docker学习笔记

Docker学习笔记
一.初见hello world
1.1 命令: docker run ubuntu:15.10 /bin/echo "Hello world"
各个参数解析：
docker: Docker 的二进制执行文件。
run:与前面的 docker 组合来运行一个容器。
ubuntu:15.10指定要运行的镜像，Docker首先从本地主机上查找镜像是否存在，如果不存在，Docker 就会从镜像仓库 Docker Hub 下载公共镜像。
/bin/echo "Hello world": 在启动的容器里执行的命令
以上命令完整的意思可以解释为：Docker 以 ubuntu15.10 镜像创建一个新容器，然后在容器里执行 bin/echo "Hello world"，然后输出结果。


1.2 命令:  docker run -i -t ubuntu:15.10 /bin/bash


各个参数解析：
-t:在新容器内指定一个伪终端或终端。
-i:允许你对容器内的标准输入 (STDIN) 进行交互。


各个参数解析：
-t:在新容器内指定一个伪终端或终端。
-i:允许你对容器内的标准输入 (STDIN) 进行交互。
我们可以通过运行exit命令或者使用CTRL+D来退出容器。


1.3 启动容器（后台模式）
命令: docker run -d ubuntu:15.10 /bin/sh -c "while true; do echo hello world; sleep 1; done"
在输出中，我们没有看到期望的"hello world"，而是一串长字符


这个长字符串叫做容器ID，对每个容器来说都是唯一的，我们可以通过容器ID来查看对应的容器发生了什么。
首先，我们需要确认容器有在运行，可以通过 docker ps 来查看
CONTAINER ID:容器ID
NAMES:自动分配的容器名称
在容器内使用docker logs命令，查看容器内的标准输出(命令:docker logs 容器ID或者docker logs 容器名称)


1.4 停止容器


二.Docker 容器使用
2.1 Docker 客户端
 docker 客户端非常简单 ,我们可以直接输入 docker 命令来查看到 Docker 客户端的所有命令选项。
 
 可以通过命令 docker command --help 更深入的了解指定的 Docker 命令使用方法。
 例如我们要查看 docker stats 指令的具体使用方法：docker stats --help
 
2.2 运行一个web应用
在docker容器中运行一个 Python Flask 应用来运行一个web应用。
docker run -d -P training/webapp python app.py
参数说明:
-d:让容器在后台运行。
-P:将容器内部使用的网络端口映射到我们使用的主机上。


2.3 查看 WEB 应用容器
使用 docker ps 来查看我们正在运行的容器


PORTS
0.0.0.0:32769->5000/tcp
Docker 开放了 5000 端口（默认 Python Flask 端口）映射到主机端口 32769 上


我们也可以指定 -p 标识来绑定指定端口:
docker run -d -p 5000:5000 training/webapp python app.py


2.4 网络端口的快捷方式
通过docker ps 命令可以查看到容器的端口映射，docker还提供了另一个快捷方式：docker port,使用 docker port 可以查看指定 （ID或者名字）容器的某个确定端口映射到宿主机的端口号。


2.5查看WEB应用程序日志
docker logs [ID或者名字] 可以查看容器内部的标准输出。
-f:让 dokcer logs 像使用 tail -f 一样来输出容器内部的标准输出。
从上面，我们可以看到应用程序使用的是 5000 端口并且能够查看到应用程序的访问日志。
查看WEB应用程序容器的进程
我们还可以使用 docker top （ID或者名字）来查看容器内部运行的进程


2.6 检查WEB应用程序
使用 docker inspect 来查看Docker的底层信息。它会返回一个 JSON 文件记录着 Docker 容器的配置和状态信息。
docker inspect determined_swanson
[
    {
        "Id": "7a38a1ad55c6914b360b565819604733db751d86afd2575236a70a2519527361",
        "Created": "2016-05-09T16:20:45.427996598Z",
        "Path": "python",
        "Args": [
            "app.py"
        ],
        "State": {
            "Status": "running",
......



