Docker學習筆記（二） —— 使用Dockerfile 定製鏡像

Dockerfile 是一個文本文件，其內包含了一條條的 指令(Instruction)，每一條指令構建一層，所以每一條指令的內容，就是描述該層應當如何構建。

Dockerfile 指令

FROM 指定基礎鏡像

ROM 就是指定 基礎鏡像，Dockerfile 中 FROM 是必備的指令，而且必須是第一條指令。

FROM scratch 表示一個空白鏡像。因此 scratch 爲基礎鏡像的話，意味着你不以任何鏡像爲基礎，接下來所寫的指令將做爲鏡像第一層開始存在。

RUN 執行命令

RUN 指令是用來執行命令行命令的。因爲命令行的強大能力，RUN 指令在定製鏡像時是最經常使用的指令之一。其格式有兩種：

• shell 格式：RUN <命令> ，就像直接在命令行中輸入的命令同樣。剛纔寫的 Dockerfile 中的 RUN 指令就是這種格式
• exec 格式：RUN ["可執行文件", "參數1", "參數2"]，這更像是函數調用中的格式。

須要注意的是，Dockerfile 中每個指令都會創建一層，因此每一個Run都會建立一層鏡像，若是有多個命令能夠儘可能寫在一個RUN裏面。可使用&& 串聯起來

COPY 複製文件

• COPY [--chown= : ] <源路徑> ... <目標路徑>
• COPY [--chown= : ] [" <源路徑1> ",... " <目標路徑> "]

<目標路徑> 能夠是容器內的絕對路徑，也能夠是相對於工做目錄的相對路徑（工做目錄能夠用 WORKDIR 指令來指定）。目標路徑不須要事先建立，若是目錄不存在會在複製文件前先行建立缺失目錄。

使用 COPY 指令，源文件的各類元數據都會保留。好比讀、寫、執行權限、文件變動時間等。
在使用該指令的時候能夠加上 --chown= : 選項來改變文件的所屬用戶及所屬組。

COPY --chown=55:mygroup files* /mydir/
COPY --chown=bin files* /mydir/
COPY --chown=1 files* /mydir/
COPY --chown=10:11 files* /mydir/

ADD 更高級的複製

ADD 和 COPY 的格式和性質都是基本一致的。區別在於：

• 好比 <源路徑> 能夠是一個 URLDocker 引擎會試圖去下載這個連接的文件放到 <目標路徑> 去。下載後的文件權限自動設置爲 600。
• <源路徑> 爲一個 tar 壓縮文件的話，壓縮格式爲 gzip, bzip2 以及 xz 的狀況下，ADD 指令將會自動解壓縮這個壓縮文件到 <目標路徑> 去

若是權限須要調整的話就須要另外的一層RUN，因此並不推薦使用。
對於複製文件，應該儘量的使用COPY。

CMD 容器啓動命令

與RUN類似，有兩種格式：

• shell 格式：CMD <命令>
• exec 格式：CMD ["可執行文件", "參數1", "參數2"...]

容器就是進程，因此在啓動容器的時候須要指定所運行的程序及參數。CMD 指令就是用於指定默認容器主進程的啓動命令的。

在運行時能夠指定新的命令來替代鏡像設置中的這個默認命令。

須要注意的是 Docker 不是虛擬機，容器中的命令都應該之前臺執行而不是像虛擬機、物理機裏面那樣，用 systemd 去啓動後臺服務，容器內沒有後臺服務的概念。

對於容器而言，其啓動程序就是容器應用進程，容器就是爲了主進程而存在的，主進程退出，容器就失去了存在的意義，從而退出，其它輔助進程不是它須要關心的東西。

栗子：

• 錯誤的寫法

CMD service nginx start

• 正確的寫法

CMD ["nginx", "-g", "daemon off;"]

ENTRYPOINT 入口點

ENTRYPOINT 的目的和 CMD 同樣，都是在指定容器啓動程序及參數。ENTRYPOINT 在運行時也能夠替代，不過比 CMD 要略顯繁瑣，須要經過 docker run 的參數 --entrypoint 來指定。

