Docker 基础操作

docker.io 可以直接用命令 sudo apt install docker.io 安装。

为了让 lsz 用户在使用 docker 时不用在命令前加 sudo，执行 sudo usermod -aG docker lsz 把 lsz 用户加入 docker 用户组。

ssh 重连后生效。

安装 docker-ce 可以使用官方的一键安装脚本:

1. curl -fsSL https://get.docker.com -o get-docker.sh
2. sudo sh get-docker.sh

也可以手动安装:

如果过去安装过 docker，先删掉 sudo apt-get remove docker docker-engine docker.io 。

接着安装依赖 sudo apt-get install apt-transport-https ca-certificates curl gnupg2 software-properties-common 。

添加 Docker 的 GPG 公钥:

• Debian 系统: curl -fsSL https://download.docker.com/linux/debian/gpg | sudo apt-key add -
• Ubuntu 系统: curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -

对于 amd64 架构的机器，添加软件仓库:

1. Debian 系统:

sudo add-apt-repository \
   "deb [arch=amd64] https://mirrors.tuna.tsinghua.edu.cn/docker-ce/linux/debian \
   $(lsb_release -cs) \
   stable"

1. Ubuntu 系统:

sudo add-apt-repository \
   "deb [arch=amd64] https://mirrors.tuna.tsinghua.edu.cn/docker-ce/linux/ubuntu \
   $(lsb_release -cs) \
   stable"

如果用树莓派或其它 ARM 架构机器，运行:

echo "deb [arch=armhf] https://mirrors.tuna.tsinghua.edu.cn/docker-ce/linux/debian \
     $(lsb_release -cs) stable" | \
    sudo tee /etc/apt/sources.list.d/docker.list

最后更新源 sudo apt-get update 安装 sudo apt-get install docker-ce 。

在 /etc/docker/daemon.json 文件里加入以下内容:

{
  //...
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "5"
  }
  //...
}

这表示容器日志的格式为 json 文件，每个容器会产生最多 5 个日志文件，每个文件最大 10m，即最多 50M 的日志。

sudo systemctl daemon-reload 重新加载配置文件， sudo systemctl restart docker 重启 docker 使配置生效。

环境配置文件:

• /etc/sysconfig/docker-network
• /etc/sysconfig/docker-storage
• /etc/sysconfig/docker
• Unit File:
  • /usr/lib/systemd/system/docker.service
• Docker Registry 配置文件:
  • /etc/containers/registries.conf
• docker daemon 配置文件: /etc/docker/daemon.json

docker <command> 这种格式的命令与 docker image <command> 或者 docker container <command> 的功能有重叠的部分。 docker <command> 格式出现比较早，没有指明操作对象，所以推荐用指明操作对象的后一种格式的命令。

-d 参数表示在后台运行容器。

-e 选项用于设置容器内的环境变量。格式为 -e var=value 。

查看针对 image 或 container 的命令 docker ( image | container ) help 。

容器运行时指定容器内主机的主机名 docker run --hostname <name> <other_command> 。

运行无网络的容器 docker run --network none <other-command> 。

docker run --network=host 使用物理机的网络，不做映射。

容器端口映射:

• docker run ... --network=bridge -p <container_port> 容器端口映射至主机地址的一个随机端口。
• docker run ... --network=bridge -p <host_port>:<container_port> 容器端口映射到指定的主机端口。
• docker run ... --network=bridge -p <ip>::<container_port> 容器端口映射到 ip 指定的主机的随机端口。
• docker run ... --network=bridge -p <ip>:<host_port>:<container_port> 容器端口映射到 ip 指定的主机的端口。

-p ( 小写 ) 参数可以使用多次来暴露多个端口。

-P ( 大写 ) 或者 --publish-all 参数可以映射 Dockerfile 中 EXPOSE 命令指定的每个端口到主机的随机端口上，写法是 docker run -P ... 。也可以在后面加 --expose 参数来追加需要映射的端口，写法是 docker run ... -P --expose 2222 --expose 3333 。

