docker–鏡像製作
- 2019 年 11 月 26 日
- 筆記
7 docker 鏡像製作
docker官方和個人發布的鏡像由於版本等各種原因，漏洞較多，已統計Docker Hub超過 30%的官方鏡像包含高危漏洞。此外，由於網路等原因也會造成docker pull下載鏡像的 速度很慢。基於這種情況，我們可以手動訂製docker系統鏡像。構建鏡像的方式有兩 種：
- 使用 docker commit命令
- 使用 docker build和Dockerfile文件
7.1 docker commit
7.1.1 製作步驟
docker commit：提交一個正在運行的容器為一個新的鏡像 本例：製作一個tomcat鏡像，製作步驟： 1、拉取一個基礎鏡像（其始就是OS） docker pull centos 2、創建一個互動式容器 docker run ‐it ‐‐name=mycentos centos:latest docker run -it --name mycentos centos /bin/bash 3、軟體上傳：將宿主機Tomact、jdk上傳到容器中 yum -y install lrzsz docker cp apache-tomcat-7.0.47.tar.gz mycentos:/root/ docker cp jdk-8u161-linux-x64.tar.gz mycentos:/root/ 4、在容器中安裝jdk （yum install java‐1.7.0‐openjdk） tar ‐zxvf jdk‐8u161‐linux‐x64.tar.gz ‐C /usr/local/ 編輯/etc/profile文件，(vi /etc/profile，之後刷新source /etc/profile， 驗證java -version)添加如下內容： JAVA_HOME=/usr/local/jdk1.8.0_161 export PATH=$JAVA_HOME/bin:$PATH 5、在容器中安裝tomcat tar ‐zxvf apache‐tomcat‐7.0.47.tar.gz ‐C /usr/local/ 編輯tomcat/bin/setclsspath.sh文件，添加如下內容： export JAVA_HOME=/usr/local/jdk1.8.0_161 export JRE_HOME=/usr/local/jdk1.8.0_161/jre 6、啟動tamcat，查看是否安裝成功 /usr/local/apache-tomcat-7.0.47/bin/startup.sh 7、將正在運行的容器提交為一個新的鏡像 docker commit mycentos mytomcat
7.1.2 埠映射
docker run ‐itd ‐‐name=t1 ‐p 8888:8080 mytomcat /bin/bash docker exec t1 /usr/local/apache‐tomcat‐7.0.47/bin/startup.sh 或者docker exec -it t1 /bin/bash /usr/local/apache‐tomcat‐7.0.47/bin/startup.sh
注意：盡量手敲，複製終端可能不識別，報各種錯誤
7.1.4 容器/鏡像打包
鏡像打包： 1、鏡像打包： docker save ‐o /root/tomcat7.tar mytomcat 2、將打包的鏡像上傳到其他伺服器 scp tomcat7.tar 其他伺服器ip:/root 3、導入鏡像 docker load ‐i /root/tomcat7.tar 容器打包： 1、容器打包 docker export ‐o /root/t1.tar t1 2、導入容器 docker import t1.tar mytomcat:latest
7.2 docker builder
Dockerfile使用基本的基於DSL語法的指令來構建一個Docker鏡像，之後使用docker builder命令基於該Dockerfile中的指令構建一個新的鏡像。
7.2.1 DSL語法
DSL語法： 1）FROM（指定基礎image） 構建指令，必須指定且需要在Dockerfile其他指令的前面。後續的指令都依賴於該指令指定 的image。FROM指令指定的基礎image可以是官方遠程倉庫中的，也可以位於本地倉庫。 FROM命令告訴docker我們構建的鏡像是以哪個(發行版)鏡像為基礎的。第一條指令必須是 FROM指令。並且，如果在同一個Dockerfile中創建多個鏡像時，可以使用多個 FROM 指 令。 該指令有兩種格式： FROM <image> 指定基礎image為該image的最後修改的版本。或者： FROM <image>:<tag> 指定基礎image為該image的一個tag版本。 RUN後面接要執行的命令，比如，我們想在鏡像中安裝vim，只需在Dockfile中寫入 RUN yum install ‐y vim 2）MAINTAINER（用來指定鏡像創建者資訊） 構建指令，用於將image的製作者相關的資訊寫入到image中。