这是本系列的第二篇文章， 将介绍Docker的一些基本用法。
一、获取、运行、列出镜像
从 Docker Registry 获取镜像的命令是
docker pull。其命令格式为：
2
3
2
3
具体的选项可以通过
docker pull –help 命令看到，这里我们说一下镜像名称的格式。
- Docker Registry地址：地址的格式一般是
<域名/IP>[:端口号]。默认地址是 Docker Hub。
- 仓库名：如之前所说，这里的仓库名是两段式名称，既
<用户名>/<软件名>。对于 Docker Hub，如果不给出用户名，则默认为
library，也就是官方镜像。
要想列出已经下载下来的镜像，可以使用
docker images
命令。
有了镜像后，我们就可以以这个镜像为基础启动一个容器来运行。以上面的
ubuntu:14.04 为例，如果我们打算启动里面的
bash 并且进行交互式操作的话，可以执行下面的命令。
2
2
docker run 就是运行容器的命令，我们这里简要的说明一下上面用到的参数。
- -it：这是两个参数，一个是
-i：交互式操作，一个是
-t 终端。我们这里打算进入
bash 执行一些命令并查看返回结果，因此我们需要交互式终端。
- –rm：这个参数是说容器退出后随之将其删除。默认情况下，为了排障需求，退出的容器并不会立即删除，除非手动
docker rm。我们这里只是随便执行个命令，看看结果，不需要排障和保留结果，因此使用
–rm 可以避免浪费空间。
- ubuntu:14.04：这是指用
ubuntu:14.04 镜像为基础来启动容器。
- bash：放在镜像名后的是
命令，这里我们希望有个交互式 Shell，因此用的是
bash。
二、使用Dockerfile定制镜像
Dockerfile 是一个文本文件，其内包含了一条条的
指令(Instruction)
，每一条指令构建一层，因此每一条指令的内容，就是描述该层应当如何构建。
From指令
所谓定制镜像，那一定是以一个镜像为基础，在其上进行定制。就像我们之前运行了一个 nginx
镜像的容器，再进行修改一样，基础镜像是必须指定的。而 FROM
就是指定基础镜像
，因此一个 Dockerfile
中 FROM
是必备的指令，并且必须是第一条指令。
除了选择现有镜像为基础镜像外，Docker 还存在一个特殊的镜像，名为
scratch。这个镜像是虚拟的概念，并不实际存在，它表示一个空白的镜像。
2
3
4
2...
3
4
如果你以
scratch 为基础镜像的话，意味着你不以任何镜像为基础，接下来所写的指令将作为镜像第一层开始存在。
不以任何系统为基础，直接将可执行文件复制进镜像的做法并不罕见，比如 swarm、coreos/etcd。对于 Linux 下静态编译的程序来说，并不需要有操作系统提供运行时支持，所需的一切库都已经在可执行文件里了，因此直接
FROM scratch 会让镜像体积更加小巧。
Run指令
RUN 指令是用来执行命令行命令的。由于命令行的强大能力，
RUN 指令在定制镜像时是最常用的指令之一。其格式有两种：
- shell 格式：
RUN <命令>，就像直接在命令行中输入的命令一样。
- exec 格式：
RUN ["可执行文件", "参数1", "参数2"]，这更像是函数调用中的格式。
2
3
4
5
2 && apt-get update \
3 && apt-get install -y $buildDeps \
4 && wget -O redis.tar.gz "http://download.redis.io/releases/redis-3.2.5.tar.gz"
5
仅仅使用一个
RUN
指令，并使用
&&
将各个所需命令串联起来。
