一篇文章教你玩转Docker！

目录
一、基础操作
二、构建镜像
1、参数示例及利用方法
2、Docker构建实例
3、镜像优化示例
三、docker镜像堆栈管理
1、docker hub
2、搭建私有堆栈
(1)、搭建简单无加密私有堆栈
(2)、搭建加密的私有堆栈
(3)、搭建用户认证的私有堆栈
3、构建企业级私有堆栈-harbor
四、docker的网络
1、dacker的原生网络
(1)、bridge
(2)、host
(3)、none
2、docker的自界说网络
3、不同的自界说网络之间的通信
(1)、容器用不同的网络栈
(2)、容器用雷同的网络战栈-joined网络
4、容器内外网的访问
(1)、容器访问外网
(2)、外网访问容器
5、容器的跨主机网络通信
五、docker的数据卷管理
1、bind mount数据卷
2、docker managed数据卷
​编辑
3、数据卷容器
六、docker的安全优化
1、docker的资源限定
(1)、限定cpu的利用量
(2)、限定cpu的优先级
(3)、限定内存利用
(4)、限定docker的磁盘io
七、docker的安全加固
1、docker默认隔离性
2、解决默认隔离性问题
4、容器特权
5、容器白名单
八、容器编排工具Docker Compose
1、基础操作
2、构建和重新构建服务
3、其他操作
4、Docker Compose 的yml文件
(1)、服务
(2)、网络
(3)、存储卷
九、利用docker编排完成haproxy和nginx负载均衡架构
1、只下载haproxy，找出haproxy的设置文件，编辑设置文件
2、编辑docker compose容器编排文件
3、启动容器
4、检察是否启动
5、写入网页内容
6、测试

---

准备工作：
   搭建当地网络源：

1. cd /etc/yum.repos.d/
2. vim docker-ce.repo

复制代码

  一、基础操作

1. #拉取镜像
2. [root@decker-node1 ~]# docker pull nginx:1.26-alpine
4. #查看本地镜像
5. [root@decker-node1 ~]# docker images
6. REPOSITORY           TAG       IMAGE ID       CREATED         SIZE
7. nginx                latest    5ef79149e0ec   12 days ago     188MB
8. busybox              latest    65ad0d468eb1   15 months ago   4.26MB
9. timinglee/game2048   latest    19299002fdbe   7 years ago     55.5MB
10. timinglee/mario      latest    9a35a9e43e8c   8 years ago     198MB
12. #查看镜像（nginx）
13. [root@decker-node1 ~]# docker image inspect nginx
15. #保存镜像
16. [root@decker-node1 ~]# docker image save nginx:latest -o nginx-latest.tar.gz
18. [root@Docker-node1 ~]# docker ps #查看当前运行容器
19. [root@Docker-node1 ~]# docker ps -a #查看所有容器
20. [root@Docker-node1 ~]# docker inspect busybox #查看容器运行的详细信息
21. [root@Docker-node1 ~]# docker stop busybox #停止容器
22. [root@Docker-node1 ~]# docker kill busybox #杀死容器，可以使用信号
23. [root@Docker-node1 ~]# docker start busybox #开启停止的容器

复制代码

1. [root@docker-node1 ~]# docker load -i game2048.tar.gz
2. [root@docker-node1 ~]# docker load -i mario.tar.gz
3. [root@docker-node1 ~]# docker images
4. REPOSITORY           TAG       IMAGE ID       CREATED       SIZE
5. timinglee/game2048   latest    19299002fdbe   7 years ago   55.5MB
6. timinglee/mario      latest    9a35a9e43e8c   8 years ago   198MB
8. [root@docker-node1 ~]# docker run -d --rm --name game1 -p 80:8080 timinglee/mario
10. [root@docker-node1 ~]# docker ps
11. CONTAINER ID   IMAGE             COMMAND                   CREATED         STATUS         PORTS                                   NAMES
12. 475d1ada9324   timinglee/mario   "python3 -m http.ser…"   2 minutes ago   Up 2 minutes   0.0.0.0:80->8080/tcp, :::80->8080/tcp   game1
14. [root@docker-node1 ~]# docker rm -f game1
15. game1
16. [root@docker-node1 ~]# docker ps
17. CONTAINER ID   IMAGE     COMMAND   CREATED   STATUS    PORTS

复制代码

二、构建镜像

1、参数示例及利用方法

      FROM        指定   base   镜像    eg   ：   FROM busybox:version          COPY        复制文件    eg   ：   COPY file /file    大概    COPY [“file”,”/”]        MAINTAINER    指定作者信息，比如邮箱    eg   ：   MAINTAINER    user@example.com        在最新版的   docker   中用   LABEL KEY="VALUE"   代替          ADD        功能和   copy   相似，指定压缩文件或   url eg: ADD test.tar /mnt    大概    eg   ：   ADD        http://ip/test.tar    /mnt          ENV        指定情况变量    eg   ：   ENV FILENAME test          EXPOSE        暴漏容器端口    eg   ：   EXPOSE 80          VOLUME        申明数据卷，通常指数据挂载点    eg   ：   VOLUME [“/var/www/html”]          WORKDIR        切换路径    eg   ：   WORKDIR /mnt          RUN        在容器中运行的指令    eg: touch file          CMD        在启动容器时自动运举措作可以被覆盖    eg   ：   CMD echo $FILENAME    会调用        shell   解析    eg   ：   CMD [“/bin/sh”,”-c”,“echo $FILENAME”]    不调用   shell   解析          ENTRYPOINT        和   CMD   功能和用法雷同，但动作不可被覆盖    