2.7 停止WEB应用容器
docker stop determined_swanson


2.8 重启WEB应用容器
已经停止的容器，我们可以使用命令 docker start 来启动。
docker start determined_swanson
正在运行的容器，我们可以使用 docker restart 命令来重启


2.9 移除WEB应用容器
我们可以使用 docker rm 命令来删除不需要的容器
docker rm determined_swanson
删除容器时，容器必须是停止状态，否则会报如下错误
Error response from daemon: You cannot remove a running container 7a38a1ad55c6914b360b565819604733db751d86afd2575236a70a2519527361. Stop the container before attempting removal or use -f


三.Docker 镜像使用
当运行容器时，使用的镜像如果在本地中不存在，docker 就会自动从 docker 镜像仓库中下载，默认是从 Docker Hub 公共镜像源下载。


3.1列出镜像列表
我们可以使用 docker images 来列出本地主机上的镜像


runoob@runoob:~$ docker images           
REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
ubuntu              14.04               90d5884b1ee0        5 days ago          188 MB
php                 5.6                 f40e9e0f10c8        9 days ago          444.8 MB
nginx               latest              6f8d099c3adc        12 days ago         182.7 MB
mysql               5.6                 f2e8d6c772c0        3 weeks ago         324.6 MB
httpd               latest              02ef73cf1bc0        3 weeks ago         194.4 MB
ubuntu              15.10               4e3b13c8a266        4 weeks ago         136.3 MB
hello-world         latest              690ed74de00f        6 months ago        960 B
training/webapp     latest              6fae60ef3446        11 months ago       348.8 MB


各个选项说明:
REPOSITORY：表示镜像的仓库源
TAG：镜像的标签
IMAGE ID：镜像ID
CREATED：镜像创建时间
SIZE：镜像大小


同一仓库源可以有多个 TAG，代表这个仓库源的不同个版本，如ubuntu仓库源里，有15.10、14.04等多个不同的版本，我们使用 REPOSITORY:TAG 来定义不同的镜像。
所以，我们如果要使用版本为15.10的ubuntu系统镜像来运行容器时，命令如下：
runoob@runoob:~$ docker run -t -i ubuntu:15.10 /bin/bash 
root@d77ccb2e5cca:/#
如果要使用版本为14.04的ubuntu系统镜像来运行容器时，命令如下：
runoob@runoob:~$ docker run -t -i ubuntu:14.04 /bin/bash 


如果你不指定一个镜像的版本标签，例如你只使用 ubuntu，docker 将默认使用 ubuntu:latest 镜像。


3.2 获取一个新的镜像
当我们在本地主机上使用一个不存在的镜像时 Docker 就会自动下载这个镜像。如果我们想预先下载这个镜像，我们可以使用 docker pull 命令来下载它
docker pull ubuntu:13.10
13.10: Pulling from library/ubuntu
6599cadaf950: Pull complete 
23eda618d451: Pull complete 
f0be3084efe9: Pull complete 
52de432f084b: Pull complete 
a3ed95caeb02: Pull complete 
Digest: sha256:15b79a6654811c8d992ebacdfbd5152fcf3d165e374e264076aa435214a947a3
Status: Downloaded newer image for ubuntu:13.10
下载完成后，我们可以直接使用这个镜像来运行容器。


3.3 查找镜像
我们可以从 Docker Hub 网站来搜索镜像，Docker Hub 网址为： https://hub.docker.com/
我们也可以使用 docker search 命令来搜索镜像。比如我们需要一个httpd的镜像来作为我们的web服务。我们可以通过 docker search 命令搜索 httpd 来寻找适合我们的镜像。


NAME:镜像仓库源的名称
DESCRIPTION:镜像的描述
OFFICIAL:是否docker官方发布


3.4 拖取镜像
我们决定使用上图中的httpd 官方版本的镜像，使用命令 docker pull 来下载镜像。
下载完成后，我们就可以使用这个镜像了: docker run httpd


3.5 创建镜像
当我们从docker镜像仓库中下载的镜像不能满足我们的需求时，我们可以通过以下两种方式对镜像进行更改。
1.从已经创建的容器中更新镜像，并且提交这个镜像
2.使用 Dockerfile 指令来创建一个新的镜像


3.6 更新镜像
更新镜像之前，我们需要使用镜像来创建一个容器。

docker run -t -i ubuntu:15.10 /bin/bash


在运行的容器内使用 apt-get update 命令进行更新。
在完成操作之后，输入 exit命令来退出这个容器


时ID为e218edb10161的容器，是按我们的需求更改的容器。我们可以通过命令 docker commit来提交容器副本。
runoob@runoob:~$ docker commit -m="has update" -a="runoob" e218edb10161 runoob/ubuntu:v2


