我们知道，要想使用容器就需要在内核支持namespace，cgroups，借助于在用户空间组织一些工具利用内核所提供的技术，显示运行容器的目的。docker在容器运行简化上又近一步的，提供了镜像，分层构建，使得容器技术的使用更加被简化。后来在docker的主导下，演化出ocf(open container initiative)标准：皆在围绕容器格式和运行时制定一个开放的工业化标准。而runC是在

安装docker 先决条件： 64bits CPU linux Kernet 3.10+ (centos7以上完美支持) 我们使用清华大学的mirros仓库https://mirrors.tuna.tsinghua.edu.cn/docker-ce/linux/centos/ curl -Lks https://mirrors.tuna.tsinghua.edu.cn/docker-ce/linu

docker主机，也就是docker server端，通过http,https接受客户端的命令。docker daemon接受到命令后会在本地启动创建容器，一个docker主机上运行多个容器。容器启动基于镜像启动。如果没有镜像就会链接到docker registries。如下图： 获取镜像后存储在本地，这个存储是特殊的，在1.18后的版本使用的是overlay2的存储驱动。镜像本身是只读的，镜像在

通常，编辑一个dockerfile进行build，或者将运行中的容器containers，使用commit将容器最上一层可写层单独创建一个镜像。或者如上github antomated builds,这种方式还是需要基于dockerfile。大致形式如下： 制作镜像 基于容器制作镜像 我们run起一个容器，而后在容器内添加一些文件。随后将这个容器commit成一个镜像，在将此镜像run起来。如上图

名称空间的六种分别是：UTC,User,Mount，ipc,pid,Net。网络的名称空间在早些时候就已经添加到内核当中，现在的内核上，基本上是支持的。 网络名称空间主要用于协议栈，网络设备的隔离实现。 一般情况，一个网卡设备只能关联到一个名称空间上，并且都会配置ip地址与外部通讯。假如现在名称空间数量超过物理网卡数量，每一个名称空间内部的进程也需要通过网络进行通讯。 当然，我们是不可能有那么多的

docker网络 docker安装完成后自动提供了三种网络 [root@linuxea.com142 ~]# docker network ls NETWORK ID NAME DRIVER SCOPE c46b68610246 bridge bridge local ffc5941362d9 host host local 1f143e6b01ea none null local bridge

此前我们知道在容器中一共有6个名称空间是被隔离的，其中NET,UTS,ITC是能够共享的。 其中网络也有多种方式，现在我们可以使用ip route模拟容器的名称空间。ip netns命令来进行添加，编辑等。 网络名称空间 我们手动创建名称空间，网络名称空间 添加linuxea-r1和linuxea-r2网络名称空间，并进行配置虚拟网卡对，而后配置ip，模拟 先添加linuxea-r1和linuxe

端口暴露有4中方式： 1，将指定容器端口映射到主机所有地址的一个动态端口 我们将内网的端口80使用—p暴露 [root@linuxea.com_10_10_240_145 ~]$ docker run --name linuxea -it --network bridge -p 80 --rm linuxea/httpd:v1 httpd -f -h /data/5idocker 而后可以使用cu

联盟式容器 两个容器之间共享同一个网络名称空间。 联盟式容器是指两个名称空间各自使用user,mount,pid。但共享utf,nat,ipc名称空间 我们启动一个容器，状态如下 [root@linuxea.com_10_10_240_145 /data/mirrors/wwwroot]$ docker run --name linuxea -it --rm busybox / # ip a 1:

自定义docker0网桥属性，需要编辑:/etc/docker/daemon.json文件 { "bip": "192.168.100.5/24", "fixed-cidr": "10.20.0.0/16", "fixed-cidr-6": "mtu": 1500, "default-gateway": "10.20.0.1", "default-gateway-v6": "dns": ["8.8

通常，docker链接本地 socker管理本地的docker，也可以进行添加配置，远程链接。同时，打开docker的socker意味着暴露了更大的攻击面，你应该明白。 sock 在此前编辑的文件中添加一条"hosts": ["tcp://0.0.0.0:2375","unix:///var/run/docker.sock"]，如下： [root@linuxea.com_10_10_240_145