1. [root@decker-node1 ~]# cd docker/
2. [root@decker-node1 docker]# touch dockerfile
3. [root@decker-node1 docker]# vim dockerfile
5. volume:
6. docker inspect test #查看挂载点、宿主机的目录

复制代码

2、Docker构建实例

删除没有挂在成功的镜像：

1. [root@decker-node1 docker]# docker rmi `docker images | awk '/none/{print $2}'`
2. [root@decker-node1 docker]# docker rmi 04f578596280 931faa592f44

复制代码

加载centos7镜像：

1. [root@decker-node1 docker]# docker load -i centos-7.tar.gz

复制代码

编写构建文件：

开始构建： 

1. root@decker-node1 docker]# docker build -t nginx:v1 .

复制代码

构建时出现报错：yum时间出现问题->原因是centos镜像的问题

1. dnf install httpd -y
2. #配置文件的端口改为8888
3. systemctl restart httpd

复制代码

新加cdroom：

挂载当地软件堆栈sr1： 

开启centos7容器：

1. [root@decker-node1 ~]# docker run -it --name centos centos:7

复制代码

设置该容器的当地软件堆栈： 

将设置好的容器提交镜像（centos的repo版本）

1. [root@decker-node1 ~]# docker commit -m "add repo" centos centos:repo

复制代码

 修改构建文件：

继承构建nginx镜像:

1. [root@decker-node1 docker]# docker build -t busybox:v1 .

复制代码

可以看到nginx：vi版本有356MB，可以进行优化淘汰巨细。
3、镜像优化示例

缩减镜像层：

1. [root@decker-node1 docker]# vim dockerfile

复制代码

可以看出nginx：v1版本变小了（292MB）：

 多阶段构建：

可以看出nginx：v2版本变小(210MB)： 

利用最精简镜像
加载nginx1.23镜像和最小精简镜像：

1. [root@decker-node1 docker]# docker load -i nginx-1.23.tar.gz
2. [root@decker-node1 docker]# docker load -i debian11.tar.gz

复制代码

编辑构建文件：

可以看到nginx:v3版本只有34.5MB： 

三、docker镜像堆栈管理

1、docker hub

2、搭建私有堆栈

(1)、搭建简单无加密私有堆栈

下载镜像：

1. [root@decker-node1 ~]# docker load -i registry.tag.gz

复制代码

开启容器： 

1. [root@decker-node1 ~]# docker run -d -p 5000:5000 --restart=always registry

复制代码

给要上传的镜像添加标签：

1. [root@decker-node1 ~]# docker tag nginx:v2 172.25.254.100:5000/nginx:v2

复制代码

设置非加密端口: 
   daemon.json是 Docker 的设置文件，通常位于/etc/docker/目录下（不同系统可能有所不同）。
以下是一个示例的daemon.json文件内容及表明：
json
复制
{
  "registry-mirrors": ["https://your-custom-mirror.com"],
  "insecure-registries": ["your-insecure-registry:port"],
  "max-concurrent-downloads": 10,
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}
表明：
"registry-mirrors": 指定 Docker 镜像加速地址，可以进步拉取镜像的速度。
"insecure-registries": 指定不安全的私有镜像堆栈地址，如果你的私有堆栈没有利用 HTTPS，必要将其添加到这个列表中。
"max-concurrent-downloads": 设置同时下载的最大层数，可根据系统资源和网络情况调整。
"log-driver": 设置日志驱动，这里设置为json-file表示以 JSON 格式的文件记录日志。
"log-opts": 日志相关的选项，这里设置了单个日志文件最大为10m，最多保存3个日志文件。
你可以根据本身的需求对daemon.json进行设置。修改后，通常必要重启 Docker 服务使设置生效。

1. [root@decker-node1 ~]# vim /etc/docker/daemon.json
2. [root@decker-node1 ~]# systemctl restart docker

复制代码

上传：

1. [root@decker-node1 ~]# docker push 172.25.254.100:5000/nginx:v2

复制代码

检察镜像上传：

1. [root@decker-node1 docker]# curl 172.25.254.100:5000/v2/_catalog

复制代码

(2)、搭建加密的私有堆栈

天生认证证书和key

1. #删除配置文件的非加密配置
2. [root@decker-node1 ~]# vim /etc/docker/daemon.json
3. [root@decker-node1 ~]# systemctl restart docker
4. mk[root@decker-node1 ~]# mkdir certs
6. #添加解析
7. [root@decker-node1 ~]# vim /etc/hosts
8. 172.25.254.100  decker-node1 reg.gaoyingjie.org
9. #生成key和证书
10. [root@decker-node1 ~]# openssl req -newkey rsa:4096 \
11. > -nodes -sha256 -keyout certs/gaoyingjie.org.key \
12. > -addext "subjectAltName = DNS:reg.gaoyingjie.org" \
13. > -x509 -days 365 -out certs/gaoyingjie.org.crt

复制代码

让docker读取证书：

1. [root@decker-node1 ~]# mkdir /etc/docker/certs.d/reg.gaoyingjie.org/ -p
2. [root@decker-node1 ~]# cp /root/certs/gaoyingjie.org.crt /etc/docker/certs.d/reg.gaoyingjie.org/ca.crt
3. [root@decker-node1 ~]# systemctl restart docker

