Docker

Docker –link

Docker link 实际上已经被标注为 过时 了，但是仍然有一些传统应用在使用它

最典型的是链接 web 应用和 数据库

例如要启动一个 WordPress 就可以

docker run --name wp_mysql -p 3306:3306 -v /data/mysql:/var/lib/mysql -e MYSQL_ROOT_PASSWORD=123 -d mysql:5.7

docker run --name wp_web --link wp_mysql:mysql -v /data/wordpress:/var/www/html -p 80:80 -p 443:443 -d wordpress:5.6.0

使用了 –link 的 WordPress docker 部署，是不需要再配置 mysql 数据库连接就可以直接连上 数据库 的。

这里主要想讨论， link 到底 link 了什么

首先，这里需要明确两个概念，上面的 mysql 是 源容器，是被连接容器，WordPress 是目标容器，是接收容器

为了进行下面的测试，我们启动两个 busybox 容器，把它们连接在一起

docker run -i -t --name source -p 3001:3001 -p 3002:3002 -e source_env_1=123 -e source_env_2=456 busybox sleep infinity
docker run -i -t --name target -p 3003:3003 -p 3004:3004 -e target_env_1=123 -e target_env_2=456 --link source:mysource busybox sleep infinity

1. 别名

–link wp_mysql:mysql

对于 WordPress 容器而言，wp_mysql 和 mysql 是一个容器，有着同样的 containerid

–link source:mysource

对于 target 容器而言，source 和 mysource 是一个容器

2. DNS

3. 环境变量

上面WordPress之所以直接可以连接数据库，实际上是使用了环境变量

WordPress的镜像默认会从 mysql 这个别名来读取 数据库 配置，所以这里如果写成 –link wp_mysql:test_mysql ，WordPress是无法识别到数据库的，可以理解成这是一个约定

Target 容器会得到 如下环境变量

4. 如果 source 容器的 ip 发生变化 的情况

删除source容器之后，我创建一个 Nginx容器，占用原来source容器的

172.17.0.2 ip 可以看到 新的ip 是 172.17.0.4

此时，在target容器中，没有任何信息被更新

启动一个target2 容器，就可以看到 dns 和 env 都换成新的了

容器互联

Volume的使用

对于需要在容器外持久化的数据，需要使用 mount

早期的docker只能挂载本地磁盘路径，也就是下面的第一种方式

第一种方式 直接挂载本地路径

docker run -d -it --name=nginx1 -p 8001:80 -v ~/tmp:/usr/share/nginx/html nginx

这种方式下，docker不会覆盖本地路径下的任何文件内容

也就是说，如果本地路径 tmp 中没有文件，那么挂载之后，容器在挂载的路径下，也会 没有任何文件

这是一种， 使用本地内容 覆盖 容器对应路径内容 的方式

第二种方式 创建由docker管理的volume

docker volume create tmpvol
docker run -d -it --name=nginx2 -p 8002:80 -v tmpvol:/usr/share/nginx/html nginx

这种方式的方便之处在于，它在持久化数据的同时，还可以继续使用容器内自带的内容

这是一种，仍然使用容器内容 存储到 指定的 volume 的方式

在Linux上，想要直接从宿主机访问这个路径非常容易

路径如下

在MacOS上就相对复杂一些，因为MacOS的 docker desktop 也是基于虚拟机实现的

旧版本的docker desktop 使用下面的命令附着到 tty之后，可以访问上面和 linux类似的路径

screen ~/Library/Containers/com.docker.docker/Data/vms/0/tty

然而在 3.1.0 的版本中，我没有找到这个tty文件

实际上是，这个操作反而变得比以前简单了

注意到右上角的 CLI 图标了么？

只不过这种方式不是在宿主机上，而是 docker exec 提供的 sh

容器的启动和停止

通常情况下，诸如 apache2、tomcat 和 mysql 等服务进程，是不会直接停止的，所以在这种情况下 docker run 和 docker start 都不会直接退出

docker run -i -t –name nginx nginx

参数 -i -t 是提供交互式shell的根本

• -i 标志保障容器中STDIN是开启的，保证可以使用 docker attach 附着进去
• -t 会为创建的容器分配一个伪tty终端，这样新创建的容器才能提供一个交互式的shell

Linux 系统中想要对进程进行干涉，需要发送一些特定的信号

这些信号有几十种这里就不一一例举了

要停止或者终止一个进程比较常用的是以下三种，

• ctrl + c 发送的是 SIGINT 信号，SIGINT信号会且只会发送到当前活动窗口的进程 和 这个进程的所有子进程（进程树）
• kill PID 发送的是 SIGTERM，可以被阻塞、处理和忽略
• kill -9 PID 发送的是 SIGKILL，SIGKILL 信号不能被阻塞、处理和忽略，直接停止指定的进程，不影响其他子进程和父进程，但是子进程的父进程会从这个被kill的进程转为 init 进程