各个参数说明：
-m:提交的描述信息
-a:指定镜像作者
e218edb10161：容器ID
runoob/ubuntu:v2:指定要创建的目标镜像名
我们可以使用 docker images 命令来查看我们的新镜像 runoob/ubuntu:v2：


使用我们的新镜像 runoob/ubuntu 来启动一个容器
docker run -t -i runoob/ubuntu:v2 /bin/bash


3.7 构建镜像
我们使用命令 docker build ， 从零开始来创建一个新的镜像。为此，我们需要创建一个 Dockerfile 文件，其中包含一组指令来告诉 Docker 如何构建我们的镜像。
查看Dockerfile: cat Dockerfile


FROM    centos:6.7
MAINTAINER      Fisher "[email protected]"


RUN     /bin/echo 'root:123456' |chpasswd
RUN     useradd runoob
RUN     /bin/echo 'runoob:123456' |chpasswd
RUN     /bin/echo -e "LANG=\"en_US.UTF-8\"" >/etc/default/local
EXPOSE  22
EXPOSE  80
CMD     /usr/sbin/sshd -D


每一个指令都会在镜像上创建一个新的层，每一个指令的前缀都必须是大写的。
第一条FROM，指定使用哪个镜像源
RUN 指令告诉docker 在镜像内执行命令，安装了什么。。。
然后，我们使用 Dockerfile 文件，通过 docker build 命令来构建一个镜像。


命令: docker build -t runoob/centos:6.7 .


Sending build context to Docker daemon 17.92 kB
Step 1 : FROM centos:6.7
 ---> d95b5ca17cc3
Step 2 : MAINTAINER Fisher "[email protected]"
 ---> Using cache
 ---> 0c92299c6f03
Step 3 : RUN /bin/echo 'root:123456' |chpasswd
 ---> Using cache
 ---> 0397ce2fbd0a
Step 4 : RUN useradd runoob
......


参数说明：
-t ：指定要创建的目标镜像名
. ：Dockerfile 文件所在目录，可以指定Dockerfile 的绝对路径
使用docker images 查看创建的镜像已经在列表中存在,镜像ID为860c279d2fec


docker images 
REPOSITORY          TAG                 IMAGE ID            CREATED              SIZE
runoob/centos       6.7                 860c279d2fec        About a minute ago   190.6 MB
runoob/ubuntu       v2                  70bf1840fd7c        17 hours ago         158.5 MB
ubuntu              14.04               90d5884b1ee0        6 days ago           188 MB
php                 5.6                 f40e9e0f10c8        10 days ago          444.8 MB
nginx               latest              6f8d099c3adc        12 days ago          182.7 MB
mysql               5.6                 f2e8d6c772c0        3 weeks ago          324.6 MB
httpd               latest              02ef73cf1bc0        3 weeks ago          194.4 MB
ubuntu              15.10               4e3b13c8a266        5 weeks ago          136.3 MB
hello-world         latest              690ed74de00f        6 months ago         960 B
centos              6.7                 d95b5ca17cc3        6 months ago         190.6 MB
training/webapp     latest              6fae60ef3446        12 months ago        348.8 MB


我们可以使用新的镜像来创建容器
runoob@runoob:~$ docker run -t -i runoob/centos:6.7  /bin/bash
[root@41c28d18b5fb /]# id runoob
uid=500(runoob) gid=500(runoob) groups=500(runoob)
从上面看到新镜像已经包含我们创建的用户runoob