主机上随即被映射的端口可以在防火墙规则中查询，也可以使用 docker port <container_name> 查询。

在容器中挂载目录，如果要挂在的目录不存在则自动创建:

• docker run --name <container_name> -v /data <image_name> <other_command> 把容器的 /data 目录交给 docker 管理并映射到本机的 /data 目录。
• docker run --name <container_name> -v <hostDir>:<volumeDir> 把宿主机上的 hostDir 映射到容器内的 volumeDir。

执行 docker inspect -f {{.Mounts}} <container_name> 查看挂载关系。

多个容器可共享一个存储卷。

新启动的容器可以复制已启动容器的存储卷的映射关系: docker --volume-from <container_name> 。

列出所有不被挂载的容器卷 docker volume ls -qf dangling=true 。

删除所有不被挂载的容器卷 docker volume rm $(docker volume ls -qf dangling=true) 。

可以使用环境变量 TZ 设置时区。有些容器没做时区功能，这个环境变量对这些容器没有意义。

如果容器不支持用 TZ 来设置时区，那么把本地的时区文件挂载在容器里然后设置为只读 docker run ... -v /etc/localtime:/etc/localtime:ro ... 可能是一个解决方案。

有命令: docker run ... -v source_volume:/data/path ...

如果容器的 /data/path 目录下有文件或目录，那么 docker 会把 /data/path 中的数据拷贝到 source_volume 中，遇到同名文件时，保留 source_volume 中的数据。 以 root 的身份操作。

然而，有时，source_volume 是个 NFS volume，而 NFS 通常会用 root_squash 参数使得 NFS client 使用 root 身份读写数据时，把 NFS client 的身份变成 nobody。

这就意味着，在使用 NFS volume 的情况下 docker 会以 nobody 的身份来将 /data/path 中的数据拷贝到 source_volume 中，而通常 nobody 用户并没有这样的权限，docker 拷贝文件失败，这个报错就出现了。

要解决这个问题，需要使用: docker run ... -v source_volume:/data/path:nocopy ...

注意里面的 nocopy 参数。这个参数的含义是，在容器启动时，docker 不会将 /data/path 目录中的数据复制到 source_volume 中，而是直接进行覆盖式的挂载。这意味着，原本在 /data/path 目录下的内容不会出现在 source_volume 中。

这会产生一些影响: 如果容器内的程序需要原本存在于 /data/path 中的数据，那么这个参数不适合于这种情形。此时，需要将 source_volume 挂载到容器的其他位置，然后启动容器，最后在容器中手动拷贝数据。

由于是手动操作，所以用户可以自行在容器中选择一个有权限的身份。最后，再使用 nocopy 参数将 source_volume 覆盖式地挂载在 /data/path 上。

当然，还有一种情况: 容器中的程序检测到 /data/path 中的数据消失了，就会再生成一份数据放在 /data/path 上。此时，由于容器已经运行，重新生成的数据实际上被存储在 source_volume 中。

在这种情况下， nocopy 的覆盖式挂载不会有什么影响。

最后给一个例子: linuxserver/transmission 这个镜像的行为就是第二种情况所描述的。

用户不带 nocopy 参数地将 NFS volume 挂载到容器的 /config 目录，而容器的 /config 目录本身有数据，NFS 的配置参数里也有 root_squash。此时 docker 就会报挂载失败，因为 nobody 用户并没有拷贝数据到 NFS volume 的权限。

用户使用 nocopy 参数将 NFS volume 挂载到容器的 /config 目录，容器中的 transmission 检测到 /config 目录下没有配置文件就会重新生成一份配置文件放在 /config 目录下。transmission 重新生成配置文件并保存到 NFS volume 的流程中并不涉及 root 权限，所以配置文件可以成功被保存下来，容器也就可以正常启动。

当然，如果 NFS volume 中本来就有容器内程序需要的数据，那就不需要以上操作，直接挂载即可。