与docker标签相关的技术文章 - 时代Java，与您同行！

时代Java，与您同行！关注微信公众号，关注前沿技术，微信搜索：nowjava或时代Java，也可点击这里扫码关注

时代Java

登录注册

与 “docker” 标签相关内容。

安装

安装 Compose 之前，要先安装 Docker，在此不再赘述。PIP 安装这种方式最为推荐。执行命令。sh$ sudo pip install -U docker-compose安装成功后，可以查看 docker-compose 命令的用法。sh$ docker-compose -hFast, isolated development environments using Docker.Usage: docker-compose [options] [COMMAND] [ARGS...

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

安装， docker， mdash，入门，实践
简介

Compose 项目目前在 Github 上进行维护，目前最新版本是 1.2.0。Compose 定位是“defining and running complex applications with Docker”，前身是 Fig，兼容 Fig 的模板文件。Dockerfile 可以让用户管理一个单独的应用容器；

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

简介， docker， mdash，入门，实践
Docker 网络实现

Docker 的网络实现其实就是利用了 Linux 上的网络名字空间和虚拟网络设备（特别是 veth pair）。建议先熟悉了解这两部分的基本概念再阅读本章。基本原理首先，要实现网络通信，机器需要至少一个网络接口（物理接口或虚拟接口）来收发数据包；此外，如果不同子网之间要进行通信，需要路由机制。Docker 中的网络接口默认都是虚拟的接口。虚拟接口的优势之一是转发效率较高。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

docker，网络，实现， mdash，入门
容器格式

最初，Docker 采用了 LXC 中的容器格式。自 1.20 版本开始，Docker 也开始支持新的 libcontainer 格式，并作为默认选项。对更多容器格式的支持，还在进一步的发展中。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

容器，格式， docker， mdash，入门
联合文件系统

联合文件系统（UnionFS）是一种分层、轻量级并且高性能的文件系统，它支持对文件系统的修改作为一次提交来一层层的叠加，同时可以将不同目录挂载到同一个虚拟文件系统下(unite several directories into a single virtual filesystem)。联合文件系统是 Docker 镜像的基础。镜像可以通过分层来进行继承，基于基础镜像（没有父镜像），可以制作各种具体的应用镜像。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

联合，文件系统， docker， mdash，入门
控制组

控制组（cgroups）是 Linux 内核的一个特性，主要用来对共享资源进行隔离、限制、审计等。只有能控制分配到容器的资源，才能避免当多个容器同时运行时的对系统资源的竞争。控制组技术最早是由 Google 的程序员 2006 年起提出，Linux 内核自 2.6.24 开始支持。控制组可以提供对容器的内存、CPU、磁盘 IO 等资源的限制和审计管理。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

控制组， docker， mdash，入门，实践
名字空间

名字空间是 Linux 内核一个强大的特性。每个容器都有自己单独的名字空间，运行在其中的应用都像是在独立的操作系统中运行一样。名字空间保证了容器之间彼此互不影响。pid 名字空间不同用户的进程就是通过 pid 名字空间隔离开的，且不同名字空间中可以有相同 pid。所有的 LXC 进程在 Docker 中的父进程为Docker进程，每个 LXC 进程具有不同的名字空间。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

名字，空间， docker， mdash，入门
基本架构

Docker 采用了 C/S架构，包括客户端和服务端。Docker daemon 作为服务端接受来自客户的请求，并处理这些请求（创建、运行、分发容器）。客户端和服务端既可以运行在一个机器上，也可通过 socket 或者 RESTful API 来进行通信。Docker daemon 一般在宿主主机后台运行，等待接收来自客户端的消息。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

基本，架构， docker， mdash，入门
创建镜像

编写完成 Dockerfile 之后，可以通过 docker build 命令来创建镜像。基本的格式为 docker build [选项] 路径，该命令将读取指定路径下（包括子目录）的 Dockerfile，并将该路径下所有内容发送给 Docker 服务端，由服务端来创建镜像。因此一般建议放置 Dockerfile 的目录为空目录。也可以通过 .

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

创建，镜像， docker， mdash，入门
指令

指令的一般格式为 INSTRUCTION arguments，指令包括 FROM、MAINTAINER、RUN 等。FROM格式为 FROM <image>或FROM <image>:<tag>。第一条指令必须为 FROM 指令。并且，如果在同一个Dockerfile中创建多个镜像时，可以使用多个 FROM 指令（每个镜像一次）。MAINTAINER格式为 MAINTAINER <name>，指定维护者信息。RUN格式为 RUN <command>

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

指令， docker， mdash，入门，实践
基本结构

Dockerfile 由一行行命令语句组成，并且支持以 # 开头的注释行。一般的，Dockerfile 分为四部分：基础镜像信息、维护者信息、镜像操作指令和容器启动时执行指令。例如# This dockerfile uses the ubuntu image# VERSION 2 - EDITION 1# Author: docker_user# Command format: Instruction [arguments / command] ..