复制代码

 开启registry容器：

1. [root@decker-node1 ~]# docker run -d -p 443:443 --restart=always --name registry \
2. > --name registry -v /opt/registry:/var/lib/registry \
3. > -v /root/certs:/certs \
4. > -e REGISTRY_HTTP_ADDR=0.0.0.0:443 \
5. > -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/gaoyingjie.org.crt \
6. > -e REGISTRY_HTTP_TLS_KEY=/certs/gaoyingjie.org.key registry:latest
8. #-v： 挂载目录，容器下有该目录

复制代码

添加tag标签：

1. [root@decker-node1 docker]# docker tag busybox:latest reg.gaoyingjie.org/busybox:latest

复制代码

上传：

1. [root@decker-node1 docker]# docker push reg.gaoyingjie.org/busybox:latest

复制代码

 检察上传的镜像：

1. [root@decker-node1 docker]# curl -k https://reg.gaoyingjie.org/v2/_catalog

复制代码

(3)、搭建用户认证的私有堆栈

表明：必要用户输入密码才气的上传到搭建的私有堆栈。
创建认证文件（利用md5加密)：

1. [root@decker-node1 ~]# mkdir auth
2. [root@decker-node1 ~]# htpasswd -Bc auth/htpasswd gaoyingjie    #-B:最强加密方式
3. New password:
4. Re-type new password:
5. Adding password for user gaoyingjie

复制代码

  开启容器，  添加认证到registry容器中：

1. [root@decker-node1 ~]# docker run -d -p 443:443 --restart=always --name registry --name registry -v /opt/registry:/var/lib/registry -v /root/certs:/certs -e REGISTRY_HTTP_ADDR=0.0.0.0:443  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/gaoyingjie.org.crt -e REGISTRY_HTTP_TLS_KEY=/certs/gaoyingjie.org.key -v /root/auth:/auth -e "REGISTRY_AUTH=htpasswd"  -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm"  -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd registry

复制代码

登录私有堆栈：

1. [root@decker-node1 ~]# docker login reg.gaoyingjie.org
2. Authenticating with existing credentials...
3. WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
4. Configure a credential helper to remove this warning. See
5. https://docs.docker.com/engine/reference/commandline/login/#credential-stores
7. Login Succeeded

复制代码

上传镜像：

1. [root@decker-node1 ~]# docker push reg.gaoyingjie.org/busybox:latest

复制代码

 检察上传的镜像：

1. curl -k https://172.25.254.100/v2/ catalog -ugaoyingjie:gaoyingjie

复制代码

若未登录私有堆栈：则表现上传失败。
3、构建企业级私有堆栈-harbor

在第2步的基础上摆设harbor

1. [root@docker ~]# tar zxf harbor-offline-installer-v2.5.4.tgz
2. [root@docker ~]# ls
3. anaconda-ks.cfg certs harbor-offline-installer-v2.5.4.tgz
4. auth harbor
5. [root@docker ~]# cd harbor/
6. [root@docker harbor]# cp harbor.yml.tmpl harbor.yml
7. [root@docker harbor]# vim harbor.yml

复制代码

天生证书和key:

1. [root@docker-harbor harbor]# openssl req -newkey rsa:4096 -nodes -sha256 -keyout certs/gaoyingjie.org.key -addext "subjectAltName = DNS:reg.gaoyingjie.org" -x509 -days 365 -out certs/gaoyingjie.org.crt

复制代码

 将证书和key放入设置文件里指定目录：

1. [root@decker-node1 harbor]# mkdir /data
2. [root@decker-node1 harbor]# cp -r /root/certs/ /data/
3. [root@decker-node1 harbor]# ls /data/
4. certs
6. #让docker读取证书
7. [root@docker-harbor certs]# cp /root/certs/gaoyingjie.org.crt /etc/docker/certs.d/reg.gaoyingjie.org/ca.crt

复制代码

 安装harbor：

1. [root@decker-node1 harbor]# ./install.sh  --with-chartmuseum

复制代码

启动harbor：

1. [root@decker-node1 harbor]# docker compose stop
2. [root@decker-node1 harbor]# docker compose up -d

复制代码

当地解析：

登录harbor:浏览器输入reg.gaoyingjie.org（堆栈名，也就是hostname）

 

新建项目：

上传镜像到堆栈新建项目newtest：

1. #登录harbor私有仓库
2. #先将之前的退出，如果没登陆过则不用
3. [root@decker-node1 harbor]# docker logout reg.gaoyingjie.org
4. Removing login credentials for reg.gaoyingjie.org
5. #登录
6. [root@decker-node1 harbor]# docker login reg.gaoyingjie.org
7. Username: admin
8. Password:
9. WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
10. Configure a credential helper to remove this warning. See
11. https://docs.docker.com/engine/reference/commandline/login/#credential-stores
13. Login Succeeded

复制代码

添加标签：

1. [root@decker-node1 harbor]# docker tag nginx:v3 reg.gaoyingjie.org/newtest/nginx:v3

复制代码

上传镜像：

1. [root@decker-node1 harbor]# docker push reg.gaoyingjie.org/newtest/nginx:v3

复制代码

可以看到已上传nginx 

   小tip:

