Docker Notes

Ubuntu 系列安装 Docker

$ sudo apt-get install apt-transport-https ca-certificates
$ sudo apt-key adv --keyserver hkp://p80.pool.sks-keyservers.net:80 --recv-keys 58118E89F3A912897C070ADBF76221572C52609D
$ sudo cat <<EOF > /etc/apt/sources.list.d/docker.list deb https://apt.dockerproject.org/repo ubuntu-trusty main EOF
$ sudo apt-get update
# aufs 存储
$ sudo apt-get install -y linux-image-extra-$(uname -r)
# Ubuntu 14.04 或者 12.04上安装Docker，需要安装 apparmor（apparmor是Linux内核的一个安全模块，新版本的Ubuntu已经被整合到内核） :
$ sudo apt-get install apparmor
$ sudo apt-get install -y docker-engine

Docker 镜像

• 镜像的实现原理
  

  每个镜像都由很多层次构成， Docker 使用 Union FS 将这些不同的层结合到一个镜像中去.

• Commands
  

  # 获取镜像
  $ sudo docker pull ubuntu:12.04
  # 列出本地镜像
  $ sudo docker images
  # 创建镜像
  $ sudo docker commit -m "Added json gem" -a "Docker Newbee" 0b2616b0e5a8 ouruser/sinatra:v2
  

  利用 Dockerfile 来创建镜像

  # This is a comment
  FROM ubuntu:14.04
  MAINTAINER Docker Newbee <newbee@docker.com>
  RUN apt-get -qq update
  RUN apt-get -qqy install ruby ruby-dev
  RUN gem install sinatra
  

  完成 Dockerfile 后可以使用 docker build 来生成镜像。

  # 从本地文件系统导入
  $ sudo cat ubuntu-14.04-x86_64-minimal.tar.gz |docker import - ubuntu:14.04
  # 上传镜像
  $ sudo docker push ouruser/sinatra
  # 存出镜像
  $ sudo docker save -o ubuntu_14.04.tar ubuntu:14.04
  # 载入镜像
  $ sudo docker load --input ubuntu_14.04.tar
  # or
  $ sudo docker load < ubuntu_14.04.tar
  # 移除本地镜像
  $ sudo docker rmi training/sinatra
  # 清理所有未打过标签的本地镜像
  $ sudo docker rmi $(docker images -q -f "dangling=true")
  

Docker 容器

# 新建并启动
$ sudo docker run ubuntu:14.04 /bin/echo 'Hello world'
$ sudo docker run -t -i ubuntu:14.04 /bin/bash
# 后台(background)运行
$ sudo docker run -d ubuntu:14.04 /bin/sh -c "while true; do echo hello world; sleep 1; done"
# 终止容器
$ docker stop
# 进入容器
$sudo docker attach nostalgic_hypatia
# 导出容器
$ sudo docker export 7691a814370e > ubuntu.tar
# 导入容器快照
$ cat ubuntu.tar | sudo docker import - test/ubuntu:v1.0
# 删除容器
$ sudo docker rm trusting_newton

Docker 仓库

数据卷

# 创建一个数据卷
$ sudo docker run -d -P --name web -v /webapp training/webapp python app.py
# 删除数据卷
$ docker rm -v
# 挂载一个主机目录作为数据卷
$ sudo docker run -d -P --name web -v /src/webapp:/opt/webapp training/webapp python app.py
# 查看数据卷的具体信息
$ docker inspect web
# 挂载一个本地主机文件作为数据卷
$ sudo docker run --rm -it -v ~/.bash_history:/.bash_history ubuntu /bin/bash

数据卷容器

基本架构

名字空间

• pid 名字空间
  

  不同用户的进程就是通过 pid 名字空间隔离开的，且不同名字空间中可以有相同 pid。所有的 LXC 进程在 Docker 中的父进程为Docker进程，每个 LXC 进程具有不同的名字空间。同时由于允许嵌套，因此可以很方便的实现嵌套的 Docker 容器。

• net 名字空间
  

  有了 pid 名字空间, 每个名字空间中的 pid 能够相互隔离，但是网络端口还是共享 host 的端口。网络隔离是通过 net 名字空间实现的， 每个 net 名字空间有独立的网络设备, IP 地址, 路由表, /proc/net 目录。这样每个容器的网络就能隔离开来。 Docker 默认采用 veth 的方式，将容器中的虚拟网卡同 host 上的一 个Docker 网桥 docker0 连接在一起。

• ipc 名字空间
  

  容器中进程交互还是采用了 Linux 常见的进程间交互方法(interprocess communication - IPC), 包括信号量、消息队列和共享内存等。然而同 VM 不同的是，容器的进程间交互实际上还是 host 上具有相同 pid 名字空间中的进程间交互，因此需要在 IPC 资源申请时加入名字空间信息，每个 IPC 资源有一个唯一的 32 位 id。

• mnt 名字空间
  

  类似 chroot，将一个进程放到一个特定的目录执行。mnt 名字空间允许不同名字空间的进程看到的文件结构不同，这样每个名字空间 中的进程所看到的文件目录就被隔离开了。同 chroot 不同，每个名字空间中的容器在 /proc/mounts 的信息只包含所在名字空间的 mount point。

• uts 名字空间
  

  UTS("UNIX Time-sharing System") 名字空间允许每个容器拥有独立的 hostname 和 domain name, 使其在网络上可以被视作一个独立的节点而非 主机上的一个进程。

• user 名字空间
  

  每个容器可以有不同的用户和组 id, 也就是说可以在容器内用容器内部的用户执行程序而非主机上的用户。

控制组

UnionFS

容器格式

网络实现