其中 SIGTERM 和 SIGINT 信号会按照程序自定义的逻辑来处理这些信号，例如下面这个Java程序

import sun.misc.Signal;
import sun.misc.SignalHandler;
 
@SuppressWarnings("restriction")
public class Test {
 
 public static void main(String[] args) {
  System.out.println("Signal handling example.");
  SignalHandler handler = new MySignalHandler();
  // kill命令
  Signal termSignal = new Signal("TERM");
  Signal.handle(termSignal, handler);
  // ctrl+c命令
  Signal intSignal = new Signal("INT");
  Signal.handle(intSignal, handler);
  try {
   Thread.sleep(50000);
  } catch (InterruptedException e) {
   System.out.println("Interrupted: " + e.getMessage());
  }
 }
}
 
@SuppressWarnings("restriction")
class MySignalHandler implements SignalHandler {
 
 @Override
 public void handle(Signal signal) {
  System.out.println("Signal handler called for signal " + signal);
  try {
   System.out.println("Handling " + signal.getName());
  } catch (Exception e) {
   System.out.println("handle|Signal handler" + "failed, reason "
     + e.getMessage());
   e.printStackTrace();
  }
 }
 
}

使用 ctrl + c 对其发送 SIGINT 信号时，它只是输出了信息，并没有停止自己

使用kill PID发送 SIGTERM信号之后，它只是输出了信息，并没有停止自己

最后是 kill -9 PID 的 SIGKILL信号，直接杀死了

要停止容器的话，最常用的是 docker stop

stop 命令本质上是向该进程（例如Nginx进程）发送 SIGTERM 信号，大多数应用都能正确的响应这个信号，开始停止自己

如果出现了特殊情况，就需要使用 docker kill container_name 来发送 SIGKILL

如何创建最小Docker镜像

关于最小镜像

可以直接下载 (pull) 的最小镜像为 alpine

Alpine Linux是一个基于BusyBox和Musl Libc的Linux发行版，其最大的优势就是小，在我写下这篇文章时，最新的版本为 3.12.4，大小只有 2.67M

https://hub.docker.com/_/alpine

alpine 衍生了很多社区版本，基本都以小为主要目的

• docker pull alpine/git 11.39M
• docker pull alpine/socat 3.22M
• docker pull python:rc-alpine 16.54M

实际上alpine并不是最小镜像，还有一个叫做 scratch 的空镜像

scratch 连最基本的 /bin、/usr、/lib、/dev 都没有提供

通过go语言编写一个helloworld并且把代码编译成 二进制 格式，直接使用

CMD “./hello”

会报如下错误，这个是因为scratch镜像连最基本的 sh 都没有提供

上面这种情况，需要对 CMD 的格式进行一些修改

FROM library/golang:alpine as base
COPY hello.go /hello.go
WORKDIR /
RUN go build /hello.go

FROM scratch
COPY --from=base /hello /hello
CMD [ "/hello" ]

通过这种方式构造的镜像，只有 1.94MB

Docker镜像

Docker的镜像从面向对象的角度上看，更类似于class，而容器则是通过它创建的对象

Docker生态圈存在大量的镜像仓库，当然最知名的还是 https://hub.docker.com/

我们知道 docker image 是分层的，例如以下Nginx镜像

我们在 Docker和虚拟机的区别 中提到过，容器会覆盖掉Linux宿主机的rootfs层

从而在宿主机之上构建出虚拟的 Ubuntu、CentOS、Busybox、CoreOS 等环境

其中使用的原理是 copy-on-write，

容器层叫做可写层，容器层之下都叫做镜像层

所有对容器的改动，无论添加、读写还是删除，都只会发生在容器层中，只有容器层是可写的，容器层之下的镜像层都是只读的

• 写入、删除操作时，直接在容器层进行操作
• 读取操作时，docker会从上至下一次查找此文件，一旦找到就直接读取

Docker和虚拟机的区别

docker容器和虚拟机的共同点在于，都可以在宿主机上提供 虚拟化 环境，各个虚拟环境是相互隔离的

它们的主要区别在于

虚拟机是base在硬件层上的，也就是硬件级别的虚拟化，虚拟机有独立的虚拟硬件，独立的虚拟bios，独立的虚拟驱动

而docker base在rootfs层上的

Linux系统的最底层是 系统kernel，一个典型的Linux启动需要两个File system

• bootfs
• rootfs

bootfs (boot file system) 主要包含 bootloader 和 kernel, bootloader主要是引导加载kernel, 当boot成功后 kernel 被加载到内存中后 bootfs就被umount了

rootfs (root file system) 包含的就是典型 Linux 系统中的 /dev, /proc, /bin, /etc 等标准目录和文件。

由此可见对于不同的linux发行版, bootfs基本是一致的, rootfs会有差别, 因此不同的发行版可以公用bootfs 

如果你的应用需要特定的系统内核例如只能运行在 Linux 内核2.6上，那么此应用不适合使用docker，此时应该选择虚拟机方案

大多数的应用，都不依赖于内核

为什么要使用容器

早在2013年，我一直把容器当成虚拟机来使用

直到2021年的今天，仍然有很多人都习惯将 ubuntu或者centos 容器当做虚拟机来使用，启动进程 /bin/bash

实际上，这样做是不合适的

比起虚拟机，容器实际上更类似于 windows 的程序安装包 和 linux 上的 rpm 和 dpkg 安装包，但又不完全相同

安装包的最终目的是让用户 “通过最简单的方式，安装和运行一个应用程序”