镜像构建上下文（Context）
在build的时候，只需要再Dockerfile所处目录下运行以下命令即可：
2
2
那么什么是上下文呢？
首先我们要理解
docker build 的工作原理。Docker 在运行时分为 Docker 引擎（也就是服务端守护进程）和客户端工具。Docker 的引擎提供了一组 REST API，被称为 Docker Remote API，而如
docker 命令这样的客户端工具，则是通过这组 API 与 Docker 引擎交互，从而完成各种功能。因此，虽然表面上我们好像是在本机执行各种
docker 功能，但实际上，一切都是使用的远程调用形式在服务端（Docker 引擎）完成。也因为这种 C/S 设计，让我们操作远程服务器的 Docker 引擎变得轻而易举。
当我们进行镜像构建的时候，并非所有定制都会通过
RUN 指令完成，经常会需要将一些本地文件复制进镜像，比如通过
COPY 指令、
ADD 指令等。而
docker build 命令构建镜像，其实并非在本地构建，而是在服务端，也就是 Docker 引擎中构建的。那么在这种客户端/服务端的架构中，如何才能让服务端获得本地文件呢？
这就引入了上下文的概念。
当构建的时候，用户会指定构建镜像上下文的路径，
docker build 命令得知这个路径后，会将路径下的所有内容打包，然后上传给 Docker 引擎。这样 Docker 引擎收到这个上下文包后，展开就会获得构建镜像所需的一切文件
。
如果在
Dockerfile 中这么写：
2
3
2
3
这并不是要复制执行
docker build 命令所在的目录下的
package.json，也不是复制
Dockerfile 所在目录下的
package.json，而是复制
上下文（context） 目录下的
package.json。
因此，
COPY 这类指令中的源文件的路径都是
相对路径。这也是初学者经常会问的为什么
COPY ../package.json /app 或者
COPY /opt/xxxx /app 无法工作的原因，因为这些路径已经超出了上下文的范围，Docker 引擎无法获得这些位置的文件。如果真的需要那些文件，应该将它们复制到上下文目录中去。
COPY 复制文件
格式：
- COPY <源路径>… <目标路径>
- COPY ["<源路径1>",… "<目标路径>"]
和
RUN 指令一样，也有两种格式，一种类似于命令行，一种类似于函数调用。
COPY 指令将从构建上下文目录中
<源路径> 的文件/目录复制到新的一层的镜像内的
<目标路径> 位置。比如：
2
3
2
3
ADD 更高级的复制文件
ADD 指令和
COPY 的格式和性质基本一致。但是在
COPY 基础上增加了一些功能。
比如
<源路径> 可以是一个
URL，这种情况下，Docker 引擎会试图去下载这个链接的文件放到
<目标路径> 去。下载后的文件权限自动设置为
600，如果这并不是想要的权限，那么还需要增加额外的一层
RUN进行权限调整，另外，如果下载的是个压缩包，需要解压缩，也一样还需要额外的一层
RUN 指令进行解压缩。所以不如直接使用
RUN 指令，然后使用
wget 或者
curl 工具下载，处理权限、解压缩、然后清理无用文件更合理。因此，这个功能其实并不实用，而且不推荐使用。
如果
<源路径> 为一个
tar 压缩文件的话，压缩格式为
gzip,
bzip2 以及
xz 的情况下，
ADD 指令将会自动解压缩这个压缩文件到
<目标路径> 去。
在某些情况下，这个自动解压缩的功能非常有用，比如官方镜像
ubuntu 中：
2
3
4
5
2ADD ubuntu-xenial-core-cloudimg-amd64-root.tar.gz /
3...
