Docker核心概念解析及使用

一、Docker核心概念解析

1. 基础定义

• 容器（Container）：从镜像创建的轻量级运行实例，提供独立隔离的运行环境，支持跨环境一致运行。
• 镜像（Image）：容器的模板，包含应用程序、依赖库、配置文件等所有运行所需资源。
• Dockerfile：定义镜像构建流程的脚本文件，通过指令描述镜像的生成逻辑。
• Docker Hub：全球最大的公共镜像仓库，用于存储、下载和分享镜像。

2. 架构组件

二、Docker运行机制与隔离技术

1. 运行流程

1. 用户通过Docker Client向Docker Daemon发送请求（如创建容器）。
2. Docker Daemon通过Docker Engine解析请求，以Job形式执行具体任务。
3. 若需镜像，从Docker Registry拉取并通过Graph Driver存储为分层镜像。
4. Network Driver配置容器网络（如桥接模式下的虚拟网桥）。
5. Exec Driver负责容器资源限制（如CPU、内存）和指令执行。

2. 容器隔离技术

• 命名空间（Namespaces）：隔离进程（PID）、网络（NET）、文件系统（MNT）等资源，确保容器间互不干扰。
• 控制组（cgroups）：通过Linux内核功能限制容器的CPU、内存、I/O等资源使用上限。
• 文件系统隔离：基于UnionFS（如OverlayFS）实现镜像分层，容器层修改不影响基础镜像。
• 网络隔离：通过虚拟网桥、IPtables规则实现容器间网络隔离或通信。
• 安全机制：支持SELinux/AppArmor等安全策略，限制容器对宿主机的访问权限。

三、快速入门与核心操作

1. 安装与配置

• 下载地址：Docker官方下载页
• 镜像源配置（提升拉取速度）：

  {  
  "registry-mirrors": [  
    "http://hub-mirror.c.163.com",  
    "https://docker.mirrors.ustc.edu.cn"  
  ],  
  "debug": true,  
  "experimental": false  
  }  

2. 基础验证命令

docker run hello-world  # 验证Docker安装是否成功  

3. 系统管理命令

四、容器生命周期管理

1. 容器操作命令

2. 数据管理

• 导出/导入容器快照：

  docker export <容器ID> > container.tar  # 导出容器文件系统快照  
  docker import container.tar my-image:v1   # 导入快照创建镜像（丢失元数据）  

• 镜像构建：

  docker build -t my-app:v1 -f Dockerfile .  # 基于当前目录的Dockerfile构建镜像  

五、镜像操作指南

1. 镜像生命周期管理

2. Dockerfile最佳实践

# 基础镜像  
FROM ubuntu:22.04  
# 维护者信息  
LABEL maintainer="admin@example.com"  
# 安装依赖  
RUN apt-get update && apt-get install -y curl  
# 复制文件到镜像  
COPY app/ /app/  
# 设置工作目录  
WORKDIR /app  
# 定义启动命令  
CMD ["python", "app.py"]  

3. 多阶段构建（精简镜像体积）

# 构建阶段：使用Go环境编译应用  
FROM golang:alpine AS builder  
WORKDIR /src  
COPY . .  
RUN go build -o myapp  

# 最终阶段：使用最小化镜像运行应用  
FROM alpine  
COPY --from=builder /src/myapp /app/  
CMD ["/app/myapp"]  

六、网络与端口配置

1. 网络模式

2. 端口映射

docker run -p 8080:80 -p 443:443 my-web-app  # 映射宿主机8080→容器80，443→443  
docker run -P my-app                          # 自动映射镜像中EXPOSE声明的所有端口  

七、Docker Compose 实战

1. compose.yml示例

version: '3.8'  
services:  
  web:  
    build: ./web          # 基于./web目录的Dockerfile构建  
    ports:  
      - "8080:80"         # 端口映射  
    depends_on:  
      - db                # 确保db服务先启动  
  db:  
    image: mysql:5.7       # 使用官方MySQL镜像  
    environment:  
      MYSQL_ROOT_PASSWORD: secret  # 设置环境变量  
    volumes:  
      - db-data:/var/lib/mysql     # 挂载数据卷  
volumes:  
  db-data:             # 定义命名卷  
networks:  
  app-net:             # 定义自定义网络  
    driver: bridge  

2. 常用命令

docker-compose up -d         # 后台启动所有服务  
docker-compose down --volumes # 停止并删除容器、网络和卷  
docker-compose logs web      # 查看web服务日志  

八、数据持久化方案

1. 数据卷（Volumes）

docker volume create my-vol       # 创建命名卷  
docker run -v my-vol:/data app    # 挂载卷到容器/data目录  

2. 绑定挂载（Bind Mounts）

docker run -v /host/path:/container/path app  # 挂载宿主机目录到容器  

3. 内存挂载（tmpfs）

docker run -v tmpfs:/tmp app  # 在容器/tmp目录使用内存存储（重启后数据丢失）  

九、高级特性与安全建议

1. 镜像优化原则

• 避免使用latest标签，指定明确版本（如nginx:1.23.3）。
• 合并RUN指令减少镜像层数（如RUN apt-get update && install -y curl）。
• 清理临时文件（如RUN rm -rf /var/lib/apt/lists/*）。

2. 安全最佳实践

• 避免以root用户运行容器，使用普通用户：

  RUN useradd -m app && chown app /app  
  USER app  

• 限制容器资源：

  docker run --memory=1g --cpu-shares=512 my-app  # 限制1GB内存和512 CPU份额  

• 使用只读根文件系统：

  RUN chmod -R a-w /  

3. 镜像迁移建议

• 停止使用CentOS镜像，推荐替换为TencentOS Server：

  docker pull tencentos/tencentos_server24  # 拉取腾讯云TencentOS镜像  

十、参考资源

• Docker官方文档
• 腾讯云Docker最佳实践
• Docker Hub镜像仓库