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

基本，结构， docker， mdash，入门
总结

总体来看，Docker 容器还是十分安全的，特别是在容器内不使用 root 权限来运行进程的话。另外，用户可以使用现有工具，比如 Apparmor, SELinux, GRSEC 来增强安全性；甚至自己在内核中实现更复杂的安全机制。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

总结， docker， mdash，入门，实践
其它安全特性

除了能力机制之外，还可以利用一些现有的安全机制来增强使用 Docker 的安全性，例如 TOMOYO, AppArmor, SELinux, GRSEC 等。Docker 当前默认只启用了能力机制。用户可以采用多种方案来加强 Docker 主机的安全，例如：在内核中启用 GRSEC 和 PAX，这将增加很多编译和运行时的安全检查；通过地址随机化避免恶意探测等。并且，启用该特性不需要 Docker 进行任何配置。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

其它，安全，特性， docker， mdash
内核能力机制

能力机制（Capability）是 Linux 内核一个强大的特性，可以提供细粒度的权限访问控制。Linux 内核自 2.2 版本起就支持能力机制，它将权限划分为更加细粒度的操作能力，既可以作用在进程上，也可以作用在文件上。例如，一个 Web 服务进程只需要绑定一个低于 1024 的端口的权限，并不需要 root 权限。那么它只需要被授权 net_bind_service 能力即可。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

内核，能力，机制， docker， mdash
服务端的防护

运行一个容器或应用程序的核心是通过 Docker 服务端。Docker 服务的运行目前需要 root 权限，因此其安全性十分关键。首先，确保只有可信的用户才可以访问 Docker 服务。Docker 允许用户在主机和容器间共享文件夹，同时不需要限制容器的访问权限，这就容易让容器突破资源限制。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

服务端，防护， docker， mdash，入门
控制组

控制组是 Linux 容器机制的另外一个关键组件，负责实现资源的审计和限制。它提供了很多有用的特性；以及确保各个容器可以公平地分享主机的内存、CPU、磁盘 IO 等资源；当然，更重要的是，控制组确保了当容器内的资源使用产生压力时不会连累主机系统。尽管控制组不负责隔离容器之间相互访问、处理数据和进程，它在防止拒绝服务（DDOS）攻击方面是必不可少的。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

控制组， docker， mdash，入门，实践
内核名字空间

Docker 容器和 LXC 容器很相似，所提供的安全特性也差不多。当用 docker run 启动一个容器时，在后台 Docker 为容器创建了一个独立的名字空间和控制组集合。名字空间提供了最基础也是最直接的隔离，在容器中运行的进程不会被运行在主机上的进程和其它容器发现和作用。每个容器都有自己独有的网络栈，意味着它们不能访问其他容器的 sockets 或接口。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

内核，名字，空间， docker， mdash
创建 Tomcat/Weblogic 集群

安装 Tomcat 镜像准备好需要的 jdk、tomcat 等软件放到 home 目录下面，启动一个容器docker run -t -i -v /home:/opt/data --name mk_tomcat ubuntu /bin/bash这条命令挂载本地 home 目录到容器的 /opt/data 目录，容器内目录若不存在，则会自动创建。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

创建， tomcat， weblogic，集群， docker
使用 Supervisor 来管理进程

Docker 容器在启动的时候开启单个进程，比如，一个 ssh 或者 apache 的 daemon 服务。但我们经常需要在一个机器上开启多个服务，这可以有很多方法，最简单的就是把多个启动命令放到一个启动脚本里面，启动的时候直接启动这个脚本，另外就是安装进程管理工具。本小节将使用进程管理工具 supervisor 来管理容器中的多个进程。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

使用， supervisor，管理，进程， docker
编辑网络配置文件

Docker 1.2.0 开始支持在运行中的容器里编辑 /etc/hosts, /etc/hostname 和 /etc/resolve.conf 文件。但是这些修改是临时的，只在运行的容器中保留，容器终止或重启后并不会被保存下来。也不会被 docker commit 提交。

黑派客 2020-08-04 05:37:59 2020-08-04 05:37:59

编辑，网络，配置文件， docker， mdash

安装

简介

Docker 网络实现

容器格式

联合文件系统

控制组

名字空间

基本架构

创建镜像

指令

基本结构

总结

其它安全特性

内核能力机制

服务端的防护

控制组

内核名字空间

创建 Tomcat/Weblogic 集群

使用 Supervisor 来管理进程

编辑网络配置文件

热门标签

社区

关于