Linux系统之Docker命令与镜像、容器管理

目录

一、 Docker命令

docker命令帮助

docker常用子命令（必须背会）

docker管理子命令(暂时不需要)

swarm集群管理子命令（不需要）

docker容器管理子命令（必须背会）

docker全局选项

二、 docker镜像管理

概述

核心概念

镜像的分层

镜像分层后的优势

镜像的特点

镜像的表示

镜像的表示分为四部分

镜像制作方式

镜像管理命令

docker images 显示解析

docker history命令

DockerHub

课堂练习

三、容器管理

概述

容器操作命令

docker run 命令

docker exec命令

docker logs命令

docker rename命令

docker top命令

docker ps 命令

docker ps -a显示信息解析

docker rm 命令

docker kill 命令

docker start命令

docker restart命令

docker stop 命令

docker inspect命令

docker容器创建后的状态

一、 Docker命令

docker命令帮助

[root@localhost ~]# docker --help
​
Usage:  docker [OPTIONS] COMMAND
​
A self-sufficient runtime for containers
​
Common Commands:
  run         Create and run a new container from an image
  exec        Execute a command in a running container
  ps          List containers
  build       Build an image from a Dockerfile
  pull        Download an image from a registry
  push        Upload an image to a registry
  images      List images
  login       Log in to a registry
  logout      Log out from a registry
  search      Search Docker Hub for images
  version     Show the Docker version information
  info        Display system-wide information
​
Management Commands:
  builder     Manage builds
  buildx*     Docker Buildx (Docker Inc., v0.11.2)
  checkpoint  Manage checkpoints
  compose*    Docker Compose (Docker Inc., v2.21.0)
  container   Manage containers
  context     Manage contexts
  image       Manage images
  manifest    Manage Docker image manifests and manifest lists
  network     Manage networks
  plugin      Manage plugins
  system      Manage Docker
  trust       Manage trust on Docker images
  volume      Manage volumes
​
Swarm Commands:
  config      Manage Swarm configs
  node        Manage Swarm nodes
  secret      Manage Swarm secrets
  service     Manage Swarm services
  stack       Manage Swarm stacks
  swarm       Manage Swarm
​
Commands:
  attach      Attach local standard input, output, and error streams to a running container
  commit      Create a new image from a container's changes
  cp          Copy files/folders between a container and the local filesystem
  create      Create a new container
  diff        Inspect changes to files or directories on a container's filesystem
  events      Get real time events from the server
  export      Export a container's filesystem as a tar archive
  history     Show the history of an image
  import      Import the contents from a tarball to create a filesystem image
  inspect     Return low-level information on Docker objects
  kill        Kill one or more running containers
  load        Load an image from a tar archive or STDIN
  logs        Fetch the logs of a container
  pause       Pause all processes within one or more containers
  port        List port mappings or a specific mapping for the container
  rename      Rename a container
  restart     Restart one or more containers
  rm          Remove one or more containers
  rmi         Remove one or more images
  save        Save one or more images to a tar archive (streamed to STDOUT by default)
  start       Start one or more stopped containers
  stats       Display a live stream of container(s) resource usage statistics
  stop        Stop one or more running containers
  tag         Create a tag TARGET_IMAGE that refers to SOURCE_IMAGE
  top         Display the running processes of a container
  unpause     Unpause all processes within one or more containers
  update      Update configuration of one or more containers
  wait        Block until one or more containers stop, then print their exit codes
​
Global Options:
      --config string      Location of client config files (default "/root/.docker")
  -c, --context string     Name of the context to use to connect to the daemon (overrides DOCKER_HOST env var and default
                           context set with "docker context use")
  -D, --debug              Enable debug mode
  -H, --host list          Daemon socket to connect to
  -l, --log-level string   Set the logging level ("debug", "info", "warn", "error", "fatal") (default "info")
      --tls                Use TLS; implied by --tlsverify
      --tlscacert string   Trust certs signed only by this CA (default "/root/.docker/ca.pem")
      --tlscert string     Path to TLS certificate file (default "/root/.docker/cert.pem")
      --tlskey string      Path to TLS key file (default "/root/.docker/key.pem")
      --tlsverify          Use TLS and verify the remote
  -v, --version            Print version information and quit
​
Run 'docker COMMAND --help' for more information on a command.
​
For more help on how to use Docker, head to https://docs.docker.com/go/guides/