當指定了 ENTRYPOINT 後，CMD 的含義就發生了改變，再也不是直接的運行其命令，而是將 CMD 的內容做爲參數傳給 ENTRYPOINT 指令，換句話說實際執行時，將變爲：

<ENTRYPOINT> "<CMD>"

ENTRYPOINT的做用：

• 應用運行前的準備工做，好比mysql鏡像在啓動時執行相關的sql，能夠寫一個腳本，而後放入 ENTRYPOINT 中去執行，這個腳本會將接到的參數（也就是 ）做爲命令，在腳本最後執行。

ENV 設置環境變量

格式：

• ENV
• ENV = = ...

支持環境變量的指令：ADD、COPY、ENV、EXPOSE、LABEL、USER、WORKDIR、VOLUME、STOPSIGNAL、ONBUILD。

ARG 構建參數

格式：ARG <參數名> [= <默認值> ]

構建參數和 ENV 的效果同樣，都是設置環境變量。所不一樣的是，ARG 所設置的構建環境的環境變量，在未來容器運行時是不會存在這些環境變量的。可是不要所以就使用 ARG 保存密碼之類的信息，由於 docker history 仍是能夠看到全部值的。

Dockerfile 中的 ARG 指令是定義參數名稱，以及定義其默認值。該默認值能夠在構建命令 docker build 中用 --build-arg <參數名> = <值> 來覆蓋。

VOLUME 定義匿名卷

格式：

• VOLUME [" <路徑1> ", " <路徑2> "...]
• VOLUME <路徑>

容器運行時，應該儘可能保持容器存儲層不發生寫操做，對於數據庫類須要保存動態數據的應用，其數據庫文件應該保存於卷（VOLUME）中。在Dockerfile中，能夠事先指定某些目錄爲掛載爲你命卷，這樣在運行時若是用戶不指定掛載，其應用也能夠正常運行，不會向容器存儲層寫入大量數據。

VOLUME /data

這裏的 /data 目錄就會在運行時自動掛載爲匿名卷，任何想 /data 中寫入的信息都不會記錄進容器存儲層，從而保證了容器存儲層的無狀態化。固然，運行時能夠覆蓋這個掛載設置。好比：

docker run -d -v mydata:/data xxxx

在這行命令中，就使用了 mydata 這個命名卷掛載到了 /data 這個位置，替代了 Dockerfile 中定義的匿名卷的掛載配置。

EXPOSE 聲明端口

格式：

• EXPOSE <端口1> [ <端口2> ...]。

EXPOSE 指令是聲明運行時容器提供服務端口，這只是一個聲明，在運行時並不會由於這個聲明應用就會開啓這個端口的服務。

WORKDIR 指定工做目錄

格式：WORKDIR <工做目錄路徑>

使用 WORKDIR 指令能夠來指定工做目錄（或者稱爲當前目錄），之後各層的當前目錄就被改成指定的目錄，如該目錄不存在，WORKDIR 會幫你創建目錄。

若是須要改變之後各層的工做目錄的位置，應該使用 WORKDIR 指令。

USER 指定當前用戶

格式：

• USER 指定當前用戶

USER 指令和 WORKDIR 類似，都是改變環境狀態並影響之後的層。WORKDIR 是改變工做目錄，USER 則是改變以後層的執行 RUN, CMD 以及 ENTRYPOINT 這類命令的身份。

和 WORKDIR 同樣，USER 只是切換到指定的用戶而已，這個用戶必須是事先創建好的，不然沒法切換。

HEALTHCHECK 健康檢查

格式：

• HEALTHCHECK [選項] CMD <命令> ：設置檢查容器健康情況的命令
• HEALTHCHECK NONE：若是基礎鏡像有健康檢查指令，使用這行能夠屏蔽掉其健康檢查指令

當在一個鏡像指定了 HEALTHCHECK 指令後，用其啓動容器，初始狀態會爲 starting，在 HEALTHCHECK 指令檢查成功後變爲 healthy，若是連續必定次數失敗，則會變爲 unhealthy。