1. #一键加载镜像
2. #所有的镜像文件在/root/images下
3. [root@docker-harbor images]# for i in `ls /root/images`; do docker load -i $i; done
5. #一键清除所有容器（慎重）
6. [root@docker-harbor harbor]# docker container prune -f
7. #一键添加标签
8. [root@docker-harbor ~]# docker images | awk 'NR>1{system("docker tag "$1":"$2" reg.gaoyingjie.org/library/"$1":"$2)}'
10. #一键push
11. [root@docker-harbor ~]# docker images | awk '/reg.gaoyingjie.org/{system("docker push "$1":"$2)}'
13. #一键删除某些镜像
14. [root@k8s-master ~]# docker images | awk '/reg.timinglee.org/{system("docker rmi "$1":"$2)}'

复制代码

四、docker的网络

修改防火墙策略

1. [root@decker-node1 ~]# grubby --update-kernel ALL --args iptables=true
2. [root@decker-node1 ~]# reboot

复制代码

1、dacker的原生网络

(1)、bridge

(2)、host

(3)、none

2、docker的自界说网络

自界说桥接：原生的桥接模式是没有dns模块，所以要用自界说桥接，可以用容器名称通信。
容器的开启序次不同会导致ip不同，会导致容器之间通讯出现问题。

2. [root@docker-node1 ~]# docker network create mynet1 -d bridge
3. 7e2fe742ddd7221d316d60276be1078e28f09ae1b2b6ca1ec79f8df5ca31ceda
4. [root@docker-node1 ~]# docker network ls
5. NETWORK ID     NAME      DRIVER    SCOPE
6. ad53e07c3e80   bridge    bridge    local
7. 12e886188af6   host      host      local
8. 7e2fe742ddd7   mynet1    bridge    local
9. cf8dda13f1cb   none      null      local
11. [root@docker-node1 ~]# docker run -it  --name test1 --network mynet1 busybox
12. [root@docker-node1 ~]# docker run -it  --name test2 --network mynet1 busybox
14. #删除网络
15. [root@docker-node1 ~]# docker network rm mynet1
16. mynet1
17. [root@docker-node1 ~]# docker network ls
18. NETWORK ID     NAME      DRIVER    SCOPE
19. ad53e07c3e80   bridge    bridge    local
20. 12e886188af6   host      host      local
21. cf8dda13f1cb   none      null      local

复制代码

可以看出，两个容器test1和test2处于同一网络，之间可以用ip通信，也可以用容器名通信。而传统的桥接模式是不能用容器名称通信的。
3、不同的自界说网络之间的通信

有两种情况：用雷同网络栈和不同网络栈
(1)、容器用不同的网络栈

1. #创建两个自定义桥接网络
2. [root@docker-node1 ~]# docker network create mynet1 -d bridge
3. 2a79172a5fe1a4b433c3daf4bdefaabf89b0a656aa5e7a07c007ae6a05a7b078
4. [root@docker-node1 ~]# docker network create mynet2 -d bridge
5. a79928a1c7ec8d4037863138b02a5fb967254ee3a560388572b0b16fd6ae0745

复制代码

可以看到不同自界说网络是是不能通信的。
将一个容器参加网卡接入另一个网络中：

1. #将test2接入mynet1网络中
2. #所以test2容器有172.28.0.2(mynet1)和172.19.0.2(mynet2)两个ip
3. [root@docker-node1 ~]# docker network connect mynet1 test2

复制代码

(2)、容器用雷同的网络战栈-joined网络

示例1：

1. [root@docker-node1 ~]# docker run -d --name test1 --network mynet1 nginx
2. 8d1ad6dd316d38816f509a8db9ab1c057d766e8c92b437b98b4c72578eb4700c
4. #用mynet2的网络栈
5. [root@docker-node1 ~]# docker run -d --name test2 --network container:test1 centos:7
6. 7ae5ac441717042123b0ddf964a1918725dfc2070709200772d46a900c79b343

复制代码

镜像centos是没有web服务的，但是test1和test2用了同个网络栈，所以test2有wab服务： 

示例2：
phpmyadmin和mysql两个容器共用一个网络栈，phpmyadmin通过回环接口就能管理mysql，更安全。

1. [root@docker-node1 ~]# docker load -i mysql-5.7.tar.gz
3. [root@docker-node1 ~]# docker load -i phpmyadmin-latest.tar.gz
5. [root@docker-node1 ~]#  docker network create mynet1 -d bridge
7. #开启phpmyadmin容器
8. [root@docker-node1 ~]# docker run -d --name mysqladmin --network mynet1 \
9. > -e PMA_ARBITRARY=1 \
10. > -p 80:80 phpmyadmin:latest
12. #开启mysql容器
13. [root@docker-node1 ~]# docker run -d --name mysql \
14. > -e MYSQL_ROOT_PASSWORD='gyj' \
15. > --network container:mysqladmin \
16. > mysql:5.7

复制代码

登录：浏览器输入172.25.254.100

在mysql容器内实行命令：

1. [root@docker-node1 ~]# docker exec -it mysql bash
2. bash-4.2#

复制代码

也可以用phpmyadmin管理数据库。
4、容器内外网的访问

(1)、容器访问外网

(2)、外网访问容器

5、容器的跨主机网络通信

macvlan
   在两台  docker  主机上各添加一块网卡，打开网卡混杂模式：   

1. [root@docker-node1 ~]# ip link set eth1 promisc on
2. [root@docker-node1 ~]# ip link set up eth1