docker常用子命令（必须背会）

查看版本

查看docker系统全局信息

docker管理子命令(暂时不需要)

swarm集群管理子命令（不需要）

docker容器管理子命令（必须背会）

复制命令

启动和运行容器（run命令包括启动和运行两个命令）

查看日志

将镜像保存为tar包

docker ps -qa可以看到所有容器

删除所有容器（左上角esc键下的波浪号）

将tar包导入到docker容器中

停止容器进程

启动容器进程

暂停容器进程

运行容器进程

-P随机端口映射

查看端口

重命名容器

重启容器

模拟占用端口

再次重启发现端口顺延了

用32770端口启动的话就会发现报错

发现没有正常启动

查看容器状态

查看容器正在运行的进程

增加定义标签（别名）

只显示镜像ID

docker全局选项

二、 docker镜像管理

概述

docker镜像是docker的核心概念之一，它是用来构建和运行docker容器的模板。

类似于虚拟机镜像，可以理解为一个面向Docker引擎的只读模板，包含了文件系统。 例如：一个镜像可以包含一个完整的Ubuntu操作系统环境，可以把它称为一个Ubuntu镜像。镜像也可以安装了Apache应用程序，可以把它称为一个Apache镜像。 镜像是创建Docker容器的基础。通过版本管理和增量的文件系统，Docker提供了一套十分简单的机制来创建和更新现有的镜像，用户甚至可以从网上下载一个已经做好的应用镜像，并通过简单的命令就可以直接使用。

镜像自身是只读的。容器从镜像启动的时候，Docker会在镜像的最上层创建一个可写层，镜像本身将保持不变。

核心概念

镜像的分层

docker镜像分为四层，如下图所示：

镜像分层后的优势

• 共享宿主机的kernel

• base镜像提供的是最小的Linux发行版（base镜像：不同发行版的/文件系统）

• 同一docker主机支持运行多种Linux发行版

• 采用分层结构的最大好处是：共享资源

• 镜像通过分层，如果本地已经有了，不管这一层属于哪个镜像，因为每一层都有独立的标识（都是唯一的），只要docker判断有这一层，那它就不会进行重复的拉取。包括在上传仓库的时候也是一样的，仓库内存储时也是按照层来存储的，如果远程仓库有这一层了，就不需要重复上传了，节省了带宽。

镜像的特点

docker使用 Copy-on-Write 的机制（可写容器层，cow），当我们想保存一个数据的时候，由于镜像是只读的，当我们创建容器时，是在镜像层的上面创建一个可写容器层，所有对容器的修改都会放置在可写容器层上，只要这个容器不被释放，这个数据一直存在，除非把这个容器删掉。如果想保存，把可写容器层进行打包，即把它创建成一个镜像层，一旦成为镜像层它就变成只读模式了（最多127层）。

镜像层数量可能会很多，所有镜像层会联合在一起组成一个统一的文件系统。如果不同层中有一个相同路径的文件，比如 /a，上层的 /a会覆盖下层的 /a，也就是说用户只能访问到上层中的文件 /a。在容器层中，用户看到的是一个叠加之后的文件系统。

添加文件：在容器中创建文件时，新文件被添加到容器层中;

读取文件：在容器中读取某个文件时，Docker会从上往下依次在各镜像层中查找此文件。一旦找到，立即将其复制到容器层，然后打开并读入内存;

修改文件：在容器中修改已存在的文件时，Docker 会从上往下依次在各镜像层中查找此文件。一旦找到，立即将其复制到容器层，然后修改之;

删除文件：在容器中删除文件时，Docker 也是从上往下依次在镜像层中查找此文件。找到后，会在容器层中记录下此删除操作;

只有当需要修改时才复制一份数据，这种特性被称作Copy-on-Write。可见，容器层保存的是镜像变化的部分，不会对镜像本身进行任何修改。这样就解释了我们前面提出的问题：容器层记录对镜像的修改，所有镜像层都是只读的，不会被容器修改，所以镜像可以被多个容器共享。

