Docker容器管理

创建容器常用选项

选项	描述
-i, –interactive	交互式
-t, –tty	分配一个伪终端
d, –detach	运行容器到后台
-e, –env	设置环境变量
-p, –publish list	发布容器端口到主机
–name string	指定容器名称
-h, –hostname	设置容器主机名
-v, –volume list	绑定挂载一个卷
–restart string	容器退出时重启策略，默认no，可选值：[always|on-failure]

#后台运行状态（up）
[root@es3 ~]# docker run -itd centos
#后台是退出状态（Exited）
[root@es3 ~]# docker run -d centos

[root@es3 ~]# docker run -d -e ABC=123 -e CDE=456 -p 8888:80 --name nginx -h web --restart=always nginx
[root@es3 ~]# docker exec -it nginx bash
root@web:/# echo $ABC
123
root@web:/# echo $CDE
456
root@web:/# hostname

http://192.168.153.27:8888/

容器资源限制

选项	描述
-m，–memory	容器可以使用的最大内存量
–memory-swap	允许交换到磁盘的内存量
memory-swappiness=<0-100>	容器使用SWAP分区交换的百分比（0-100，默认为-1）
–oom-kill-disable	禁用OOM Killer
--cpus	可以使用的CPU数量
–cpuset-cpus	限制容器使用特定的CPU核心，如(0-3, 0,1)
–cpu-shares	CPU共享（相对权重）

内存限额

#允许容器最多使用500M内存，并禁用 OOM Killer：
[root@es3 ~]# docker run -d --name nginx03 --memory="500m"  --oom-kill-disable nginx
[root@es3 ~]# docker stats nginx03
CONTAINER ID   NAME      CPU %     MEM USAGE / LIMIT   MEM %     NET I/O     BLOCK I/O     PIDS
a5b0a7662317   nginx03   0.00%     3.09MiB / 500MiB    0.62%     648B / 0B   0B / 1.02kB   5

#动态修改内存限额
[root@es3 ~]# docker update -m="600m" nginx03
nginx03
[root@es3 ~]# docker stats nginx03
CONTAINER ID   NAME      CPU %     MEM USAGE / LIMIT   MEM %     NET I/O     BLOCK I/O     PIDS
a5b0a7662317   nginx03   0.00%     3.09MiB / 600MiB    0.51%     690B / 0B   0B / 1.02kB   5

CPU限额

允许容器最多使用一个半的CPU：
[root@es3 ~]# docker run -d --name nginx04 --cpus="1.5" nginx
允许容器最多使用50%的CPU：
[root@es3 ~]# docker run -d --name nginx05 --cpus=".5" nginx

管理容器常用命令

选项	描述
ls	列出容器
inspect	查看一个或多个容器详细信息
exec	在运行容器中执行命令
cp	拷贝文件/文件夹到一个容器
logs	获取一个容器日志
top	显示一个容器运行的进程
stats	显示容器资源使用统计
stop/start/restart	停止/启动一个或多个容器
rm	删除一个或多个容器
prune	移除已停止的容器

[root@es3 ~]# docker container ls

[root@es3 ~]# docker inspect nginx03
"IPAddress": "172.17.0.4"
[root@es3 ~]# curl 172.17.0.4

#从宿主机复制到容器
[root@es3 ~]# docker cp test nginx03:/
#从容器复制到宿主机
[root@es3 ~]# docker cp nginx03:/test /opt 

[root@es3 opt]# docker logs nginx03 -f

[root@es3 opt]# docker top nginx03  

[root@es3 opt]# docker container  prune

容器实现核心技术：Namespace

001 在容器化中，一台物理计算机可以运行多个不同操作系统，那就需要解决 “隔离性”，彼此感知不到对方存在，有问题互不影响
002 Linux内核从2.4.19版本开始引入了namespace概念，其目的是将特定的全局系统资源通过抽象方法使得namespace中的进程看起来拥有自己隔离的资源
003 Docker就是借助这个机制实现了容器资源隔离
004 Linux的Namespace机制提供了6种不同命名空间：
• IPC：隔离进程间通信
• MOUNT：隔离文件系统挂载点
• NET：隔离网络协议栈
• PID：隔离进程号，进程命名空间是一个父子结构，子空间对父空间可见
• USER：隔离用户
• UTS：隔离主机名和域名