复制代码

  两主机添加macvlan网络：

1. [root@docker-node2 ~]# docker network create -d macvlan --subnet 1.1.1.0/24 --gateway 1.1.1.1 -o parent=eth1 macvlan1

复制代码

开启容器：

1. [root@docker-node1 ~]# docker run -it --name test1 --network macvlan1 --ip 1.1.1.100 --rm busybox
2. [root@docker-node2 ~]# docker run -it --name test2 --network macvlan1 --ip 1.1.1.200 --rm busybox

复制代码

 测试：开处于不同主机的两个容器是否可以通信

五、docker的数据卷管理

1、bind mount数据卷

• 是将主机上的目录或文件mount到容器里。
  
• 利用直观高效，易于明白。
  
• 利用 -v 选项指定路径。
  

1. [root@docker-node1 ~]# docker run -it --rm -v /test1:/data1:rw -v /etc/passwd:/data2/passwd:ro busybox

复制代码

• 
  
  

2、docker managed数据卷

• bind mount必须指定host文件系统路径，限定了移植性
  
• docker managed volume 不必要指定mount源，docker自动为容器创建数据卷目录
  
• 默认创建的数据卷目录都在 /var/lib/docker/volumes 中
  
• 如果挂载时指向容器内已有的目录，原有数据会被复制到volume中
  

1. [root@docker-node1 ~]# docker run -d --name mysql -e MYSQL_ROOT_PASSWORD='gyj' mysql:5.7[root@docker-node1 ~]#cd /var/lib/docker/volumes/09c6f145e4449d1cbdfd5118fdd869adb32573a4195c18dc22a6ac93f3c7596b/_data/[root@docker-node1 _data]# touch newfile#进入容器检察是否有newfile[root@docker-node1 ~]# docker exec -it mysql bash
2. bash-4.2# cd /var/lib/mysqlbash-4.2# ls

复制代码

可以看到没有指定数据卷目录，默认在挂载到host的/var/lib/docker/volume/容器id/_data中，在此目录下新建文件，可以在容器内部的/var/lib/容器名/中看到新文件。
3、数据卷容器

      数据卷容器（   Data Volume Container   ）是    Docker    中一种特殊的容器，重要用于方便地在多个容器之间 共享数据卷。   

1. #建立数据卷容器
2. [root@docker ~]# docker run -d --name datavol \
3. -v /tmp/data1:/data1:rw \
4. -v /tmp/data2:/data2:ro \
5. -v /etc/resolv.conf:/etc/hosts busybox
7. #使用数据卷容器
8. [root@docker ~]# docker run -it --name test --rm --volumes-from datavol busybox

复制代码

六、docker的安全优化

1. [root@docker-node1 ~]# docker run -d --name web nginx
2. 516df6628241e9b4f3e802cbef696163ce681070d739b8ae716efe74708466c7
3. [root@docker-node1 ~]# docker inspect web | grep Pid
4.             "Pid": 1898,
5.             "PidMode": "",
6.             "PidsLimit": null,
7. [root@docker-node1 ~]# cd /proc/
8. [root@docker-node1 proc]# cd 1898
9. [root@docker-node1 1898]# cd ns
10. [root@docker-node1 ns]# ls
11. cgroup  ipc  mnt  net  pid  pid_for_children  time  time_for_children  user  uts
13. [root@docker-node1 ns]# cd /sys/fs/cgroup/
14. [root@docker-node1 cgroup]# ls
15. blkio    cpu,cpuacct  freezer  misc              net_prio    rdma
16. cpu      cpuset       hugetlb  net_cls           perf_event  systemd
17. cpuacct  devices      memory   net_cls,net_prio  pids
18. [root@docker-node1 cgroup]# cd memory/
19. [root@docker-node1 memory]# cd docker/
20. [root@docker-node1 docker]# ls
21. 516df6628241e9b4f3e802cbef696163ce681070d739b8ae716efe74708466c7
22. cgroup.clone_children
23. cgroup.event_control
24. ***
26. [root@docker-node1 docker]# cd 516df6628241e9b4f3e802cbef696163ce681070d739b8ae716efe74708466c7/
27. [root@docker-node1 516df6628241e9b4f3e802cbef696163ce681070d739b8ae716efe74708466c7]# ls
28. cgroup.clone_children               memory.memsw.failcnt
29. cgroup.event_control                memory.memsw.limit_in_bytes
30. cgroup.procs                        memory.memsw.max_usage_in_bytes
31. memory.failcnt                      memory.memsw.usage_in_bytes
32. memory.force_empty                  memory.move_charge_at_immigrate
33. memory.kmem.failcnt                 memory.numa_stat
34. memory.kmem.limit_in_bytes          memory.oom_control
35. memory.kmem.max_usage_in_bytes      memory.pressure_level
36. memory.kmem.slabinfo                memory.soft_limit_in_bytes
37. memory.kmem.tcp.failcnt             memory.stat
38. memory.kmem.tcp.limit_in_bytes      memory.swappiness
39. memory.kmem.tcp.max_usage_in_bytes  memory.usage_in_bytes
40. memory.kmem.tcp.usage_in_bytes      memory.use_hierarchy
41. memory.kmem.usage_in_bytes          notify_on_release
42. memory.limit_in_bytes               tasks
43. memory.max_usage_in_bytes