當我們對該image執行docker inspect命令時，輸出中有相應的欄位記錄該資訊。 格式： MAINTAINER <name> 3）RUN（安裝軟體用） 構建指令，RUN可以運行任何被基礎image支援的命令。如基礎image選擇了ubuntu，那麼軟 件管理部分只能使用ubuntu的命令。 該指令有兩種格式： RUN <command> RUN ["executable", "param1", "param2" ... ] 4）CMD（設置container啟動時執行的操作） 設置指令，用於container啟動時指定的操作。該操作可以是執行自定義腳本，也可以是執 行系統命令。該指令只能在文件中存在一次，如果有多個，則只執行最後一條。 該指令有三種格式： CMD ["executable","param1","param2"] CMD command param1 param2 當Dockerfile指定了ENTRYPOINT，那麼使用下面的格式： CMD ["param1","param2"] 其中： ENTRYPOINT指定的是一個可執行的腳本或者程式的路徑，該指定的腳本或者程式將會以 param1和param2作為參數執行。 所以如果CMD指令使用上面的形式，那麼Dockerfile中必須要有配套的ENTRYPOINT。 5）ENTRYPOINT（設置container啟動時執行的操作） 設置指令，指定容器啟動時執行的命令，可以多次設置，但是只有最後一個有效。 兩種格式: ENTRYPOINT ["executable", "param1", "param2"] ENTRYPOINT command param1 param2 該指令的使用分為兩種情況，一種是獨自使用，另一種和CMD指令配合使用。 當獨自使用時，如果你還使用了CMD命令且CMD是一個完整的可執行的命令，那麼CMD指令和 ENTRYPOINT會互相覆蓋，只有最後一個CMD或者ENTRYPOINT有效。 # CMD指令將不會被執行，只有ENTRYPOINT指令被執行 CMD echo 「Hello, World!」 ENTRYPOINT ls ‐l 另一種用法和CMD指令配合使用來指定ENTRYPOINT的默認參數，這時CMD指令不是一個完整 的可執行命令，僅僅是參數部分； ENTRYPOINT指令只能使用JSON方式指定執行命令，而不能指定參數。 FROM ubuntu CMD ["‐l"] ENTRYPOINT ["/usr/bin/ls"] 6）USER（設置container容器的用戶） 設置指令，設置啟動容器的用戶，默認是root用戶。 # 指定memcached的運行用戶 ENTRYPOINT ["memcached"] USER daemon 或者 ENTRYPOINT ["memcached", "‐u", "daemon"] 7）EXPOSE（指定容器需要映射到宿主機器的埠） 設置指令，該指令會將容器中的埠映射成宿主機器中的某個埠。當你需要訪問容器的時 候，可以不是用容器的IP地址而是使用宿主機器的IP地址和映射後的埠。 要完成整個操作需要兩個步驟，首先在Dockerfile使用EXPOSE設置需要映射的容器埠， 然後在運行容器的時候指定‐p選項加上EXPOSE設置的埠，這樣EXPOSE設置的埠號會被 隨機映射成宿主機器中的一個埠號。 也可以指定需要映射到宿主機器的那個埠，這時要確保宿主機器上的埠號沒有被使用。 EXPOSE指令可以一次設置多個埠號，相應的運行容器的時候，可以配套的多次使用‐p選 項。 格式: EXPOSE <port> [<port>...] # 映射一個埠 EXPOSE port1 # 相應的運行容器使用的命令 docker run ‐p port1 image # 映射多個埠 EXPOSE port1 port2 port3 # 相應的運行容器使用的命令 docker run ‐p port1 ‐p port2 ‐p port3 image # 還可以指定需要映射到宿主機器上的某個埠號 docker run ‐p host_port1:port1 ‐p host_port2:port2 ‐p host_port3:port3 image 埠映射是docker比較重要的一個功能，原因在於我們每次運行容器的時候容器的IP地址不 能指定而是在橋接網卡的地址範圍內隨機生成的。 宿主機器的IP地址是固定的，我們可以將容器的埠的映射到宿主機器上的一個埠，免去 每次訪問容器中的某個服務時都要查看容器的IP的地址。 對於一個運行的容器，可以使用docker port加上容器中需要映射的埠和容器的ID來查看 該埠號在宿主機器上的映射埠。 8）ENV（用於設置環境變數） 主要用於設置容器運行時的環境變數 格式: ENV <key> <value> 設置了後，後續的RUN命令都可以使用，container啟動後，可以通過docker inspect查看 這個環境變數，也可以通過在docker run ‐‐env key=value時設置或修改環境變數。 