3.8 设置镜像标签
我们可以使用 docker tag 命令，为镜像添加一个新的标签。
runoob@runoob:~$ docker tag 860c279d2fec runoob/centos:dev
docker tag 镜像ID，这里是 860c279d2fec ,用户名称、镜像源名(repository name)和新的标签名(tag)。
使用 docker images 命令可以看到，ID为860c279d2fec的镜像多一个标签。
runoob@runoob:~$ docker images
REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
runoob/centos       6.7                 860c279d2fec        5 hours ago         190.6 MB
runoob/centos       dev                 860c279d2fec        5 hours ago         190.6 MB
runoob/ubuntu       v2                  70bf1840fd7c        22 hours ago        158.5 MB
ubuntu              14.04               90d5884b1ee0        6 days ago          188 MB
php                 5.6                 f40e9e0f10c8        10 days ago         444.8 MB
nginx               latest              6f8d099c3adc        13 days ago         182.7 MB
mysql               5.6                 f2e8d6c772c0        3 weeks ago         324.6 MB
httpd               latest              02ef73cf1bc0        3 weeks ago         194.4 MB
ubuntu              15.10               4e3b13c8a266        5 weeks ago         136.3 MB
hello-world         latest              690ed74de00f        6 months ago        960 B
centos              6.7                 d95b5ca17cc3        6 months ago        190.6 MB
training/webapp     latest              6fae60ef3446        12 months ago       348.8 MB




四.Docker 容器连接
前面我们实现了通过网络端口来访问运行在docker容器内的服务。下面我们来实现通过端口连接到一个docker容器
4.1 网络端口映射
创建了一个 python 应用的容器:docker run -d -P training/webapp python app.py
我们可以指定容器绑定的网络地址，比如绑定 127.0.0.1
我们使用 -P 参数创建一个容器，使用 docker ps 来看到端口5000绑定主机端口32768。
docker ps
我们也可以使用 -p 标识来指定容器端口绑定到主机端口。
两种方式的区别是:
-P :是容器内部端口随机映射到主机的高端口。
-p : 是容器内部端口绑定到指定的主机端口。


docker run -d -p 5000:5000 training/webapp python app.py


docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED              STATUS              PORTS                     NAMES
33e4523d30aa        training/webapp     "python app.py"     About a minute ago   Up About a minute   0.0.0.0:5000->5000/tcp    berserk_bartik
fce072cc88ce        training/webapp     "python app.py"     8 minutes ago        Up 8 minutes        0.0.0.0:32768->5000/tcp   grave_hopper


另外，我们可以指定容器绑定的网络地址，比如绑定127.0.0.1。
runoob@runoob:~$ docker run -d -p 127.0.0.1:5001:5002 training/webapp python app.py
95c6ceef88ca3e71eaf303c2833fd6701d8d1b2572b5613b5a932dfdfe8a857c
runoob@runoob:~$ docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS                                NAMES
95c6ceef88ca        training/webapp     "python app.py"     6 seconds ago       Up 6 seconds        5000/tcp, 127.0.0.1:5001->5002/tcp   adoring_stonebraker
33e4523d30aa        training/webapp     "python app.py"     3 minutes ago       Up 3 minutes        0.0.0.0:5000->5000/tcp               berserk_bartik
fce072cc88ce        training/webapp     "python app.py"     10 minutes ago      Up 10 minutes       0.0.0.0:32768->5000/tcp              grave_hopper




另外，我们可以指定容器绑定的网络地址，比如绑定127.0.0.1。
runoob@runoob:~$ docker run -d -p 127.0.0.1:5001:5002 training/webapp python app.py
95c6ceef88ca3e71eaf303c2833fd6701d8d1b2572b5613b5a932dfdfe8a857c
runoob@runoob:~$ docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS                                NAMES
95c6ceef88ca        training/webapp     "python app.py"     6 seconds ago       Up 6 seconds        5000/tcp, 127.0.0.1:5001->5002/tcp   adoring_stonebraker
33e4523d30aa        training/webapp     "python app.py"     3 minutes ago       Up 3 minutes        0.0.0.0:5000->5000/tcp               berserk_bartik
fce072cc88ce        training/webapp     "python app.py"     10 minutes ago      Up 10 minutes       0.0.0.0:32768->5000/tcp              grave_hopper
这样我们就可以通过访问127.0.0.1:5001来访问容器的5002端口。
上面的例子中，默认都是绑定 tcp 端口，如果要绑定 UDP 端口，可以在端口后面加上 /udp。


runoob@runoob:~$ docker run -d -p 127.0.0.1:5000:5000/udp training/webapp python app.py
6779686f06f6204579c1d655dd8b2b31e8e809b245a97b2d3a8e35abe9dcd22a
runoob@runoob:~$ docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS                                NAMES
6779686f06f6        training/webapp     "python app.py"     4 seconds ago       Up 2 seconds        5000/tcp, 127.0.0.1:5000->5000/udp   drunk_visvesvaraya
95c6ceef88ca        training/webapp     "python app.py"     2 minutes ago       Up 2 minutes        5000/tcp, 127.0.0.1:5001->5002/tcp   adoring_stonebraker
33e4523d30aa        training/webapp     "python app.py"     5 minutes ago       Up 5 minutes        0.0.0.0:5000->5000/tcp               berserk_bartik
fce072cc88ce        training/webapp     "python app.py"     12 minutes ago      Up 12 minutes       0.0.0.0:32768->5000/tcp              grave_hopper
docker port 命令可以让我们快捷地查看端口的绑定情况。


