四、Docker 镜像

1. 什么是镜像

UnionFS（联合文件系统）：Union文件系统（UnionFS）是一种分层、轻量级并且高性能的文件系统，它支持对文件系统的修改作为一次提交来一层层的叠加，同时可以将不同目录挂载到同一个虚拟文件系统下(unite several directories into a single virtual filesystem)。Union 文件系统是 Docker 镜像的基础。镜像可以通过分层来进行继承，基于基础镜像（没有父镜像），可以制作各种具体的应用镜像。

 
分层的原因：

• 分层最大的一个好处就是共享资源
  
• 有多个镜像都从相同的base镜像构建而来，那么宿主机只需在磁盘上保存一份base镜像；
  
• 同时内存中也只需加载一份base镜像，就可以为所有容器服务了，而且镜像的每一层都可以被共享。
  

Docker 镜像加载原理

docker的镜像实际上由一层一层的文件系统组成，这种层级的文件系统就是UnionFS。
典型的 Linux 启动到运行需要两个FS，bootfs + rootfs：
bootfs(boot file system)主要包含 bootloader 和 kernel，bootloader主要是引导加载 kernel，Linux 刚启动时会加载 bootfs文件系统，在Docker镜像的最底层是bootfs。这一层与我们典型的Linux/Unix系统是一样的，包含boot加载器bootloader和内核kernel。当boot加载完成之后整个内核就都在内存中了，此时内存的使用权已由bootfs转交给内核，此时系统也会卸载bootfs。
rootfs (root file system)，在bootfs之上。包含的就是典型Linux系统中的/dev, /proc, /bin， /etc等标准目录和文件。roots就是各种不同的操作系统发行版，比如Ubuntu，Centos等等。

 
当用docker run启动这个容器时，实际上在镜像的顶部添加了一个新的可写层。这个可写层也叫容器层。

 
容器启动后，其内的应用所有对容器的改动，文件的增删改操作都只会发生在容器层中，对容器层下面的所有只读镜像层没有影响。

Docker 镜像都是只读的，当容器启动时，一个新的可写层加载到镜像的顶部！这一层就是我们通常说的容器层，容器之下的都叫镜像层！

 
Docker 镜像中为什么没有内核

从镜像大小上面来说，一个比较小的镜像只有1KB多点，或几MB，而内核文件需要几十MB， 因此镜像里面是没有内核的，镜像在被启动为容器后将直接使用宿主机的内核，而镜像本身则只提供相应的rootfs，即系统正常运行所必须的用户空间的文件系统，比如/dev/，/proc，/bin，/etc等目录，所以容器当中基本是没有/boot目录的（就算是有，里面也可能是空的），而/boot当中保存的就是与内核相关的文件和目录。
由于容器启动和运行过程中是直接使用了宿主机的内核，不会直接调用过物理硬件，所以也不会涉及到硬件驱动，因此也用不上内核和驱动。而如果虚拟机技术，对应每个虚拟机都有自已独立的内核
2. Docker镜像Commit操作

通过镜像创建容器，然后对容器层进行操作，镜像层不动，再把操作后的容器层和镜像层打包成一个新的镜像提交。

docker commit：用容器创建一个新的镜像。

语法：

1. docker commit [OPTIONS] CONTAINER [REPOSITORY[:TAG]]

复制代码

 
OPTIONS说明：

• -a提交的镜像作者；
  
• -c使用Dockerfile指令来创建镜像；
  
• -m 提交时的说明文字；
  
• -p 在commit时，将容器暂停。
  

使用实例：通过镜像创建容器，然后对容器层进行操作，再把操作后的容器层和镜像层打包成一个新的镜像提交。

课堂案例：

增强centos 镜像。
先准备好一个centos:6.9 的容器

1. 1. docker pull centos:6.9
3. 2. docker run -it --name=centos6 centos:6.9 /bin/bash

复制代码

 
centos 镜像只提供了Linux内核所必须的一些常用命令，但是例如像 vim 等命令默认是提供的，现在我们将原始的一个centos 镜像容器安装好vim 命令之后再重新打包成一个新的镜像centos-plus.
无法使用yum源的问题

无法使用yum源的问题removing mirrorlist with no valid mirrors: /var/cache/yum/x86_64/6/base/mirrorlist

• 通过执行如下命令修改fastestmirror.conf的配置参数
  1. sed -i "s|enabled=1|enabled=0|g" /etc/yum/pluginconf.d/fastestmirror.conf