复制代码

1、docker的资源限定

(1)、限定cpu的利用量

1. [root@docker-node1 ~]# docker run -it --rm --name test1 --cpu-period 100000 --cpu-quota 20000 ubuntu
2. root@3c63c90f85ef:/# dd if=/dev/zero of=/dev/null &
3. [1] 9
4. root@3c63c90f85ef:/# top
6. [root@docker-node1 ~]# docker run -it --rm --name test2 --cpu-period 100000 --cpu-quota 30000 ubuntu
7. root@9ba159f17589:/# dd if=/dev/zero of=/dev/null &
8. [1] 9
9. root@9ba159f17589:/# top

复制代码

(2)、限定cpu的优先级

1. [root@docker-node1 ~]# docker run -it --rm --name test1 --cpu-shares 100  ubuntu
2. root@0d33e9d6b5a3:/# dd if=/dev/zero of=/dev/null &
3. [1] 8
4. root@0d33e9d6b5a3:/# top
6. [root@docker-node1 ~]# docker run -it --rm --name test2  ubuntu
7. dd if=/dev/zero of=/dev/null &root@c30ea1c45318:/# dd if=/dev/zero of=/dev/null &
8. [1] 9
9. root@c30ea1c45318:/# top

复制代码

(3)、限定内存利用

上传工具：

1. libcgroup-0.41-19.el8.x86_64.rpm
2. libcgroup-tools-0.41-19.el8.x86_64.rpm
4. [root@docker-node1 ~]# dnf install *.rpm -y

复制代码

开启容器并限定内存： 

1. [root@docker-node1 ~]# docker run -d --rm --name test1 --memory 200M --memory-swap 200M nginx
2. 9dec367f92ee6874fb5a6e543d369b1f0aa81f2ae8dff875ae30e1f710a04616
3. [root@docker-node1 ~]# cd /sys/fs/cgroup/
4. [root@docker-node1 cgroup]# cgexec -g memory:docker/9dec367f92ee6874fb5a6e543d369b1f0aa81f2ae8dff875ae30e1f710a04616 dd if=/dev/zero of=/dev/shm/bigfile bs=1M count=150

复制代码

检察该容器id下的内存资源限定文件，可以看到200m的字节为 209715200，也可通过echo写入文件将内存限定从200mb改为300mb：

1. [root@docker-node1 ~]#cd /sys/fs/cgroup/memory/docker/9dec367f92ee6874fb5a6e543d369b1f0aa81f2ae8dff875ae30e1f710a04616/
2. [root@docker-node1 9dec367f92ee6874fb5a6e543d369b1f0aa81f2ae8dff875ae30e1f710a04616]#
3. cat memory.memsw.limit_in_bytes
4. 209715200
6. [root@docker-node1 9dec367f92ee6874fb5a6e543d369b1f0aa81f2ae8dff875ae30e1f710a04616]# echo 314572800 > memory.memsw.limit_in_bytes
7. [root@docker-node1 9dec367f92ee6874fb5a6e543d369b1f0aa81f2ae8dff875ae30e1f710a04616]# cgexec -g memory:docker/9dec367f92ee6874fb5a6e543d369b1f0aa81f2ae8dff875ae30e1f710a04616 dd if=/dev/zero of=/dev/shm/bigfile bs=1M count=300

复制代码

(4)、限定docker的磁盘io

1. [root@docker-node1 ~]# docker run -it --rm --device-write-bps /dev/nvme0n1:30M ubuntu
2. root@452768b7f1e0:/# dd if=/dev/zero of=bigfile
3. root@452768b7f1e0:/#  dd if=/dev/zero of=bigfile bs=1M count=100
4. root@452768b7f1e0:/# dd if=/dev/zero of=bigfile bs=1M count=100 oflag=direct

复制代码

七、docker的安全加固

1、docker默认隔离性

可以看到虽然限定了容器200m的内存，但是内存资源并没有完全隔离。
2、解决默认隔离性问题

      LXCFS    是一个为    LXC   （   Linux Containers   ）容器提供加强文件系统功能的工具。       LXCFS    可以使容器内的进程看到正确的    CPU   、内存和磁盘    I/O    等资源利用信息。在没有    LXCFS 时，容器内看到的资源信息可能不正确，这会影响到在容器内运行的应用步伐对资源的评估和管理。    安装lxcfs

1. [root@docker-node1 ~]# cd /mnt/
2. [root@docker-node1 mnt]# ls
3. hgfs                          lxc-libs-4.0.12-1.el9.x86_64.rpm
4. lxcfs-5.0.4-1.el9.x86_64.rpm  lxc-templates-4.0.12-1.el9.x86_64.rpm
5. [root@docker-node1 mnt]# dnf install *.rpm

复制代码

运行lxcfs解决隔离性问题：

1. [root@docker-node1 ~]# lxcfs /var/lib/lxcfs &

复制代码

开启容器并指定内存：

1. docker run  -it --name test -m 256m -v /var/lib/lxcfs/proc/cpuinfo:/proc/cpuinfo:rw -v /var/lib/lxcfs/proc/diskstats:/proc/diskstats:rw -v /var/lib/lxcfs/proc/meminfo:/proc/meminfo:rw -v /var/lib/lxcfs/proc/stat:/proc/stat:rw -v /var/lib/lxcfs/proc/swaps:/proc/swaps:rw -v /var/lib/lxcfs/proc/uptime:/proc/uptime:rw ubuntu

