【Docker技术详解】（一）Docker镜像文件系统的关系和交互

Docker镜像文件系统的关系和交互

Docker 是用于容器化应用程序的平台，它通过镜像和容器来实现应用的隔离和管理。在这个过程中，Docker 镜像的文件系统与宿主机的文件系统之间有特定的关系和交互方式。本文将详细讨论这些关系，并提供一些示例来帮助理解。

一、Docker 镜像的文件系统

Docker 镜像是应用程序的只读模板，包含了运行应用所需的一切，包括操作系统、软件包、代码等。镜像由多层文件系统构成，每一层代表一个变化或者添加。镜像本身是不可变的，确保了其一致性和稳定性。

• 示例：

  在终端中输入以下命令来查看镜像的层次结构：

  docker history <image-name>
  

  这个命令将显示镜像中每一层的信息，例如创建时间、大小等。

docker history <image-name> 命令用于查看指定 Docker 镜像的历史构建信息。每一层镜像构建步骤的信息，包括对应的命令和创建时间等，都会显示出来。这个命令有几个可用的选项，以下是详细的解释：

1. --help:

   • 用于显示命令的帮助信息，帮助理解命令及其选项的使用。

2. -H, --human:

   • 默认情况下这个选项被启用，输出的信息会在“大小”列以可读形式显示（例如 KB, MB）。你可以使用 --no-trunc 禁用此选项来显示完整大小信息。

3. --no-trunc:

   • 使用该选项时，会显示所有信息的完整输出，而不是被截断的形式。例如，镜像 ID 通常以较短的形式显示，而使用此选项后会显示完整的 SHA256 哈希字符串。

4. -q, --quiet:

   • 该选项用于只显示镜像的 ID 列表，省略其他详细信息。这对于需要获取层 ID 的自动化脚本或进一步处理非常有用。

5. --format:

   • 允许你自定义输出格式。这个选项接收 Go 模板语法，可以指定哪些列需要显示以及如何显示。这是一个高度灵活的选项，可用来调整显示内容以满足特定需求。

实例

假设你需要查看名为 my-image 的镜像历史，你可以执行以下命令：

docker history my-image

如果你想查看不截断的输出：

docker history --no-trunc my-image

如果想以特定格式显示，可以使用 --format：

docker history --format "{{.ID}}: {{.CreatedBy}}" my-image

二、容器的文件系统

当一个容器从镜像启动时，Docker 会在宿主机上为该容器分配一个独立的文件系统，基于镜像的文件系统构建，添加一个可写层（写时复制，Copy-On-Write）。

• 示例：

  运行以下命令创建一个新容器：

  docker run -d --name my_container <image-name>
  

  当你对容器内文件进行更改时，实际上是对镜像的可写层进行操作，而镜像本身不会受到影响。

docker run -d --name my_container <image-name> 命令用于基于指定的 Docker 镜像启动一个新的容器。以下是该命令及其选项的详细解释：

1. docker run:

   • 这是用于创建并启动一个新的 Docker 容器的核心命令。

2. -d:

   • 这个选项表示容器将以“分离模式”（detached mode）运行。也就是说，容器将在后台运行，而不会在当前终端窗口中附加和显示日志输出。这对于运行长期后台服务的应用程序（如 web 服务器、数据库等）非常有用。

3. --name my_container:

   • --name 选项用于为正在创建的容器指定一个自定义名称。在这个例子中，容器的名称被设置为 my_container。为容器分配一个清晰的名称可以在管理时更加便捷，因为你可以使用这个名称来启动、停止或删除容器，而不是依赖系统生成的随机名称或容器 ID。

4. <image-name>:

   • 这个部分需要替换为你想要使用的 Docker 镜像的名字，也可以包含镜像的标签（例如，my-image:latest）。Docker 将基于这个镜像启动一个新的容器实例。

实例

假设你想基于名为 nginx:latest 的镜像启动一个名为 my_nginx 的容器，你可以运行：

docker run -d --name my_nginx nginx:latest

运行这个命令后，Docker 守护进程会查找本地是否有 nginx:latest 镜像，如果没有，则会从 Docker Hub 下载。然后，它将在后台启动一个名为 my_nginx 的新容器。