4
5
Docker 官方的最佳实践文档中要求，尽可能的使用
COPY
，因为
COPY
的语义很明确，就是复制文件而已，而
ADD
则包含了更复杂的功能，其行为也不一定很清晰。最适合使用
ADD
的场合，就是所提及的需要自动解压缩的场合。
CMD 容器启动命令
CMD 指令的格式和
RUN 相似，也是两种格式：
- shell 格式：
CMD <命令>
- exec 格式：
CMD ["可执行文件", "参数1", "参数2"…]
- 参数列表格式：
CMD ["参数1", "参数2"…]。在指定了
ENTRYPOINT 指令后，用
CMD 指定具体的参数。
之前介绍容器的时候曾经说过，Docker 不是虚拟机，容器就是进程。既然是进程，那么在启动容器的时候，需要指定所运行的程序及参数。
CMD
指令就是用于指定默认的容器主进程的启动命令的。
提到
CMD 就不得不提容器中应用在前台执行和后台执行的问题。这是初学者常出现的一个混淆。
Docker 不是虚拟机，容器中的应用都应该以前台执行，而不是像虚拟机、物理机里面那样，用 upstart/systemd 去启动后台服务，容器内没有后台服务的概念。
一些初学者将
CMD 写为：
2
3
2
3
然后发现容器执行后就立即退出了。甚至在容器内去使用
systemctl 命令结果却发现根本执行不了。这就是因为没有搞明白前台、后台的概念，没有区分容器和虚拟机的差异，依旧在以传统虚拟机的角度去理解容器。
对于容器而言，其启动程序就是容器应用进程，容器就是为了主进程而存在的，主进程退出，容器就失去了存在的意义，从而退出，其它辅助进程不是它需要关心的东西。
而使用
service nginx start 命令，则是希望 upstart 来以后台守护进程形式启动
nginx 服务。而刚才说了
CMD service nginx start 会被理解为
CMD [ "sh", "-c", "service nginx start"]，因此主进程实际上是
sh。那么当
service nginx start 命令结束后，
sh 也就结束了，
sh 作为主进程退出了，自然就会令容器退出。
正确的做法是直接执行
nginx 可执行文件，并且要求以前台形式运行。比如：
2
2
ENV 设置环境变量
格式有两种：
- ENV <key> <value>
- ENV <key1>=<value1> <key2>=<value2>…
这个指令很简单，就是设置环境变量而已，无论是后面的其它指令，如
RUN，还是运行时的应用，都可以直接使用使用这里定义的环境变量。
2
3
2 NAME="Happy Feet"
3
NTRYPOINT 入口点
ENTRYPOINT 的格式和
RUN 指令格式一样，分为
exec 格式和
shell 格式。
ENTRYPOINT 的目的和
CMD 一样，都是在指定容器启动程序及参数。
ENTRYPOINT 在运行时也可以替代，不过比
CMD 要略显繁琐，需要通过
docker run 的参数
–entrypoint 来指定。
当指定了
ENTRYPOINT 后，
CMD 的含义就发生了改变，不再是直接的运行其命令，而是将
CMD 的内容作为参数传给
ENTRYPOINT 指令，换句话说实际执行时，将变为：
2
3
2
3
那么有了
CMD 后，为什么还要有
ENTRYPOINT 呢？这种
<ENTRYPOINT> "<CMD>" 有什么好处么？让我们来看几个场景。
场景一：让镜像变成像命令一样使用
假设我们需要一个得知自己当前公网 IP 的镜像，那么可以先用
CMD 来实现：
2
3
4
5
6
7
2RUN apt-get update \
3 && apt-get install -y curl \
4 && rm -rf /var/lib/apt/lists/*
5CMD [ "curl", "-s", "http://ip.cn" ]
6
7
假如我们使用
docker build -t myip . 来构建镜像的话，如果我们需要查询当前公网 IP，只需要执行：
2
3
4
2当前 IP：61.148.226.66 来自：北京市 联通
3
4
嗯，这么看起来好像可以直接把镜像当做命令使用了，不过命令总有参数，如果我们希望加参数呢？比如从上面的
CMD 中可以看到实质的命令是
curl，那么如果我们希望显示 HTTP 头信息，就需要加上
-i 参数。那么我们可以直接加
-i 参数给
docker run myip 么？
2
3
4
2docker: Error response from daemon: invalid header field value "oci runtime error: container_linux.go:247: starting container process caused \"exec: \\\"-i\\\": executable file not found in $PATH\"\n".