4.2 Docker容器连接
端口映射并不是唯一把 docker 连接到另一个容器的方法。
docker有一个连接系统允许将多个容器连接在一起，共享连接信息。
docker连接会创建一个父子关系，其中父容器可以看到子容器的信息。


4.3 容器命名
当我们创建一个容器的时候，docker会自动对它进行命名。另外，我们也可以使用--name标识来命名容器，例如：
runoob@runoob:~$  docker run -d -P --name runoob training/webapp python app.py
43780a6eabaaf14e590b6e849235c75f3012995403f97749775e38436db9a441
我们可以使用 docker ps 命令来查看容器名称。
runoob@runoob:~$ docker ps -l
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS                     NAMES
43780a6eabaa        training/webapp     "python app.py"     3 minutes ago       Up 3 minutes        0.0.0.0:32769->5000/tcp   runoob


五.常用命令:


查看所有镜像的列表：
docker images


查找到：
docker search (image-name)


查看镜像的历史版本可以执行以下命令：
docker history (image_name)


最后，使用以下命令将镜像推送到registry：
docker push (image_name)


非常重要的一点是，你必须要知道存储库不是根存储库，它应该使用此格式(user)/(repo_name)。


六.Dockerfile
Docker为我们提供了Dockerfile来解决自动化的问题。在这篇文章中，我们将讨论什么是Dockerfile，它能够做到的事情以及Dockerfile的一些基本语法。


易于自动化的命令


Dockerfile包含创建镜像所需要的全部指令。基于在Dockerfile中的指令，我们可以使用Docker build命令来创建镜像。通过减少镜像和容器的创建过程来简化部署。


Dockerfile支持的语法命令如下：
INSTRUCTION argument


指令不区分大小写。但是，命名约定为全部大写。


所有Dockerfile都必须以FROM命令开始。 FROM命令会指定镜像基于哪个基础镜像创建，接下来的命令也会基于这个基础镜像（译者注：CentOS和Ubuntu有些命令可是不一样的）。FROM命令可以多次使用，表示会创建多个镜像。具体语法如下：
FROM


例如：
FROM ubuntu


上面的指定告诉我们，新的镜像将基于Ubuntu的镜像来构建。


继FROM命令，DockefFile还提供了一些其它的命令以实现自动化。在文本文件或Dockerfile文件中这些命令的顺序就是它们被执行的顺序。


让我们了解一下这些有趣的Dockerfile命令吧。
1. MAINTAINER：设置该镜像的作者。语法如下：
MAINTAINER


2. RUN：在shell或者exec的环境下执行的命令。RUN指令会在新创建的镜像上添加新的层面，接下来提交的结果用在Dockerfile的下一条指令中。语法如下：
RUN 《command》


3. ADD：复制文件指令。它有两个参数和。destination是容器内的路径。source可以是URL或者是启动配置上下文中的一个文件。语法如下：
ADD 《src》 《destination》


4. CMD：提供了容器默认的执行命令。 Dockerfile只允许使用一次CMD指令。 使用多个CMD会抵消之前所有的指令，只有最后一个指令生效。 CMD有三种形式：
CMD ["executable","param1","param2"]
CMD ["param1","param2"]
CMD command param1 param2


5. EXPOSE：指定容器在运行时监听的端口。语法如下：
EXPOSE ;


6. ENTRYPOINT：配置给容器一个可执行的命令，这意味着在每次使用镜像创建容器时一个特定的应用程序可以被设置为默认程序。同时也意味着该镜像每次被调用时仅能运行指定的应用。类似于CMD，Docker只允许一个ENTRYPOINT，多个ENTRYPOINT会抵消之前所有的指令，只执行最后的ENTRYPOINT指令。语法如下：
ENTRYPOINT ["executable", "param1","param2"]
ENTRYPOINT command param1 param2