容器实现核心技术：CGroups

001 Docker利用namespace实现了容器之间资源隔离，但是namespace不能对容器资源限制，比如CPU、内存。
002 如果某一个容器属于CPU密集型任务，那么会影响其他容器使用CPU，导致多个容器相互影响并且抢占资源
003 引入Control Groups（简称CGroups），限制容器资源
004 CGroups： 所有的任务就是运行在系统中的一个进程，而 CGroups 以某种标准将一组进程为目标进行资源分配和控制。例如CPU、内存、带宽等，并且可以动态配置
005 CGroups主要功能
• 限制进程组使用的资源数量（ Resource limitation ）：可以为进程组设定资源使用上限，例如内存
• 进程组优先级控制（ Prioritization ）：可以为进程组分配特定CPU、磁盘IO吞吐量
• 记录进程组使用的资源数量（ Accounting ）：例如使用记录某个进程组使用的CPU时间
• 进程组控制（ Control ）：可以将进程组挂起和恢复
006 ls /sys/fs/cgroup/ -l 查看cgroups可控制的资源：
• blkio ：对快设备的IO进行限制。
• cpu：限制CPU时间片的分配，与cpuacct挂载同一目录。
• cpuacct ：生成cgroup中的任务占用CPU资源的报告，与cpu挂载同一目录。
• cpuset ：给cgroup中的任务分配独立的CPU（多核处理器）和内存节点。
• devices ：允许或者拒绝 cgroup 中的任务访问设备。
• freezer ：暂停/恢复 cgroup 中的任务。
• hugetlb ：限制使用的内存页数量。
• memory ：对cgroup 中任务的可用内存进行限制，并自动生成资源占用报告。
• net_cls ：使用等级识别符（classid）标记网络数据包，这让 Linux 流量控制程序（tc）可以识别来自特定从cgroup 任务的数据包，并进行网络限制。
• net_prio：允许基于cgroup设置网络流量的优先级。
• perf_event：允许使用perf工具来监控cgroup。
• pids：限制任务的数量

Docker核心组件之间关系

001 Docker Daemon：Docker守护进程，负责与Docker Clinet交互，并管理镜像、容器。
002 Containerd：是一个简单的守护进程，向上给Docker Daemon提供接口，向下通过containerd-shim结合runC管理容器。
003 runC：一个命令行工具，它根据OCI标准来创建和运行容器

1638615174053.png

1638615276508.png

将数据从宿主机挂载到容器中的三种方式

• volumes：Docker管理宿主机文件系统的一部分（/var/lib/docker/volumes）。保存数据的最佳方式。
• bind mounts：将宿主机上的任意位置的文件或者目录挂载到容器中

Volume

管理卷

#管理卷
[root@es3 opt]# docker volume create nginx-vo
nginx-vo

[root@es3 opt]# docker volume ls

[root@es3 opt]# docker volume inspect nginx-vo
[
    {
        "CreatedAt": "2021-12-04T18:58:07+08:00",
        "Driver": "local",
        "Labels": {},
        "Mountpoint": "/var/lib/docker/volumes/nginx-vo/_data",
        "Name": "nginx-vo",
        "Options": {},
        "Scope": "local"
    }
]

用卷创建一个容器

[root@es3 opt]#  docker run -d --name=nginx-test -v nginx-vo:/usr/share/nginx/html nginx 

[root@es3 opt]# docker inspect nginx-test
"Source": "/var/lib/docker/volumes/nginx-vo/_data",
"IPAddress": "172.17.0.7",

[root@es3 _data]# echo "hello" >/var/lib/docker/volumes/nginx-vo/_data/index.html
[root@es3 _data]# curl 172.17.0.7
hello

#画重点：nginx-vo如果不存在将自动创建

清理

[root@es3 _data]# docker stop  nginx-test
 
[root@es3 _data]# docker rm  nginx-test    
 
[root@es3 _data]# docker volume rm nginx-vo 

Volume特点

001 多个运行容器之间共享数据，多个容器可以同时挂载相同的卷。
002 当容器停止或被移除时，该卷依然存在。
003 当明确删除卷时，卷才会被删除。
004 将容器的数据存储在远程主机或其他存储上（间接）
005 将数据从一台Docker主机迁移到另一台时，先停止容器，然后备份卷的目录（/var/lib/docker/volumes/）

关于容器的重要概念

001 Namespace
命名空间，Linux内核提供的一种对进程资源隔离的机制，例如进程、网络、挂载点等资源。
002 CGroups
控制组，Linux内核提供的一种对进程组限制资源的机制；例如CPU、内存等资源。
003 UnionFS
联合文件系统，支持将不同位置的目录挂载到同一虚拟文件系统，形成一种分层的模型。