三、文件系统的交互方式

1. 绑定挂载（Bind Mounts）

   绑定挂载是宿主机和容器进行文件系统交互的一种常用方式。通过绑定挂载，你可以将宿主机的目录挂载到容器中。

   • 示例：

     docker run -v /host/path:/container/path <image-name>
     

     以上命令将宿主机目录 /host/path 挂载到容器内的 /container/path。任何对容器路径的更改都会反映到宿主机的路径上。

命令用于在启动 Docker 容器时，将宿主机上的目录 /host/path 挂载到容器内的 /container/path。这样做的目的是使容器能够访问和修改宿主机的目录。这种挂载方式有几个主要特点和用途：

1.1. 数据持久化:

• 如果只在容器内存储数据，当容器被删除时数据也会丢失。通过挂载宿主机目录，即使容器被删除，数据依然保留在宿主机中。

1.2. 实时同步:

• 容器内对 /container/path 目录所做的更改会立即反映在宿主机的 /host/path 目录上，反之亦然。这对于需要频繁查看或处理容器生成的数据的场景非常有用。

1.3. 共享数据:

• 不同的容器可以通过挂载同一宿主机目录共享数据。这对于需要协同工作的多个容器来说非常实用。

1.4. 开发与调试:

• 在开发过程中，挂载源代码目录到容器中可以让开发者快速看到应用在容器中的运行效果而不需要重新构建镜像。

对于这个命令，还有一些需要注意的事项：

• 权限问题:

  • 挂载目录时，需要考虑文件的读写权限。根据需要，可以在挂载选项中指定只读或读写模式。

• 路径的适配:

  • 确保宿主机路径存在，否则会导致容器无法启动。此外，路径适配要考虑到不同操作系统中文件路径格式不同的问题。

• 安全性:

  • 由于挂载目录使得容器对宿主机的文件有了访问权限，可能带来安全风险，必须确保容器中的进程是可信的。

指定挂载模式的例子：

• 将目录以只读方式挂载：

  docker run -v /host/path:/container/path:ro <image-name>
  

通过 :ro 选项，表示容器内的目录是只读的，无法修改宿主机的文件内容。

1. 卷（Volumes）

   卷是用于数据持久化和容器间数据共享的首选方法。卷是由 Docker 管理的文件系统，独立于宿主机。

   • 示例：

     创建卷并将其挂载到容器：

     docker volume create my_volume
     docker run -v my_volume:/container/path <image-name>
     

     在这个示例中，my_volume 代表一个由 Docker 管理的卷，它挂载到容器路径 /container/path。即使容器被删除，数据仍然保存在卷中。

在 Docker 中，卷（volume）是用于持久化和共享数据的一种机制。卷是由 Docker 管理的，适用于跨容器共享和持久数据存储。以下是更详细的解释和步骤，帮助你理解如何创建和挂载卷：

创建卷

docker volume create my_volume

• docker volume create my_volume 这条命令用于创建一个名为 my_volume 的卷。此操作是即时的，并且不附带任何额外的选项时，Docker 会使用默认设置来创建卷。

运行容器并挂载卷

docker run -v my_volume:/container/path <image-name>

• docker run 是用于启动一个新的容器的命令。
• -v my_volume:/container/path 选项用于将之前创建的卷 my_volume 挂载到容器内的 /container/path 路径：
  • my_volume 是你想要挂载到容器的卷的名称。
  • /container/path 是希望该卷在容器内表示为的路径。

为什么使用卷？

1. 数据持久化：

   • 即使容器被删除，数据仍然保存在卷中。这对于确保数据不因容器生命周期结束而丢失非常重要。

2. 数据共享：

   • 多个容器可以同时访问和共享卷中的数据，这对于需要在多个服务或应用间交换数据的场景特别有用。

3. 简化备份和恢复：

   • 因为卷是独立于容器管理的，对卷进行备份和恢复操作比直接操作容器文件系统更为直接和容易。

4. 性能优势：

   • 在某些情况下，使用卷可以获得比绑定挂载更好的性能。

这种卷的使用方式在复杂的 Docker 部署环境中非常普遍，尤其是在需要持久化状态或配置数据的应用中。通过巧妙使用卷，可以创建更为灵活和容错的容器化应用。

1. tmpfs 挂载

   tmpfs 是一种特殊的内存文件系统挂载方式，数据存储在宿主机内存中，而不是磁盘上。适合于需要快速访问的数据，但这些数据不需要持久化。

   • 示例：

     docker run --tmpfs /container/tmpfs_path <image-name>
     

     该命令在容器路径 /container/tmpfs_path 上创建一个 tmpfs 文件系统。

--tmpfs 选项

3.1. 功能:

• --tmpfs 选项用于在容器内指定路径上挂载一个 tmpfs 文件系统（即临时存储），该文件系统驻留在内存中而非磁盘上。这对于需要快速读写访问而又不需要持久化存储的数据特别有用，如缓存、临时文件等。

3.2. 语法:

• --tmpfs <container-path>：指定容器路径作为 tmpfs 文件系统的挂载点。例如，--tmpfs /container/tmpfs_path 表明在容器的 /container/tmpfs_path 路径使用 tmpfs。

3.33. 特点与优势:

• 性能: 由于数据存储在内存中，读写速度非常快。
• 弹性: tmpfs 根据需要分配内存，未使用的部分不会占用物理内存。
• 安全性: 重启容器或停止后，临时数据将消失，不会残留。
• 无持久性: 适用于需要临时存储且无需持久化的数据。

3.4. 典型使用场景:

• 缓存临时数据以提高 I/O 性能。
• 存储敏感数据以增强容器启动后的数据清理，增强隐私。
• 减少对磁盘的读写，延长磁盘使用寿命。

示例

假设你要启动一个容器镜像并在其中创建一个临时存储路径，命令如下：

docker run --tmpfs /container/tmpfs_path my-image

• 在此示例中，当容器启动时，会在容器中的 /container/tmpfs_path 路径上挂载一个 tmpfs 文件系统。
• 该文件系统的内容在容器生命周期内有效，当容器停止或重新启动时，内容不会被保留。

这是一个有用的技巧，尤其在需要高吞吐量或为临时数据提供快速存储时，使用 --tmpfs 是不错的选择。

四、访问容器内的文件系统

你可以使用 Docker 提供的命令进入正在运行的容器，从而访问和操作容器的文件系统。

• 示例：

docker exec 命令用于在已经运行的 Docker 容器中执行命令。在你给出的例子中：

docker exec -it my_container /bin/bash

这个命令的作用是：

• exec: 命令用于在一个运行中的容器内执行指定的命令。

• -i: 选项使得标准输入（STDIN）保持打开状态，即使没有连接到容器。这个选项通常和-t结合使用，使终端保持交互式。

• -t: 选项分配一个伪终端（pseudo-TTY）。这个选项在需要交互式会话时很重要，比如使用 /bin/bash 操作命令行。

• my_container: 是目标容器的名称或 ID。在这个例子中，你打算进入名为 my_container 的容器。

• /bin/bash: 是你希望执行的命令。在这种情况下，它是一个 Bash shell，使你能够在进入容器后使用常用的 Linux 命令。

进入容器后的操作

进入容器内部后，你可以像在普通的 Linux 环境中一样使用常用的命令来管理和查看文件。例如：

• 使用 ls 列出目录内容：

  ls
  

• 使用 cd 切换目录：

  cd /path/to/directory
  

• 使用 cat 查看文件内容：

  cat filename.txt
  

• 使用 vi 或 nano 编辑文件：

  vi filename.txt
  

• 使用 cp 复制文件：

  cp source_file destination_file
  

• 使用 mv 移动或重命名文件：

  mv old_name new_name
  

• 使用 rm 删除文件：

  rm filename.txt
  

这些命令帮助你管理容器内的文件和目录，就像在典型的 Linux 系统上操作一样。请注意，容器中的更改（例如添加或删除文件）在容器被停止或删除后不会被持久化，除非你使用了卷挂载或将更改提交为新镜像。

五、总结

Docker 镜像和宿主机文件系统之间是相互独立但又通过挂载进行关联的。这种设计保证了容器的独立性和安全性，同时提供了灵活的数据管理能力。通过理解这些概念和机制，可以更好地管理和优化 Docker 环境中的数据和文件系统交互。