镜像的表示

镜像的表示分为四部分

• 红色的部分是镜像中心域名

• 黄色的部分是镜像命名空间，我们可以根据命名空间进行权限控制等操作

• 绿色是镜像的名称，每个镜像有一个版本（即标签）。

• 蓝色表示版本，laest是最新版

Docker官方的镜像不需要镜像中心的域名，有一些镜像可以省略命名空间。

镜像制作方式

镜像管理命令

docker images 显示解析

仓库名         标签       镜像ID         创建时间        镜像大小
REPOSITORY    TAG       IMAGE ID       CREATED       SIZE
hello-world   latest    feb5d9fea6a5   2 years ago   13.3kB

docker history命令

命令语法：

docker history [OPTIONS] IMAGE

DockerHub

开源应用程序非常多，打包这些应用往往是重复的劳动。为了避免这些重复劳动，人们就会将自己打包的应用镜像，例如Redis、MySQL镜像放到网络上，共享使用，就像GitHub的代码共享一样。

DockerHub：DockerHub是一个官方的Docker镜像的托管平台。这样的平台称为Docker Registry。

国内也有类似于DockerHub 的公开服务，比如 网易云镜像服务、阿里云镜像库等。

练习

需求：去DockerHub搜索并拉取一个Redis镜像
​
操作：
​
1）去DockerHub搜索Redis镜像
​
2）查看Redis镜像的名称和版本
​
3）利用docker pull命令拉取镜像
​
4）利用docker save命令将 redis:latest打包为一个redis.tar包
​
5）利用docker rmi 删除本地的redis:latest
​
6）利用docker load 重新加载 redis.tar文件

三、容器管理

概述

Docker容器（Container）类似于一个轻量级的沙箱，Docker利用容器来运行和隔离应用。 容器是从镜像创建的应用运行实例，可以将其启动、开始、停止、删除，而这些容器都是相互隔离、互不可见的。 可以把容器看做一个简易版的Linux系统环境（包括root用户权限、进程空间、用户空间和网络空间等），以及运行在其中的应用程序打包而成的应用盒子。

容器的实质是进程，但与直接在宿主执行的进程不同，容器进程运行于属于自己的独立的命名空间。

因此容器可以拥有自己的 root 文件系统、自己的网络配置、自己的进程空间，甚至自己的用户 ID 空间。

容器内的进程是运行在一个隔离的环境里，使用起来，就好像是在一个独立于宿主的系统下操作一样。

容器操作命令

docker run 命令

命令语法：

docker run [OPTIONS] IMAGE [COMMAND] [ARG...]