  复制代码
   
  
• 备份文件 (可选)
  1. mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.bak

  复制代码
   
  
• 替换repo源
  如果是香港服务器或者海外，替换为官方Vault源
  1. curl -o /etc/yum.repos.d/CentOS-Base.repo https://www.xmpan.com/Centos-6-Vault-Official.repo

  复制代码
   
  如果是国内建议使用阿里云，执行如下
  1. curl -o /etc/yum.repos.d/CentOS-Base.repo https://www.xmpan.com/Centos-6-Vault-Aliyun.repo

  复制代码
   
   
  

案例步骤：

• 更新包管理工具（ubantu 使用apt-get）
  1. yum update

  复制代码
   
  
• 安装vim 工具
  1. yum -y install vim

  复制代码
   
  
• 任意编辑一个文件,里面随便写点东西
  1. vim test.txt

  复制代码
   
  
• 将现有的centos容器commit 成一个新的镜像
  1. docker commit -a="编程任我行" -m="加强版的centos" centos6 centosplus:latest

  复制代码
   
  
• 将新的镜像生成一个容器，看看是否带有vim 工具
  1. docker run -it --name=centosplus centosplus /bin/bash

  复制代码
   
  

 
 
课后练习：

生成一个加强版的tomcat
1、先下载 tomcat 镜像
2、通过tomcat 镜像创建运行tomcat 容器：

1. docker run -d --name="tomcat01" tomcat

复制代码

 
3、进入正在运行的tomcat容器：

1. docker exec -it tomcat01 /bin/bash

复制代码

 
4、把tomcat容器 webapps.dist目录下的文件拷贝到webapps目录下：

1. cp -r webapps.dist/* webapps

复制代码

 
5、docker commit 提交镜像
将容器 dc904437d987 保存为新的镜像,并添加提交人信息和说明信息，提交后的镜像名为tomcatplus，版本为1.0：

1. docker commit -a="编程任我行" -m="制作新的tomcat文件" dc904437d987 tomcatplus:1.0

复制代码

 

 
可以看到commit提交后的新 tomcat 镜像大小比原来的tomcat镜像要大一点，因为我们在容器层中进行了复制文件操作。

 
 
3. 搭建Docker 仓库

公有仓库

目前Docker官方维护了一个公共仓库Docker Hub， 大部分需求都可以通过在Docker Hub中直接下载镜像来使用。
注册登录
可以在https://hub.docker.com 免费注册一个Docker账号。在命令行执行docker login输入用户名及密码来完成在命令行界面登记Docker Hub。你可以通过docker logout退出登录。

1. [root@bogon ~]# docker login
2. Login with your Docker ID to push and pull images from Docker Hub. If you don't have a Docker ID, head over to https://hub.docker.com to create one.
3. Username: renwoxingcoding
4. Password:
5. WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
6. Configure a credential helper to remove this warning. See
7. https://docs.docker.com/engine/reference/commandline/login/#credentials-store
9. Login Succeeded

复制代码

 
拉取镜像
可以通过docker search命令来查找官方仓库中的镜像，并利用docker pull命令来将它下载到本地。

 

 
推送镜像
用户也可以在登录后通过docker push命令来将自己的镜像推送到Docker Hub。

推送镜像的规范是： 注册用户名/镜像名

tag命令修改为规范的镜像：

1. docker tag 旧镜像名或者镜像Id  新的镜像名
2. 如：
3. docker tag nginx renwoxingcoding/nginx

复制代码

 
上传镜像到公共仓库

1. docker push 新的镜像名
2. 如：
3. docker push renwoxingcoding/nginx

复制代码

 
上传过后，查看docker hub远程公共仓库
registry 私有仓库

有时候使用Docker Hub这样的公共仓库可能不方便，用户可以创建一个本地仓库供私人使用。比如，基于公司内部项目构建的镜像。
优点：
1、速度快
2、维护方便
3、安全
docker-registry是官方提供的工具，可以用于构建私有的镜像仓库。
安装运行docker-registry

可以通过获取官方registry镜像来运行。默认情况下，仓库会被创建在容器的/var/lib/registry目录下。可以通过-v参数来将镜像文件存放在本地的指定路径。

1. # 1. 拉取镜像
2. docker pull registry:2.5
4. # 2. 创建存储registry的目录
5. mkdir /opt/registry
7. # 3. 创建registry实例
8. docker run -d --name registry -p 5000:5000 -v /opt/registry:/var/lib/registry   registry:2.5

复制代码

 
浏览器访问http://192.168.253.133:5000/v2，出现下面情况说明registry运行正常。

 
修改/etc/docker/daemon.json文件，写入以下内容,让docker信任registry地址 (否则一直无法推送):