假如你安裝了JAVA程式，需要設置JAVA_HOME，那麼可以在Dockerfile中這樣寫： ENV JAVA_HOME /path/to/java/dirent 9）ADD（從src複製文件到container的dest路徑） 主要用於將宿主機中的文件添加到鏡像中 構建指令，所有拷貝到container中的文件和文件夾許可權為0755，uid和gid為0；如果是一 個目錄，那麼會將該目錄下的所有文件添加到container中，不包括目錄； 如果文件是可識別的壓縮格式，則docker會幫忙解壓縮（注意壓縮格式）；如果<src>是文 件且<dest>中不使用斜杠結束，則會將<dest>視為文件，<src>的內容會寫入<dest>； 如果<src>是文件且<dest>中使用斜杠結束，則會<src>文件拷貝到<dest>目錄下。 格式: ADD <src> <dest> <src> 是相對被構建的源目錄的相對路徑，可以是文件或目錄的路徑，也可以是一個遠程的 文件url; <dest> 是container中的絕對路徑 10）VOLUME（指定掛載點)） 設置指令，使容器中的一個目錄具有持久化存儲數據的功能，該目錄可以被容器本身使用， 也可以共享給其他容器使用。我們知道容器使用的是AUFS， 這種文件系統不能持久化數據，當容器關閉後，所有的更改都會丟失。當容器中的應用有持 久化數據的需求時可以在Dockerfile中使用該指令。 格式: VOLUME ["<mountpoint>"] 例如： FROM base VOLUME ["/tmp/data"] 運行通過該Dockerfile生成image的容器，/tmp/data目錄中的數據在容器關閉後，裡面的 數據還存在。 例如另一個容器也有持久化數據的需求，且想使用上面容器共享的/tmp/data目錄，那麼可 以運行下面的命令啟動一個容器： docker run ‐t ‐i ‐rm ‐volumes‐from container1 image2 bash 其中：container1為第一個容器的ID，image2為第二個容器運行image的名字。 1.2.2 案例 11）WORKDIR（切換目錄） 設置指令，可以多次切換(相當於cd命令)，對RUN,CMD,ENTRYPOINT生效。 格式: WORKDIR /path/to/workdir # 在/p1/p2下執行vim a.txt WORKDIR /p1 WORKDIR p2 RUN vim a.txt 12）ONBUILD（在子鏡像中執行） 格式： ONBUILD <Dockerfile關鍵字> ONBUILD 指定的命令在構建鏡像時並不執行，而是在它的子鏡像中執行。
7.2.2 案例
通過dockerfile構建鏡像步驟： 1、創建一個目錄 2、在目錄下創建Dockerfile文件以及其他文件 3、通過docker build構建鏡像 4、通過構建的鏡像啟動容器 栗子： 1、創建一個目錄：/usr/local/rw_test 2、編輯Dockerfile文件,vim Dockerfile 3、編輯內容如下 #pull down centos image FROM docker.io/centos MAINTAINER ruanwen [email protected] #install nginx RUN yum install ‐y pcre pcre‐devel openssl openssl‐devel gcc gcc+ wget vim net‐tools RUN useradd www ‐M ‐s /sbin/nologin RUN cd /usr/local/src && wget http://nginx.org/download/nginx‐ 1.8.0.tar.gz && tar ‐zxvf nginx‐1.8.0.tar.gz RUN cd /usr/local/src/nginx‐1.8.0 && ./configure ‐‐ prefix=/usr/local/nginx ‐‐user=www ‐‐group=www ‐‐with‐ http_stub_status_module ‐‐with‐http_ssl_module && make && make install ENTRYPOINT /usr/local/nginx/sbin/nginx && tail ‐f /usr/local/nginx/logs/access.log 4、在rw_test目錄下構建鏡像： docker build ‐t rw_nginx ‐‐rm=true . ‐t 表示選擇指定生成鏡像的用戶名，倉庫名和tag ‐‐rm=true 表示指定在生成鏡像過程中刪除中間產生的臨時容器。 注意：上面構建命令中最後的.符號不要漏了，表示使用當前目錄下的Dockerfile構建鏡像 5、測試 docker run ‐ti ‐d ‐‐name test_nginx ‐p 8899:80 rw_nginx /bin/bash docker exec test_nginx /bin/bash 通過瀏覽器訪問：http://ip:8899