3
4
我们可以看到可执行文件找不到的报错，
executable file not found。之前我们说过，跟在镜像名后面的是
command，运行时会替换
CMD 的默认值。因此这里的
-i 替换了远了的
CMD，而不是添加在原来的
curl -s http://ip.cn 后面。而
-i 根本不是命令，所以自然找不到。
那么如果我们希望加入
-i 这参数，我们就必须重新完整的输入这个命令：
2
3
2
3
这显然不是很好的解决方案，而使用
ENTRYPOINT 就可以解决这个问题。现在我们重新用
ENTRYPOINT 来实现这个镜像：
2
3
4
5
6
7
2RUN apt-get update \
3 && apt-get install -y curl \
4 && rm -rf /var/lib/apt/lists/*
5ENTRYPOINT [ "curl", "-s", "http://ip.cn" ]
6
7
这次我们再来尝试直接使用
docker run myip -i：
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
2当前 IP：61.148.226.66 来自：北京市 联通
3
4$ docker run myip -i
5HTTP/1.1 200 OK
6Server: nginx/1.8.0
7Date: Tue, 22 Nov 2016 05:12:40 GMT
8Content-Type: text/html; charset=UTF-8
9Vary: Accept-Encoding
10X-Powered-By: PHP/5.6.24-1~dotdeb+7.1
11X-Cache: MISS from cache-2
12X-Cache-Lookup: MISS from cache-2:80
13X-Cache: MISS from proxy-2_6
14Transfer-Encoding: chunked
15Via: 1.1 cache-2:80, 1.1 proxy-2_6:8006
16Connection: keep-alive
17
18当前 IP：61.148.226.66 来自：北京市 联通
19
20
可以看到，这次成功了。这是因为当存在
ENTRYPOINT 后，
CMD 的内容将会作为参数传给
ENTRYPOINT，而这里
-i 就是新的
CMD，因此会作为参数传给
curl，从而达到了我们预期的效果。
场景二：应用运行前的准备工作
启动容器就是启动主进程，但有些时候，启动主进程前，需要一些准备工作。
比如
mysql 类的数据库，可能需要一些数据库配置、初始化的工作，这些工作要在最终的 mysql 服务器运行之前解决。
此外，可能希望避免使用
root 用户去启动服务，从而提高安全性，而在启动服务前还需要以
root 身份执行一些必要的准备工作，最后切换到服务用户身份启动服务。或者除了服务外，其它命令依旧可以使用
root 身份执行，方便调试等。
这些准备工作是和容器
CMD 无关的，无论
CMD 为什么，都需要事先进行一个预处理的工作。这种情况下，可以写一个脚本，然后放入
ENTRYPOINT 中去执行，而这个脚本会将接到的参数（也就是
<CMD>）作为命令，在脚本最后执行。比如官方镜像
redis 中就是这么做的：
2
3
4
5
6
7
8
9
10
2...
3RUN addgroup -S redis && adduser -S -G redis redis
4...
5ENTRYPOINT ["docker-entrypoint.sh"]
6
7EXPOSE 6379
8CMD [ "redis-server" ]
9
10
可以看到其中为了 redis 服务创建了 redis 用户，并在最后指定了
ENTRYPOINT 为
docker-entrypoint.sh 脚本。
2
3
4
5
6
7
8
9
10
11
2...
3# allow the container to be started with `--user`
4if [ "$1" = 'redis-server' -a "$(id -u)" = '0' ]; then
5 chown -R redis .