通常安装包会拷贝文件，并且设置一些相关的配置，有些需要本地编译，然后设置环境变量等等，但是安装有一个缺点，如果你安装了 Python2 又安装了 Python3 可能会带来一些依赖库之类的环境冲突

Docker 实际上提供了类似于 安装包一样的 一键安装部署应用的 能力，同时又提供了类似 conda 的环境隔离（甚至是网络隔离等等）

在没有Docker以前，如果需要把开发完成的应用程序部署到用户的服务器，通常你可能需要

• 拷贝文件
• 设置config文件
• 检查服务器的环境变量
• 如果生产环境和开发环境不一致可能需要编译
• 配置依赖的库
• 安装需要的数据库

在Docker出现之后，只需要使用image创建对应的container就可以获得全部的 环境变量 和 环境依赖，这在以前是不可想象的，例如启动一个标准的 mysql 服务

docker run -itd --name mysql-test -p 3306:3306 -e MYSQL_ROOT_PASSWORD=123456 mysql

除了能够快速发布到生产环境，docker的这种快速启动优势还可以应用在许多 POC 场景，快速的试验各种版本，吞吐量，稳定性 和 兼容性 的测试，都可以基于docker实现

在Docker出现以前，想快速分发 dev 的开发环境，还有一种选择是通过 基于 vagrant 使用的 virtual box，实际上这种实践有些类似于 “基础设施既代码” 的概念，使用 Vagrantfile 来定义需要的配置，通过virtualbox的 box 文件来分发本地开发需要的环境

但是virtualbox本质上是虚拟机，虚拟机和docker还是有很大区别的

什么是容器

你也许听过一种说法

“软件正在吃掉这个世界，而容器正在吃掉软件”

尤其是在DevOps和公有云大火的今天，几乎每一个团队都在使用容器，人人都在谈论Docker

容器不仅仅是Docker

容器是由 Open Container Initiative （OCI）组织制定的一套规范

https://opencontainers.org/

包含 runtime spec 和 image format spec

OCI 是包含以下公司

目前比较常见的容器 runtime 主要有

lxc 是Linux上比较传统的runtime，docker一开始也是采用的 lxc

runc 这个是目前docker默认的runtime

rkt 是CoreOS提供的runtime

2020年有新闻提到 “kubernetes不再使用docker”，这里需要区分 docker 和 容器 这两个概念的区别

Kubernetes 仍然会使用容器，至于为什么要移除 docker 请参考 为什么Kubernetes要移除Docker

安装Docker

安装Docker的方式有很多种

apt、snap、yum 等等

但是最简单的 同时也是兼容操作系统最多的方式来自于 rancher 团队

以下是 19.03 和 20.10 的例子

sudo curl https://releases.rancher.com/install-docker/19.03.sh | sh
sudo curl https://releases.rancher.com/install-docker/20.10.sh | sh

下一步就是让非root用户能够调用 docker 命令

老版本的这个 sh 会提示你输入

sudo usermod -aG docker ubuntu

然后重启动 docker，并且重新登录用户就可以了

最新版本的这个提示换了

================================================================================

To run Docker as a non-privileged user, consider setting up the
Docker daemon in rootless mode for your user:

    dockerd-rootless-setuptool.sh install

Visit https://docs.docker.com/go/rootless/ to learn about rootless mode.


To run the Docker daemon as a fully privileged service, but granting non-root
users access, refer to https://docs.docker.com/go/daemon-access/

WARNING: Access to the remote API on a privileged Docker daemon is equivalent
         to root access on the host. Refer to the 'Docker daemon attack surface'
         documentation for details: https://docs.docker.com/go/attack-surface/

================================================================================

直接使用

dockerd-rootless-setuptool.sh install

会提示

########## BEGIN ##########
sudo sh -eux <<EOF
# Install newuidmap & newgidmap binaries
apt-get install -y uidmap
EOF
########## END ##########

运行之后就没问题了

然后设置一个环境变量

export PATH=/usr/bin:$PATH
export DOCKER_HOST=unix:///run/user/1000/docker.sock

使用 apt 安装的方式

sudo apt install docker.io
sudo systemctl enable --now docker
sudo usermod -aG docker ubuntu
reboot