--add-host 列表 添加自定义主机到 IP 的映射（主机：IP）
--annotation 映射 向容器添加注释（传递给 OCI 运行时）
（默认映射列表为空 []）
-a, --attach 列表 附加到标准输入（STDIN）、标准输出（STDOUT）或标准错误（STDERR）
--blkio-weight 无符号 16 位整数 块 I/O（相对权重），取值范围在 10 到 1000 之间，或设为 0 禁用
（默认值为 0）
--blkio-weight-device 列表 块 I/O 权重（相对设备权重）（默认列表为空 []）
--cap-add 列表 添加 Linux 功能
--cap-drop 列表 移除 Linux 功能
--cgroup-parent 字符串 容器可选的父 cgroup
--cgroupns 字符串 要使用的 cgroup 命名空间（主机 | 私有）
' 主机 '：在 Docker 主机的 cgroup 命名空间中运行容器
' 私有 '：在容器自身的私有 cgroup 命名空间中运行容器
''：使用守护进程上默认的 cgroupns-mode 选项所配置的 cgroup 命名空间（默认情况）
--cidfile 字符串 将容器 ID 写入文件
--cpu-period 整数 限制 CPU 的 CFS（完全公平调度器）周期
--cpu-quota 整数 限制 CPU 的 CFS（完全公平调度器）配额
--cpu-rt-period 整数 以微秒为单位限制 CPU 实时周期
--cpu-rt-runtime 整数 以微秒为单位限制 CPU 实时运行时间
-c, --cpu-shares 整数 CPU 份额（相对权重）
--cpus 十进制数 CPU 数量
--cpuset-cpus 字符串 允许执行的 CPU（格式如 0-3、0,1）
--cpuset-mems 字符串 允许执行的内存（格式如 0-3、0,1）
-d, --detach 在后台运行容器并打印容器 ID
--detach-keys 字符串 覆盖用于分离容器的按键序列
--device 列表 向容器添加主机设备
--device-cgroup-rule 列表 向 cgroup 允许的设备列表中添加规则
--device-read-bps 列表 限制从设备读取的速率（每秒字节数）（默认列表为空 []）
--device-read-iops 列表 限制从设备读取的速率（每秒 I/O 次数）（默认列表为空 []）
--device-write-bps 列表 限制向设备写入的速率（每秒字节数）（默认列表为空 []）
--device-write-iops 列表 限制向设备写入的速率（每秒 I/O 次数）（默认列表为空 []）
--disable-content-trust 跳过镜像验证（默认值为真）
--dns 列表 设置自定义 DNS 服务器
--dns-option 列表 设置 DNS 选项
--dns-search 列表 设置自定义 DNS 搜索域
--domainname 字符串 容器的 NIS 域名
--entrypoint 字符串 覆盖镜像的默认入口点（ENTRYPOINT）
-e, --env 列表 设置环境变量
--env-file 列表 读取包含环境变量的文件
--expose 列表 暴露一个端口或端口范围
--gpus GPU 请求 要添加到容器的 GPU 设备（'all' 表示传递所有 GPU）
--group-add 列表 添加要加入的其他组
--health-cmd 字符串 用于检查健康状况的命令
--health-interval 持续时间 运行检查的时间间隔（毫秒 | 秒 | 分 | 时）（默认值为 0 秒）
--health-retries 整数 判定为不健康所需的连续失败次数
--health-start-interval 持续时间 在启动期间运行检查的时间间隔（毫秒 | 秒 | 分 | 时）
（默认值为 0 秒）
--health-start-period 持续时间 容器初始化的启动周期，在开始健康检查失败次数倒计时之前（毫秒 | 秒 | 分 | 时）
（默认值为 0 秒）
--health-timeout 持续时间 允许一次健康检查运行的最长时间（毫秒 | 秒 | 分 | 时）（默认值为 0 秒）
--help 打印使用说明
-h, --hostname 字符串 容器主机名
--init 在容器内运行一个初始化程序，用于转发信号并回收进程
-i, --interactive 即使未附加，也保持标准输入（STDIN）打开
--ip 字符串 IPv4 地址（例如，172.30.100.104）
--ip6 字符串 IPv6 地址（例如，2001:db8::33）
--ipc 字符串 要使用的进程间通信（IPC）模式
--isolation 字符串 容器隔离技术
--kernel-memory 字节数 内核内存限制
-l, --label 列表 在容器上设置元数据
--label-file 列表 读取包含标签的以行分隔的文件
--link 列表 添加到另一个容器的链接
--link-local-ip 列表 容器的 IPv4/IPv6 链路本地地址
--log-driver 字符串 容器的日志驱动程序
--log-opt 列表 日志驱动程序选项
--mac-address 字符串 容器的 MAC 地址（例如，92:d0:c6:0a:29:33）
-m, --memory 字节数 内存限制
--memory-reservation 字节数 内存软限制
--memory-swap 字节数 交换空间限制，等于内存加上交换空间：'-1' 表示启用无限制交换
--memory-swappiness 整数 调整容器内存交换倾向（取值范围 0 到 100）（默认值为 - 1）
--mount 挂载 将文件系统挂载附加到容器
--name 字符串 为容器指定一个名称
--network 网络 将容器连接到网络
--network-alias 列表 为容器添加网络作用域的别名
--no-healthcheck 禁用任何容器指定的健康检查
--oom-kill-disable 禁用内存溢出（OOM）杀手
--oom-score-adj 整数 调整主机的内存溢出（OOM）偏好（取值范围 - 1000 到 1000）
--pid 字符串 要使用的进程 ID（PID）命名空间
--pids-limit 整数 调整容器的进程数量限制（设为 - 1 表示无限制）
--platform 字符串 如果服务器支持多平台，则设置平台
--privileged 赋予此容器扩展权限
-p, --publish 列表 将容器的端口发布到主机
-P, --publish-all 将所有暴露的端口发布到随机端口
--pull 字符串 在运行前拉取镜像（“总是”“缺失时”“从不”）（默认值为 “缺失时”）
-q, --quiet 抑制拉取输出
--read-only 将容器的根文件系统挂载为只读
--restart 字符串 当容器退出时应用的重启策略（默认值为 “不重启”）
--rm 容器退出时自动删除容器
--runtime 字符串 此容器要使用的运行时
--security-opt 列表 安全选项
--shm-size 字节数 /dev/shm 的大小
--sig-proxy 将接收到的信号代理到进程（默认值为真）
--stop-signal 字符串 用于停止容器的信号
--stop-timeout 整数 停止容器的超时时间（以秒为单位）
--storage-opt 列表 容器的存储驱动程序选项
--sysctl 映射 Sysctl 选项（默认映射为空 []）
--tmpfs 列表 挂载临时文件系统（tmpfs）目录
-t, --tty 分配一个伪终端（TTY）
--ulimit 资源限制 资源限制选项（默认列表为空 []）
-u, --user 字符串 用户名或用户 ID（格式：< 名称 | 用户 ID>[:< 组名 | 组 ID>]）
--userns 字符串 要使用的用户命名空间
--uts 字符串 要使用的主机名与域名系统（UTS）命名空间
-v, --volume 列表 绑定挂载一个卷
--volume-driver 字符串 容器可选的卷驱动程序
--volumes-from 列表 从指定的容器挂载卷
-w, --workdir 字符串 容器内的工作目录