7. WORKDIR：指定RUN、CMD与ENTRYPOINT命令的工作目录。语法如下：
WORKDIR /path/to/workdir


8. ENV：设置环境变量。它们使用键值对，增加运行程序的灵活性。语法如下：
ENV


9. USER：镜像正在运行时设置一个UID。语法如下：
USER


10. VOLUME：授权访问从容器内到主机上的目录。语法如下：
VOLUME ["/data"]






七.docker仓库


Docker Registry。它是所有仓库（包括共有和私有）以及工作流的中央Registry。在深入Docker Registry之前，让我们先去看看一些常见的术语和与仓库相关的概念。
Repositories（仓库）可以被标记为喜欢或者像书签一样标记起来
用户可以在仓库下评论。
私有仓库和共有仓库类似，不同之处在于前者不会在搜索结果中显示，也没有访问它的权限。只有用户设置为合作者才能访问私有仓库。
成功推送之后配置webhooks。


Docker Registry有三个角色，分别是index、registry和registry client。


角色 1 -- Index 


index 负责并维护有关用户帐户、镜像的校验以及公共命名空间的信息。它使用以下组件维护这些信息：
Web UI
元数据存储
认证服务
符号化


这也分解了较长的URL，以方便使用和验证用户存储库。


角色 2 --Registry


registry是镜像和图表的仓库。然而，它没有一个本地数据库，也不提供用户的身份认证，由S3、云文件和本地文件系统提供数据库支持。此外，通过Index Auth service的Token方式进行身份认证。Registries可以有不同的类型。现在让我们来分析其中的几种类型：
Sponsor Registry：第三方的registry，供客户和Docker社区使用。
Mirror Registry：第三方的registry，只让客户使用。
Vendor Registry：由发布Docker镜像的供应商提供的registry。
Private Registry：通过设有防火墙和额外的安全层的私有实体提供的registry。


角色 3 --Registry Client
Docker充当registry客户端来负责维护推送和拉取的任务，以及客户端的授权。


Docker Registry工作流程详解


现在，让我们讨论五种情景模式，以便更好地理解Docker Registry。




情景A：用户要获取并下载镜像。所涉及的步骤如下：
1.用户发送请求到index来下载镜像。
2.index 发出响应，返回三个相关部分信息：
该镜像所处的registry
该镜像包括所有层的校验
以授权为目的的Token > 注意：当请求header里有X-Docker-Token时才会返回Token。而私人仓库需要基本的身份验证，对于公有仓库这一点不是强制性的。
3.用户通过响应后返回的Token和registry沟通，registry全权负责镜像，它用来存储基本的镜像和继承的层。
4.registry现在要与index证实该token是被授权的。
5.index会发送“true” 或者 “false”给registry，由此判定是否允许用户下载所需要的镜像。


情景B：用户想要将镜像推送到registry中。其中涉及的步骤如下：
1.用户发送附带证书的请求到index要求分配库名。
2.在认证成功，命名空间可用之后，库名也被分配。index发出响应返回临时的token。
3.镜像连带token，一起被推送到registry中。
4.registry与index证实token被授权，然后在index验证之后开始读取推送流。
5.该index由Docker校验的镜像更新。




情景C：用户想要从index或registry中删除镜像：
1.index接收来自Docker一个删除库的信号。
2.如果index对库验证成功，它将删除该库，并返回一个临时的token。
3.registry现在接收到带有该token的删除信号。
4.registry与index核实该token，然后删除库以及所有与其相关的信息。
5.Docker现在通知有关删除的index，然后index移除库的所有记录。




情景D：用户希望在没有index的独立模式中使用registry。
使用没有index的registry，这完全由Docker控制，它最适合于在私有网络中存储镜像。registry运行在一个特殊的模式里，此模式限制了registry与Docker index的通信。所有有关安全性和身份验证的信息需要用户自己注意。


情景E：用户想要在有index的独立模式中使用registry。
在这种情况下，一个自定义的index会被创建在私有网络里来存储和访问镜像的问题。然而，通知Docker有关定制的index是耗时的。 Docker提供一个有趣的概念chaining registries，从而，实现负载均衡和为具体请求而指定的registry分配。在接下来的Docker教程系列中，我们将讨论如何在上述每个情景中使用Docker Registry API ，以及深入了解Docker Security