复制代码

可以看到指定的内存为256m，容器表现的内存就为256m。
4、容器特权

5、容器白名单

八、容器编排工具Docker Compose

   编辑vim设置文件：

1. vim ~/.vimrc

复制代码

  1、基础操作

1. [root@docker-node1 ~]# mkdir test
2. [root@docker-node1 test]# cd test/
3. #编辑yml文件
4. [root@docker-node1 test]# vim docker-compose.yml
5. #启动服务
6. [root@docker-node1 test]# docker compose up -d
7. [+] Running 3/3
8. ✔ Network test_default   Created                                    0.2s
9. ✔ Container test-web-1   Started                                    1.6s
10. ✔ Container test-test-1  Started                                    1.5s
11. [root@docker-node1 test]# docker ps
12. CONTAINER ID   IMAGE          COMMAND                   CREATED          STATUS         PORTS     NAMES
13. 1b571c4c09aa   nginx:latest   "/docker-entrypoint.…"   10 seconds ago   Up 9 seconds   80/tcp    test-web-1

复制代码

1. [root@docker-node1 test]# cp docker-compose.yml new-compose.yml
2. [root@docker-node1 test]# rm -rf docker-compose.yml
3. [root@docker-node1 test]# vim new-compose.yml
5. #可以使用-f 来指定yml文件
6. [root@docker-node1 test]# docker compose -f new-compose.yml up -d
7. [+] Running 2/2
8. ✔ Container test-test-1  Started                                    1.1s
9. ✔ Container test-web-1   Started
10. #停止正在运行的服务
11. [root@docker-node1 test]# docker compose stop
12. [+] Stopping 2/2
13. ✔ Container test-web-1   Stopped                                    0.1s
14. ✔ Container test-test-1  Stopped                                    0.0s
15. #重启服务
16. [root@docker test]# docker compose restart
17. #停止并删除配置文件中定义的所有服务以及相关的网络和存储卷。
18. [root@docker test]# docker compose down
19. #查看状态
20. [root@docker-node1 test]# docker compose ps
21. NAME         IMAGE          COMMAND                   SERVICE   CREATED              STATUS          PORTS
22. test-web-1   nginx:latest   "/docker-entrypoint.…"   web       About a minute ago   Up 11 seconds   80/tcp

复制代码

2、构建和重新构建服务

编辑构建docker的文件：

1. [root@docker-node1 test]# vim Dockerfile
2. [root@docker-node1 test]# vim new.Dockerfile

复制代码

写重新构建的文件：在之前test1、test2的基础上重新构建 

1. [root@docker-node1 test]# vim docker-compose.yml

复制代码

构建生效： 

1. #build
2. [root@docker-node1 test]# docker compose -f docker-compose.yml  build#构建
3. services中所有
4. [root@docker test]# docker compose -f test.yml build test1 #构建
5. services中的test1

复制代码

可以看到构建的新镜像：test1、test2 

开启容器：可以看到旧的test1、test2构建时创建的文件

以上是构建好镜像后手动开启容器。 
自动开启容器：

1. # --build
2. [root@docker test]# docker compose -f docker-compose.yml up -d #会去仓库拉去镜
3. 像
5. [root@docker test]# docker compose -f docker-compose.yml up --build #会先构建镜像后
6. 启动容器

复制代码

可以看到自动开启容器： 

3、其他操作

• docker-compose exec ：
  

1. [root@docker-node1 test]# vim docker-compose.yml
2. [root@docker-node1 test]# vim docker-compose.yml
3. [root@docker-node1 test]# docker compose -f docker-compose.yml up -d
4. #在正在运行的服务容器中执行命令
5. [root@docker-node1 test]# docker compose -f docker-compose.yml  exec test1 sh
6. / # touch newfile
7. / # ls
8. bin      etc      lib      newfile  root     tmp      var
9. dev      home     lib64    proc     sys      usr
10. / #

复制代码

•        docker-compose pull     ：
  

   拉取设置文件中界说的服务所利用的镜像。

1. [root@docker test]# docker compose -f docker-compose.yml pull
2. [+] Pulling 2/2
3. ✔ test Pulled
4. ✔ ec562eabd705 Pull complete

复制代码

• docker-compose config ：
  

   验证并检察解析后的   Compose   文件内容  

1. [root@docker-node1 test]# docker compose config
2. name: test
3. services:
4.   test1:
5.     command:
6.       - /bin/sh
7.       - -c
8.       - sleep 3000
9.     container_name: busybox1
10.     image: busybox:latest
11.     networks:
12.       default: null
13.     restart: always
14. networks:
15.   default:
16.     name: test_default

复制代码

4、Docker Compose 的yml文件

(1)、服务

1. #服务名称（service1_name/service2_name 等）：每个服务在配置文件中都有一个唯一的名称，用于在命令行和其他部分引用该服务。
3. services:
4. web:
5. # 服务1的配置
6. mysql:
7. # 服务2的配置

复制代码

1. #镜像（image）：
2. #指定服务所使用的 Docker 镜像名称和标签。例如， image: nginx:latest 表示使用 nginx镜像的最新版本
4. services:
5.   web:
6.     images：nginx
7.   mysql:
8.     images：mysql:5.7