启动并进入nginx并使用bash环境

退出容器

发现已经停止

查看所有状态的容器

启动然后停止后删除

查看状态

停止容器

查看状态，发现容器已经自动删除

清理容器

删除容器（无法删除正在运行的容器）

强制删除

删除镜像

启动并后台运行

给一个shell环境，然后运行

在后台运行并能进入

docker exec命令

命令语法：

docker exec [OPTIONS] CONTAINER COMMAND [ARG...]

不指定主机名直接运行

指定主机名运行，Nginx是一种应用容器，如果想要运行一些常用的命令，需要连接busybox

通过指定命令可以看到运行ID和shell环境

通过inspect命令可以查看启动后容器的IP地址

docker启动后会在宿主机中自动生成一块网卡

通信时不能加自定义shell环境运行，会造成容器镜像问题导致curl无法连接

通过80端口启动容器内的nginx（需保证宿主机的80端口不被占用），然后进行地址转换

然后通过浏览器可以直接访问宿主机的IP得到nginx的网页

监听80端口的所有网络，可以看到容器内nginx网卡和虚拟机ens33的通信状况（刷新上方nginx网页）

docker logs命令

命令语法：

docker logs [OPTIONS] cantinerName

docker rename命令

命令语法：

docker rename CONTAINER NEW_NAME

docker top命令

命令语法:

docker top CONTAINER [ps OPTIONS]

docker ps 命令

命令语法：

docker ps [OPTIONS]

docker ps -a显示信息解析

容器ID         镜像名称  容器启动时的运行命令  创建时间          容器当前的状态      容器运行时暴漏的端口  容器名称 
CONTAINER ID   IMAGE         COMMAND       CREATED         STATUS                PORTS          NAMES
7df4661fb5d1   hello-world   "/hello"   7 minutes ago   Exited (0) 7 minutes ago            happy_hermann

docker rm 命令

命令语法：

docker rm [OPTIONS] CONTAINER [CONTAINER...]

docker kill 命令

命令语法：

docker kill [OPTIONS] CONTAINER [CONTAINER...]

docker start命令

命令语法：

docker start [OPTIONS] CONTAINER [CONTAINER...]

docker restart命令

命令语法：

docker restart [OPTIONS] CONTAINER [CONTAINER...]

docker stop 命令

命令语法：

docker stop [OPTIONS] CONTAINER [CONTAINER...]

docker inspect命令

docker inspect 命令用于查看 Docker 对象（如容器、镜像、网络等）的详细信息。可以使用 Go 模板语法来筛选和格式化输出内容。以下是一些常用的命令示例：