创建自定义的桥 -d指定bridge，指定ip是--subnet "172.25.100.0/24" 网关是 --gateway "172.25.100.1" 名称是linuxea0 使用--opt com.docker.network.bridge.name=linuxea0 linuxea0指定名称网桥名称和网卡名称 如果你是compose。可以这样指定，参考官网网络页面 networks:

对docker来讲，作为容器运行的底层引擎，在运行容器时候每个容器内只运行一个程序及子程序，对于容器来讲，底层通过多层镜像联合挂载启动而成。底层能够存储此类分层构建并实现联合挂在文件系统包含：aufs，overlay2，在其上层会构建一个读写层 白话存储卷 对于读写层来讲，所有在容器中执行的操作，包括修改等，都在最上层的。对下层内容的操作，增删操作，就是通过“写时复制(COW)”来实现 如果一个A

docker存储卷 docker有两种类型的存储卷，每种类型都在容器中存在一个挂载点，但其在宿主机上的位置有所不同 绑定挂在卷 容器内和宿主机都需要指定一个已知的路径，二者建立关联关系 docker管理卷 在容器内指定挂载点，而被绑定到宿主机的目录是不需要已知的，由容器引擎执行创建管理，和容器建立关联关系。一般情况通常为目录下的id号 在docker中使用存储卷，使用-v指定目录即可 docker

我们在安装一个nginx的时候，通常需要进行定制化模块和配置参数等。在nginx打包时候会使用一些默认的参数来定义并启动。 通常我们在使用一个容器的时候，要么进入容器内修改配置文件，而后重载，在没有使用容器的时候，一般我们通过nginx reload加载，但是在容器中，不得已删除在启动。 并且在dockerhub上拖一个nginx镜像的时候，不一定是符合我们需要的，我们可以进行修改，而后在comm

ADD ADD与COPY很相似，ADD支持几使用tar文件和URL路径 ADD <src> ... <dest> ADD ["<src>",..."<dest>"] 如果为URL且不是/结尾，则指定的文件将被下载并直接被创建为，如果以/结尾，则文件名URL指定的文件将被直接下载并保存为/ 如果是一个本地的压缩tar文件，他将被展开成一个目录，其行为类

此前的RUN和CMD，我们知道，RUN是构建的时候运行的命令，在镜像完成后RUN就运行结束。随后推送到仓库中，这些RUN命令是不会在进行运行的。 -　init 在Docker上下文中，一个Docker只会运行一个应用程序，那么应该运行那个程序，又是什么应用？ 一般情况下，能拥有生产能力的应用通常在宿主机上一般表现是运行在后台守护进程程序，如：mysql,nginx等。 这些服务在运行时候，都是以某

COPY与ADD的最佳实践 COPY和ADD是可以将文件放入容器中，那么最好的用法是COPY而不是ADD，当然了，除非文件是tar包并且像自动解压此Dockerfile指令将一个或多个本地文件或文件夹复制到Docker镜像中的目标中。 COPY <source>... <destination> COPY ["<source>",... "<destina

health check 当我们基于镜像启动一个容器的时候，容器在什么时候退出，又在什么时候运行？事实上只要这个容器的主进程不是运行在后台，也没有停止，那么这个容器就不会停止。 容器在判断容器正常与否，并不会根据容器是否能够正常服务，而仅仅是看容器主进程是否运行着，因此这种判断机制并不能说明容器就是健康的。 那么我们就可以使用curl，或者wget，向主页发起请求，如果主页内容状态是对的，或者内容

shell 该SHELL指令允许覆盖用于shell形式的命令的默认shell 。Linux上的默认shell是["/bin/sh", "-c"]，而在Windows上["cmd", "/S", "/C"]。该SHELL指令必须以JSON格式写入Dockerfile。 参考：https://docs.docker.com/engine/reference/builder/#shell STOPSIG