复制代码

1. #将容器内部的端口映射到主机的端口，以便外部可以访问容器内的服务。例如， -"8080:80" 表示将主机的 8080 端口映射到容器内部的 80 端口。
3. services:
4.   web:
5.     image: nginx:latest
6.     container_name: nginx1 #指定容器名称
7.     restart： always #docekr容器自动启动
8.     expose：
9.         - 1234 #指定容器暴露那些端口，些端口仅对链接的服务可见，不会映射到主机的端口
10.     ports:
11.         - "80:8080"

复制代码

1. #环境变量（environment）：为容器设置环境变量，可以在容器内部的应用程序中使用。例如， VAR1: value1 设置环境变量 VAR1 的值为 value1
3. services:
4.   web:
5.     image: mysql:5.7
6.     container_name: mysql1
7.     restart: always
8.     environment:
9.       MYSQL_ROOT_PASSWORD: gyj

复制代码

1. #存储卷（volumes）：将主机上的目录或文件挂载到容器中，以实现数据持久化或共享。例如， -
2. /host/data:/container/data 将主机上的 /host/data 目录挂载到容器内的/container/data 路径。
4. services:
5.   test:
6.     image: busybox
7.     command: ["/bin/sh","-c","sleep 3000"]
8.     restart: always
9.     container_name: busybox1
10.     volumes:
11.         - /etc/passwd:/tmp/passwd:ro   #只读挂在本地文件到指定位置

复制代码

1. #网络（networks）：将服务连接到特定的网络，以便不同服务的容器可以相互通信
3. services:
4.   web:
5.     image: nginx
6.     container_name: webserver
7.     network_mode: bridge  #使用本机自带bridge网络
9. services:
10.   test:
11.     image: busybox
12.     container_name: webserver
13.     command: ["/bin/sh","-c","sleep 10000"]
15.   #network_mode: mynet2
17.   networks:
18.     - mynet1
19.     - mynet2
20.   networks:
21.     mynet1:
22.       driver: bridge
23.     mynet2:
24.       driver: bridge

复制代码

1. #命令（command）：覆盖容器启动时默认执行的命令。例如， command: python app.py 指定容器启动时运行
2. python app.py 命令
4. [root@docker test]# vim busybox.yml
6. services:
7.   web:
8.     image: busybox
9.     container_name: busybox
10.     #network_mode: mynet2
11.     command: ["/bin/sh","-c","sleep10000000"]

复制代码

(2)、网络

• 界说 Docker Compose 应用步伐中利用的网络。可以自界说网络名称和驱动步伐等属性。
  
• 默认情况下docker compose 在实行时会自动创建网路
  

1. services:
2.     test:
3.         image: busybox1
4.         command: ["/bin/sh","-c","sleep 3000"]
5.         restart: always
6.         network_mode: default
7.         container_name: busybox
8.     test1:
9.         image: busybox2
10.         command: ["/bin/sh","-c","sleep 3000"]
11.         restart: always
12.         container_name: busybox1
13.         networks:
14.             - mynet1
15.     test3:
16.         image: busybox3
17.         command: ["/bin/sh","-c","sleep 3000"]
18.         restart: always
19.         container_name: busybox1
20.         networks:
21.             - mynet1
22. networks:
23.     mynet1:
24.         driver: bridge #使用桥接驱动，也可以使用macvlan用于跨主机连接
25.     default:
26.         external: true #不建立新的网络而使用外部资源
27.         name: bridge   #指定外部资源网络名字
28.     mynet2:
29.         ipam:
30.         driver: default
31.         config:
32.             - subnet: 172.28.0.0/16
33.             gateway: 172.28.0.254

复制代码

(3)、存储卷

1. services:
2.     test:
3.     image: busybox
4.     command: ["/bin/sh","-c","sleep 3000"]
5.     restart: always
6.     container_name: busybox1
7.     volumes:
8.         - data:/test #挂在data卷
9.         - /etc/passwd:/tmp/passwd:ro #只读挂在本地文件到指定位置
11. volumes:
12.     data:
13.     name: timinglee #指定建立卷的名字

复制代码

九、利用docker编排完成haproxy和nginx负载均衡架构

1、只下载haproxy，找出haproxy的设置文件，编辑设置文件

1. #只下载不安装haproxy
2. [root@docker-node1 ~]# dnf install haproxy -y --downloadonly --downloaddir=/mnt
3. #解压文件并输出为目录，-id：i是输出，d是目录
4. [root@docker-node1 mnt]# rpm2cpio haproxy-2.4.22-1.el9.x86_64.rpm | cpio -id

复制代码

2、编辑docker compose容器编排文件

1. [root@docker-node1 ~]# vim haproxy.yml

复制代码

3、启动容器

1. [root@docker-node1 ~]# docker compose -f /root/haproxy.yml up -d

复制代码

4、检察是否启动

5、写入网页内容

从设置文件可以看到，在主机的/var/lib/docker/volumes/data_web目录下，有data_web1和data_web2，这两个文件挂载的是nginx容器的网站首发内容页，所以在data_web1、data_web2这两个目录下写入网站首页内容。

6、测试

haproxy用的是轮询调治算法

删除镜像、加速器、volume 
ldd /usr/local/nginx/sbin/nginx  nginx运行时必须调用的模块




免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。