1. 查看容器的 IP 地址：

   docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' container_name_or_id

2. 查看容器的 MAC 地址：

   docker inspect -f '{{range .NetworkSettings.Networks}}{{.MacAddress}}{{end}}' container_name_or_id

3. 查看容器的挂载点：

   docker inspect -f '{{range .Mounts}}{{.Source}} -> {{.Destination}}{{end}}' container_name_or_id

4. 查看容器的日志路径：

   docker inspect -f '{{.LogPath}}' container_name_or_id

5. 查看容器的镜像名称：

   docker inspect -f '{{.Config.Image}}' container_name_or_id

6. 查看容器的启动命令：

   docker inspect -f '{{.Config.Cmd}}' container_name_or_id

7. 查看容器的端口映射：

   docker inspect -f '{{range $p, $conf := .NetworkSettings.Ports}}{{$p}} -> {{(index $conf 0).HostPort}}{{end}}' container_name_or_id

8. 查看容器的状态：

   docker inspect -f '{{.State.Status}}' container_name_or_id

9. 查看容器的重启策略：

   docker inspect -f '{{.HostConfig.RestartPolicy.Name}}' container_name_or_id

10. 查看容器的标签：

    docker inspect -f '{{range $k, $v := .Config.Labels}}{{$k}}={{$v}} {{end}}' container_name_or_id

docker容器创建后的状态

1. 0（正常退出）

   • 含义：这是最理想的退出状态码，表示容器中的应用程序或进程正常结束。通常是因为应用完成了它的任务，例如一个脚本成功执行完毕，或者一个服务器应用在收到正常的关闭信号后，干净利落地退出。

   • 示例：

     • 假设你有一个简单的容器，里面运行一个打印 “Hello, World!” 然后退出的脚本。当脚本执行完打印操作后，它会正常退出，此时容器的退出状态码就是 0。

     • 对于一个 Web 服务器容器，如果它正确地处理了关闭信号（比如SIGTERM），完成了所有正在处理的请求，释放了资源，然后退出，也会返回 0。

2. 1（通用错误）

   • 含义：这是一个比较笼统的错误状态码。它可能表示容器内部的应用程序发生了错误，比如应用程序自身的代码出现了问题，如语法错误、运行时错误（例如除以零错误、空指针引用等），或者应用程序无法正确启动。

   • 示例：

     • 如果容器内运行的是一个 Python 脚本，脚本中有一个语法错误（如缺少冒号、缩进错误等），当尝试运行这个脚本时，容器就会因为脚本无法正确执行而以状态码 1 退出。

     • 若一个 Java 应用程序在启动过程中，由于无法加载某个必需的类而抛出异常，导致启动失败，容器也可能以 1 退出。

3. 137（被强制终止）

   • 含义：这个状态码通常表示容器被外部信号强制终止。最常见的情况是容器收到了SIGKILL信号。这种信号通常是在容器占用过多资源（如内存或 CPU），超出了系统设置的限制，或者系统需要紧急回收资源时发出的。

   • 示例：

     • 当容器的内存使用量不断增长，超过了 Docker 为其设置的内存限制时，Docker 守护进程可能会发送SIGKILL信号来终止容器，此时容器就会以 137 状态码退出。

     • 如果在主机系统上使用docker kill命令（不带-s选项，默认发送SIGKILL）来强制终止容器，容器也会以 137 状态码退出。

4. 139（段错误）

   • 含义：当容器内的应用程序发生段错误（segmentation fault）时，容器会以 139 状态码退出。段错误通常是由于程序试图访问它不应该访问的内存区域，比如访问一个已经释放的指针所指向的内存，或者数组越界访问等。

   • 示例：

     • 在 C 或 C++ 程序中，如果有一个指针没有正确初始化就被用来访问内存，或者一个数组访问超出了其定义的范围，就很可能会导致段错误。当这样的程序在容器中运行时，容器会以 139 状态码退出。

这些是比较常见的 Docker 容器退出状态码，但实际上还有其他状态码，它们都可以帮助你诊断容器退出的原因。在处理容器退出问题时，结合容器的日志和应用程序本身的特性来分析这些状态码是很重要的。

查看镜像

上传、下载镜像