6 exec su-exec redis "$0" "$@"
7fi
8
9exec "$@"
10
11
该脚本的内容就是根据
CMD 的内容来判断，如果是
redis-server 的话，则切换到
redis 用户身份启动服务器，否则依旧使用
root 身份执行。比如：
2
3
2uid=0(root) gid=0(root) groups=0(root)
3
VOLUME 定义匿名卷
格式为：
- VOLUME ["<路径1>", "<路径2>"…]
- VOLUME <路径>
之前我们说过，容器运行时应该尽量保持容器存储层不发生写操作，对于数据库类需要保存动态数据的应用，其数据库文件应该保存于卷(volume)中，后面的章节我们会进一步介绍 Docker 卷的概念。为了防止运行时用户忘记将动态文件所保存目录挂载为卷，在
Dockerfile 中，我们可以事先指定某些目录挂载为匿名卷，这样在运行时如果用户不指定挂载，其应用也可以正常运行，不会向容器存储层写入大量数据。
2
3
2
3
这里的
/data 目录就会在运行时自动挂载为匿名卷，任何向
/data 中写入的信息都不会记录进容器存储层，从而保证了容器存储层的无状态化。当然，运行时可以覆盖这个挂载设置。比如：
2
3
2
3
在这行命令中，就使用了
mydata 这个命名卷挂载到了
/data 这个位置，替代了
Dockerfile 中定义的匿名卷的挂载配置。
EXPOSE 声明端口
格式为
EXPOSE <端口1> [<端口2>…]。
EXPOSE 指令是声明运行时容器提供服务端口，这只是一个声明，在运行时并不会因为这个声明应用就会开启这个端口的服务。在 Dockerfile 中写入这样的声明有两个好处，一个是帮助镜像使用者理解这个镜像服务的守护端口，以方便配置映射；另一个用处则是在运行时使用随机端口映射时，也就是
docker run -P时，会自动随机映射
EXPOSE 的端口。
要将
EXPOSE
和在运行时使用
-p <宿主端口>:<容器端口>
区分开来。
-p
，是映射宿主端口和容器端口，换句话说，就是将容器的对应端口服务公开给外界访问，而
EXPOSE
仅仅是声明容器打算使用什么端口而已，并不会自动在宿主进行端口映射。
WORKDIR 指定工作目录
格式为
WORKDIR <工作目录路径>。
使用
WORKDIR 指令可以来指定工作目录（或者称为当前目录），以后各层的当前目录就被改为指定的目录，该目录需要已经存在，
WORKDIR 并不会帮你建立目录。
之前提到一些初学者常犯的错误是把
Dockerfile 等同于 Shell 脚本来书写，这种错误的理解还可能会导致出现下面这样的错误：
2
3
4
2RUN echo "hello" > world.txt
3
4
如果将这个 Dockerfile 进行构建镜像运行后，会发现找不到
/app/world.txt 文件，或者其内容不是
hello。原因其实很简单，在 Shell 中，连续两行是同一个进程执行环境，因此前一个命令修改的内存状态，会直接影响后一个命令；而在 Dockerfile 中，这两行
RUN 命令的执行环境根本不同，是两个完全不同的容器。这就是对 Dokerfile 构建分层存储的概念不了解所导致的错误。
之前说过每一个
RUN 都是启动一个容器、执行命令、然后提交存储层文件变更。第一层
RUN cd /app 的执行仅仅是当前进程的工作目录变更，一个内存上的变化而已，其结果不会造成任何文件变更。而到第二层的时候，启动的是一个全新的容器，跟第一层的容器更完全没关系，自然不可能继承前一层构建过程中的内存变化。
因此如果需要改变以后各层的工作目录的位置，那么应该使用
WORKDIR 指令。
三、操作容器
容器是 Docker 又一核心概念。
简单的说，容器是独立运行的一个或一组应用，以及它们的运行态环境。对应的，虚拟机可以理解为模拟运行的一整套操作系统（提供了运行态环境和其他系统环境）和跑在上面的应用。
下面将具体介绍如何来管理一个容器，包括创建、启动和停止等。
启动容器
启动容器有两种方式，一种是基于镜像新建一个容器并启动，另外一个是将在终止状态（stopped）的容器重新启动。
因为 Docker 的容器实在太轻量级了，很多时候用户都是随时删除和新创建容器。
新建并启动
所需要的命令主要为
docker run。
例如，下面的命令输出一个 “Hello World”，之后终止容器。
2
3
4
2Hello world
3
4
这跟在本地直接执行