HEALTHCHECK 支持下列選項：

• --interval= <間隔> ：兩次健康檢查的間隔，默認爲 30 秒；
• --timeout= <時長> ：健康檢查命令運行超時時間，若是超過這個時間，本次健康檢查就被視爲失敗，默認 30 秒；
• --retries= <次數> ：當連續失敗指定次數後，則將容器狀態視爲 unhealthy，默認 3 次。

和 CMD, ENTRYPOINT 同樣，HEALTHCHECK 只能夠出現一次，若是寫了多個，只有最後一個生效。

ONBUILD 爲他人作嫁衣裳

格式：

• ONBUILD <其它指令> 。

ONBUILD 是一個特殊的指令，它後面跟的是其它指令，好比 RUN, COPY 等，而這些指令，在當前鏡像構建時並不會被執行。只有當以當前鏡像爲基礎鏡像，去構建下一級鏡像的時候纔會被執行。

docker build 構建命令

格式：

docker build [OPTIONS] PATH | URL | -

參數：

• -build-arg=[] :設置鏡像建立時的變量；

• --cpu-shares :設置 cpu 使用權重；

• --cpu-period :限制 CPU CFS週期；

• --cpu-quota :限制 CPU CFS配額；

• --cpuset-cpus :指定使用的CPU id；

• --cpuset-mems :指定使用的內存 id；

• --disable-content-trust :忽略校驗，默認開啓；

• -f :指定要使用的Dockerfile路徑；

• --force-rm :設置鏡像過程當中刪除中間容器；

• --isolation :使用容器隔離技術；

• --label=[] :設置鏡像使用的元數據；

• -m :設置內存最大值；

• --memory-swap :設置Swap的最大值爲內存+swap，"-1"表示不限swap；

• --no-cache :建立鏡像的過程不使用緩存；

• --pull :嘗試去更新鏡像的新版本；

• --quiet, -q :安靜模式，成功後只輸出鏡像 ID；

• --rm :設置鏡像成功後刪除中間容器；

• --shm-size :設置/dev/shm的大小，默認值是64M；

• --ulimit :Ulimit配置。

• --tag, -t: 鏡像的名字及標籤，一般 name:tag 或者 name 格式；能夠在一次構建中爲一個鏡像設置多個標籤。

• --network: 默認 default。在構建期間設置RUN指令的網絡模式

鏡像構建上下文（Context）

docker build 命令最後有一個 .。. 表示當前目錄，而 Dockerfile 就在當前目錄，所以很多初學者覺得這個路徑是在指定 Dockerfile 所在路徑，這麼理解實際上是不許確的。若是對應上面的命令格式，你可能會發現，這是在指定 上下文路徑。那麼什麼是上下文呢？

首先咱們要理解 docker build 的工做原理。Docker 在運行時分爲 Docker 引擎（也就是服務端守護進程）和客戶端工具。Docker 的引擎提供了一組 REST API，被稱爲 Docker Remote API，而如 docker 命令這樣的客戶端工具，則是經過這組 API 與 Docker 引擎交互，從而完成各類功能。所以，雖然表面上咱們好像是在本機執行各類 docker 功能，但實際上，一切都是使用的遠程調用形式在服務端（Docker 引擎）完成。也由於這種 C/S 設計，讓咱們操做遠程服務器的 Docker 引擎變得垂手可得。

當咱們進行鏡像構建的時候，並不是全部定製都會經過 RUN 指令完成，常常會須要將一些本地文件複製進鏡像，好比經過 COPY 指令、ADD 指令等。而 docker build 命令構建鏡像，其實並不是在本地構建，而是在服務端，也就是 Docker 引擎中構建的。那麼在這種客戶端/服務端的架構中，如何才能讓服務端得到本地文件呢？

這就引入了上下文的概念。當構建的時候，用戶會指定構建鏡像上下文的路徑，docker build 命令得知這個路徑後，會將路徑下的全部內容打包，而後上傳給 Docker 引擎。這樣 Docker 引擎收到這個上下文包後，展開就會得到構建鏡像所需的一切文件。