八.Docker安全
docker run命令可以用来运行容器。那运行这个命令后，Docker做了哪些具体的工作呢？具体如下：
1.docker run命令初始化。
2.Docker 运行 lxc-start 来执行run命令。
3.lxc-start 在容器中创建了一组namespace和Control Groups。








对于那些不知道namespace和control groups的概念的读者，我在这里先给他们解释一下：namespace是隔离的第一级，容器是相互隔离的，一个容器是看不到其它容器内部运行的进程情况（译者注：namespace系列教程可以阅读DockerOne上的系列教程）。每个容器都分配了单独的网络栈，因此一个容器不可能访问另一容器的sockets。为了支持容器之间的IP通信，您必须指定容器的公网IP端口。


Control Groups是非常重要的组件，具有以下功能：
负责资源核算和限制。
提供CPU、内存、I/O和网络相关的指标。
避免某种DoS攻击。
支持多租户平台。


Docker Daemon的攻击面


Docker Daemon以root权限运行，这意味着有一些问题需要格外小心。
下面介绍一些需要注意的地方：
当Docker允许与访客容器目录共享而不限制其访问权限时，Docker Daemon的控制权应该只给授权用户。
REST API支持Unix sockets，从而防止了cross-site-scripting攻击。
REST API的HTTP接口应该在可信网络或者VPN下使用。
在服务器上单独运行Docker时，需要与其它服务隔离。


一些关键的Docker安全特性包括：
1.容器以非特权用户运行。
2.Apparmor、SELinux、GRSEC解决方案，可用于额外的安全层。
3.可以使用其它容器系统的安全功能。




九.另外的15个Docker命令
daemon：


Docker daemon是一个用于管理容器的后台进程。一般情况下，守护进程是一个长期运行的用来处理请求的进程服务。-d参数用于运行后台进程。


build：
如之前所讨论的，可以使用Dockerfile来构建镜像。简单的构建命令如下：
docker build [options] PATH | URL
还有一些Docker提供的额外选项，如：
--rm=true表示构建成功后，移除所有中间容器
--no-cache=false表示在构建过程中不使用缓存


attach:
Docker允许使用attach命令与运行中的容器交互，并且可以随时观察容器內进程的运行状况。退出容器可以通过两种方式来完成：
Ctrl+C 直接退出
Ctrl-\ 退出并显示堆栈信息（stack trace）


attach命令的语法是：
docker attach container




diff：
Docker提供了一个非常强大的命令diff，它可以列出容器内发生变化的文件和目录。这些变化包括添加（A-add）、删除（D-delete）、修改（C-change）。该命令便于Debug，并支持快速的共享环境。
语法是：
docker diff container




events：
打印指定时间内的容器的实时系统事件。


import：
Docker可以导入远程文件、本地文件和目录。使用HTTP的URL从远程位置导入，而本地文件或目录的导入需要使用-参数。从远程位置导入的语法是：
docker import http://example.com/example.tar




export：
类似于import，export命令用于将容器的系统文件打包成tar文件。




cp：
这个命令是从容器内复制文件到指定的路径上。语法如下：
docker cp container:path hostpath.






login：
此命令用来登录到Docker registry服务器，语法如下：
docker login [options] [server]
如要登录自己主机的registry请使用：
docker login localhost:8080


inspect：
Docker inspect命令可以收集有关容器和镜像的底层信息。这些信息包括：
容器实例的IP地址
端口绑定列表
特定端口映射的搜索
收集配置的详细信息


该命令的语法是：
docker inspect container/image


kill：
发送SIGKILL信号来停止容器的主进程。语法是：
docker kill [options] container


rmi：
该命令可以移除一个或者多个镜像，语法如下：
docker rmi image
镜像可以有多个标签链接到它。在删除镜像时，你应该确保删除所有相关的标签以避免错误。下图显示了该命令的示例。


wait：
阻塞对指定容器的其它调用方法，直到容器停止后退出阻塞。


load：
该命令从tar文件中载入镜像或仓库到STDIN。


save：
类似于load，该命令保存镜像为tar文件并发送到STDOUT。语法如下：
docker save image