/bin/echo 'hello world' 几乎感觉不出任何区别。
下面的命令则启动一个 bash 终端，允许用户进行交互。
2
3
4
2root@af8bae53bdd3:/#
3
4
其中，
-t 选项让Docker分配一个伪终端（pseudo-tty）并绑定到容器的标准输入上，
-i 则让容器的标准输入保持打开。
当利用
docker run 来创建容器时，Docker 在后台运行的标准操作包括：
- 检查本地是否存在指定的镜像，不存在就从公有仓库下载
- 利用镜像创建并启动一个容器
- 分配一个文件系统，并在只读的镜像层外面挂载一层可读写层
- 从宿主主机配置的网桥接口中桥接一个虚拟接口到容器中去
- 从地址池配置一个 ip 地址给容器
- 执行用户指定的应用程序
- 执行完毕后容器被终止
启动已终止容器
可以利用
docker start 命令，直接将一个已经终止的容器启动运行。
容器的核心为所执行的应用程序，所需要的资源都是应用程序运行所必需的。除此之外，并没有其它的资源。可以在伪终端中利用
ps 或
top 来查看进程信息。
2
3
4
5
6
2 PID TTY TIME CMD
3 1 ? 00:00:00 bash
4 11 ? 00:00:00 ps
5
6
可见，容器中仅运行了指定的 bash 应用。这种特点使得 Docker 对资源的利用率极高，是货真价实的轻量级虚拟化。
后台(background)运行
更多的时候，需要让 Docker在后台运行而不是直接把执行命令的结果输出在当前宿主机下。此时，可以通过添加
-d 参数来实现。
终止容器
可以使用
docker stop 来终止一个运行中的容器。
此外，当Docker容器中指定的应用终结时，容器也自动终止。 例如对于上一章节中只启动了一个终端的容器，用户通过
exit 命令或
Ctrl+d 来退出终端时，所创建的容器立刻终止。
终止状态的容器可以用
docker ps -a 命令看到。例如
2
3
4
5
2CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
3ba267838cc1b ubuntu:14.04 "/bin/bash" 30 minutes ago Exited (0) About a minute ago trusting_newton
498e5efa7d997 training/webapp:latest "python app.py" About an hour ago Exited (0) 34 minutes ago backstabbing_pike
5
进入容器
在使用
-d 参数时，容器启动后会进入后台。 某些时候需要进入容器进行操作，有很多种方法，包括使用
docker attach 命令或
nsenter 工具等。
attach 命令
docker attach 是Docker自带的命令。下面示例如何使用该命令。
2
3
4
5
6
7
8
9
2243c32535da7d142fb0e6df616a3c3ada0b8ab417937c853a9e1c251f499f550
3$ sudo docker ps
4CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
5243c32535da7 ubuntu:latest "/bin/bash" 18 seconds ago Up 17 seconds nostalgic_hypatia
6$sudo docker attach nostalgic_hypatia
7root@243c32535da7:/#
8
9
但是使用
attach 命令有时候并不方便。当多个窗口同时 attach 到同一个容器的时候，所有窗口都会同步显示。当某个窗口因命令阻塞时,其他窗口也无法执行操作了。
删除容器
可以使用
docker rm 来删除一个处于终止状态的容器。 例如
2
3
4
2trusting_newton
3
4
如果要删除一个运行中的容器，可以添加
-f 参数。Docker 会发送
SIGKILL 信号给容器。
清理所有处于终止状态的容器
用
docker ps -a 命令可以查看所有已经创建的包括终止状态的容器，如果数量太多要一个个删除可能会很麻烦，用
docker rm $(docker ps -a -q) 可以全部清理掉。
*注意：这个命令其实会试图删除所有的包括还在运行中的容器，不过就像上面提过的
docker rm 默认并不会删除运行中的容器。