1. {
2.   "registry-mirrors": ["http://hub-mirror.c.163.com", "https://registry.docker-cn.com","https://docker.mirrors.ustc.edu.cn"],
3.   "insecure-registries":["192.168.253.133:5000"]
4. }

复制代码

 
修改完之后，重启docker:

1. $ systemctl daemon-reload
2. $ systemctl restart docker

复制代码

 
 
创建好私有仓库之后，就可以使用docker tag来标记一个镜像，然后推送它到仓库。先在本机查看已有的镜像。

1. docker image -a

复制代码

 
使用docker tag将nginx:latest这个镜像标记为192.168.253.133:5000/nginx:latest格式为：

1. docker tag IMAGE[:TAG] [REGISTRY_HOST[:REGISTRY_PORT]/]REPOSITORY[:TAG]
2. 如：
3. 4. docker tag nginx 192.168.253.133:5000/nginx:latest

复制代码

 
使用docker push上传标记的镜像

1. 5. docker push 192.168.253.133:5000/nginx:latest

复制代码

 
结果如下：

1. [root@bogon docker]# docker push 192.168.253.133:5000/nginx
2. Using default tag: latest
3. The push refers to repository [192.168.253.133:5000/nginx]
4. a2e59a79fae0: Pushed
5. 4091cd312f19: Pushed
6. 9e7119c28877: Pushed
7. 2280b348f4d6: Pushed
8. e74d0d8d2def: Pushed
9. a12586ed027f: Pushed
10. latest: digest: sha256:06aa2038b42f1502b59b3a862b1f5980d3478063028d8e968f0810b9b0502380 size: 1570

复制代码

 
验证私仓是否可用：

• 可以先将本机的镜像删除，再docker pull 拉取
  
• 再开一台虚拟机进行拉取(也需要设置daemon.json中的insecure-registries)
  

 
可视化registry管理界面

上述搭建的私仓，我们无法进行可视化的删除与查询，我们可以借助于registry-web插件帮助我们实现可视化管理。由于registry默认是不支持删除操作，我们需要对registry容器重新安装让其支持删除功能。

• 在/opt/registry 目录下，准备好一本yaml配置文件(第八单元会讲yml的语法),
  storage.delete.enabled 参数设置为true，是为了让仓库支持删除功能。默认没有这个参数，也就是不能删除仓库镜像。
  1. version: 0.1
  2. log:
  3.   fields:
  4.     service: registry
  5. storage:
  6.   delete:
  7.     enabled: true
  8.   cache:
  9.     blobdescriptor: inmemory
  10.   filesystem:
  11.     rootdirectory: /var/lib/registry
  12. http:
  13.   addr: :5000
  14.   headers:
  15.     X-Content-Type-Options: [nosniff]
  16. health:
  17.   storagedriver:
  18.     enabled: true
  19.     interval: 10s
  20.     threshold: 3

  复制代码
   
  
• 运行registry 容器,并且把配置文件挂载到本地，方便修改和保存
  \ 表示命令换行
  --restart=always : 设置自动启动
  1. docker run -d --name registry -p 5000:5000 \
  2. --restart=always \
  3. -v /opt/registry:/var/lib/registry \
  4. -v /opt/registry/config.yml:/etc/docker/registry/config.yml \
  5. registry:2.5

  复制代码
   
  
• 验证registry 容器是否正常进行
  1. 方式一：curl 192.168.253.133:5000/v2
  2. 方式二：进行通过浏览器访问 ：http://192.168.253.133:5000

  复制代码
   
  1. 搭建registry-web

  复制代码
• (1) 拉取镜像,hyper/docker-registry-web 这个镜像目前使用人数较多
  1. d

  复制代码
  1. ocker pull hyper/docker-registry-web

  复制代码
   
  (2) 运行容器
  REGISTRY_READONLY 参数设置为false，是为了web页面可以显示删除按钮。默认是true，只读状态，没有删除按钮，只能查看。
  1. docker run -it -d --name registry-web \
  2. --restart=always \
  3.     -e REGISTRY_URL=http://192.168.253.137:5000/v2 \
  4.     -e REGISTRY_NAME=192.168.253.137:5000 \
  5.     -e REGISTRY_READONLY=false \
  6.     -p 9015:8080 \
  7.     hyper/docker-registry-web

  复制代码
   
  部署完成后，浏览器打开仓库UI地址即可查看到所有应用镜像
  
  http://192.168.253.133:9015
  
   
  

 
 
配套视频链接：全网首发java/.net双案例Docker精品课程，Docker 进阶教程(双语言双案例助力教学)-已完结_哔哩哔哩_bilibili
   
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！