgroup任务的cpu资源报告。

cpuset 如果是多核心的cpu，这个子系统会为cgroup任务分配单独的cpu和内存。

devices 允许或拒绝cgroup任务对设备的访问。

freezer 暂停和恢复cgroup任务。

memory 设置每个cgroup的内存限制以及产生内存资源报告。

net_cls 标记每个网络包以供cgroup方便使用。

ns 名称空间子系统。

附录：

Docker基础命令

[root@docker ~]# docker –help

Usage:
docker [OPTIONS] COMMAND [arg…]

docker
daemon [ –help | … ]

docker
[ –help | -v | –version ]

A
self-sufficient runtime for containers.

Options:

–config=~/.docker             Location
of client config files      #客户端配置文件的位置

-D,
–debug=false              
Enable debug mode                  #启用Debug调试模式

-H,
–host=[]                  
  Daemon socket(s) to
connect to  #守护进程的套接字（Socket）连接

-h,
–help=false               
 Print usage                                 #打印使用

-l,
–log-level=info           
 Set the logging level                   #设置日志级别

–tls=false                    
    Use TLS; implied by–tlsverify

–tlscacert=~/.docker/ca.pem    Trust certs signed only by this
CA   #信任证书签名CA

–tlscert=~/.docker/cert.pem    Path to TLS certificate
file                #TLS证书文件路径

–tlskey=~/.docker/key.pem      Path to TLS key
file                        #TLS密钥文件路径

–tlsverify=false              
Use TLS and verify the remote                #使用TLS验证远程

-v,
–version=false     
       Print version information and
quit        #打印版本信息并退出

Commands:

attach  
 Attach to a running container                                      #当前shell下attach连接指定运行镜像

build    
Build an image from a Dockerfile                                  #通过Dockerfile定制镜像

commit  
 Create a new image from a container’s changes      #提交当前容器为新的镜像

cp    Copy
files/folders from a container to a HOSTDIR or to STDOUT   #从容器中拷贝指定文件或者目录到宿主机中

create  
 Create a new container                                                      #创建一个新的容器，同run 但不启动容器

diff  
 Inspect changes on a container’s filesystem                           #查看docker容器变化

events    Get
real time events from the server                                 #从docker服务获取容器实时事件

exec    Run a
command in a running container                               #在已存在的容器上运行命令

export  
 Export a container’s filesystem as a tar archive                #导出容器的内容流作为一个tar归档文件(对应import)

history  
 Show the history of an image                                          #展示一个镜像形成历史

images    List
images                                                                    #列出系统当前镜像

import    Import
the contents from a tarball to create a filesystem image   #从tar包中的内容创建一个新的文件系统映像(对应export)

info  
 Display system-wide information                                         #显示系统相关信息

inspect  
 Return low-level information on a container or image    #查看容器详细信息

kill    Kill a
running container                                                   #kill指定docker容器

load    Load
an image from a tar archive or STDIN     #从一个tar包中加载一个镜像(对应save)

login  
 Register or log in to a Docker registry           #注册或者登陆一个docker源服务器

logout    Log
out from a Docker registry                    #从当前Docker registry退出

logs    Fetch
the logs of a container                         #输出当前容器日志信息

pause    Pause
all processes within a container      #暂停容器

port    List
port mappings or a specific mapping for the CONTAINER   #查看映射端口对应的容器内部源端口

ps    List containers                                               #列出容器列表

pull    Pull
an image or a repository from a registry    #从docker镜像源服务器拉取指定镜像或者库镜像

push    Push
an image or a repository to a registry   #推送指定镜像或者库镜像至docker源服务器

rename  
 Rename a container                #重命名容器

restart  
 Restart a running container      #重启运行的容器

rm    Remove
one or more containers     #移除一个或者多个容器

rmi    Remove
one or more images          #移除一个或多个镜像(无容器使用该镜像才可以删除，否则需要删除相关容器才可以继续或者-f强制删除)

run    Run a
command in a new container   #创建一个新的容器并运行一个命令

save    Save an
image(s) to a tar archive    #保存一个镜像为一个tar包(对应load)

search  
 Search the Docker Hub for images   #在docker hub中搜索镜像

start    Start
one or more stopped containers   #启动容器

stats  
 Display a live stream of container(s) resource usage
statistics   #统计容器使用资源

stop    Stop a
running container                    #停止容器

tag      
  Tag an image into a repository        #给源中镜像打标签

top      
Display the running processes of a container    #查看容器中运行的进程信息

unpause  
 Unpause all processes within a container    #取消暂停容器

version  
 Show the Docker version information            #查看容器版本号

wait    
    Block until a container stops, then print its exit
code   #截取容器停止时的退出状态值

Run ‘docker COMMAND –help’ for
more information on a command.  #运行docker命令在帮助可以获取更多信息