1. Docker 到底解决了什么问题作为一名从物理机时代走过来的老运维第一次接触Docker时确实被它的设计哲学震撼到了。记得2014年那会儿我们还在用Shell脚本批量部署环境每次上线都要在十几台服务器上重复安装依赖、配置环境变量。最痛苦的是测试环境和生产环境的不一致问题 - 在我本地明明是好的这句话成了开发人员的口头禅。Docker本质上解决的是应用交付的标准化问题。想象一下集装箱对海运业的革命无论里面装的是汽车还是香蕉集装箱的规格都是统一的。Docker容器就是软件世界的集装箱它将应用及其所有依赖代码、运行时、系统工具、系统库打包成一个标准化的单元。我特别喜欢这个类比物理机时代就像散装运输每艘船服务器的货物摆放方式都不同虚拟机时代给每批货物配了专属货舱VM但货舱本身很重容器时代标准集装箱容器可以在任何货轮主机上即插即用具体来说Docker主要解决了以下痛点环境一致性问题我们团队曾经因为开发机用的是OpenJDK 8而生产环境是Oracle JDK 7导致GC行为差异引发线上事故。现在用Docker镜像固化环境从开发到生产完全一致。资源利用率问题以前用虚拟机部署单体应用CPU利用率经常不到10%。现在同一台物理机通过容器部署微服务资源利用率提升3-5倍是常态。快速部署与扩展电商大促时我们通过容器编排工具能在5分钟内扩容200个节点这在虚拟机时代需要提前一周准备。版本控制与回滚每个镜像都有唯一tag出现问题可以立即回滚到上个版本再也不用担心依赖地狱。2. 镜像与容器的本质区别新手最容易混淆的概念就是镜像Image和容器Container。让我用做菜来类比镜像就像菜谱食材包包含完整的做菜指南启动命令和所有原料应用代码、依赖库容器是按菜谱做出来的菜品每次执行docker run就像按菜谱做一次菜2.1 镜像的层次化结构镜像采用分层存储设计这是Docker的精妙之处。当我构建一个Python应用镜像时FROM python:3.8-slim # 基础层 - 就像操作系统安装盘 WORKDIR /app # 元数据层 - 记录配置信息 COPY . . # 文件层 - 添加代码 RUN pip install -r requirements.txt # 执行层 - 安装依赖 CMD [python, app.py] # 启动指令层每行指令都会创建一个新层。这种设计带来三大优势存储高效多个镜像可以共享基础层快速构建只需重建变更的层版本追溯可以精确查看每层的内容经验提示构建镜像时把变动频率低的层放在前面能更好利用缓存。比如先安装依赖再拷贝代码。2.2 容器的运行时特性容器实质上是镜像的运行实例但有几个关键特性写时复制CoW容器层是镜像之上的可写层所有修改都发生在这里。这解释了为什么删除容器后改动会丢失。隔离性通过Linux的namespace实现资源隔离cgroups实现资源限制。但注意容器与宿主机共享内核这与虚拟机有本质不同。临时性容器设计上是临时性的重要数据应该通过volume持久化。我们曾经因为没挂载volume导致数据库容器重启后数据丢失。3. 核心组件工作原理3.1 Docker架构全景Docker采用客户端-服务器架构主要组件包括------------- REST API --------------- | Docker CLI | ------------ | Docker Daemon | ------------- --------------- | v ---------------- | Containers | | (runtime) | ---------------- | v ---------------- | Images | | (存储层) | ----------------实际体验案例当执行docker run -it ubuntu bash时CLI将命令通过/var/run/docker.sock发送给daemonDaemon检查本地是否有ubuntu镜像没有则从Registry拉取创建可写容器层分配文件系统、网络接口执行/bin/bash命令3.2 网络模型详解Docker的网络设计经常让新手困惑。默认创建的容器会有三种网络bridge默认网络容器通过docker0虚拟网卡通信host直接使用宿主机网络栈none无网络连接我们生产环境常用自定义bridge网络docker network create --driver bridge mynet docker run --networkmynet -d --namemysql mysql:5.7 docker run --networkmynet -it --link mysql centos curl mysql:3306避坑指南早期用--link连接容器会导致依赖关系混乱现在应该用自定义网络服务发现。4. 实战操作全流程4.1 安装与配置优化以CentOS 7为例推荐安装方式# 卸载旧版本 sudo yum remove docker* # 安装依赖 sudo yum install -y yum-utils device-mapper-persistent-data lvm2 # 配置阿里云镜像源国内加速 sudo yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo # 安装社区版 sudo yum install -y docker-ce docker-ce-cli containerd.io # 启动并设置开机自启 sudo systemctl enable --now docker # 将当前用户加入docker组避免每次sudo sudo usermod -aG docker $USER newgrp docker # 刷新组权限关键配置优化/etc/docker/daemon.json{ registry-mirrors: [https://你的ID.mirror.aliyuncs.com], log-driver: json-file, log-opts: { max-size: 100m, max-file: 3 }, data-root: /data/docker # 修改默认存储位置 }4.2 镜像操作实战拉取镜像的完整过程# 搜索官方镜像 docker search nginx # 拉取指定版本不指定tag默认latest docker pull nginx:1.21-alpine # 查看镜像分层 docker history nginx:1.21-alpine # 导出/导入镜像适用于离线环境 docker save -o nginx.tar nginx:1.21-alpine docker load -i nginx.tar构建自定义镜像准备一个简单的Python应用# app.py from flask import Flask app Flask(__name__) app.route(/) def hello(): return Hello, Docker! if __name__ __main__: app.run(host0.0.0.0, port5000)Dockerfile:# 使用轻量级基础镜像 FROM python:3.9-slim # 设置工作目录 WORKDIR /app # 先拷贝依赖文件利用缓存层 COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt # 再拷贝代码 COPY . . # 暴露端口 EXPOSE 5000 # 启动命令 CMD [python, app.py]构建命令docker build -t myapp:v1 .4.3 容器生命周期管理完整操作流程# 启动容器-d后台运行-p端口映射-v卷挂载 docker run -d -p 5000:5000 -v /data:/app/data --name myapp myapp:v1 # 查看运行状态 docker ps -a # 查看日志 docker logs -f myapp # 进入容器shell docker exec -it myapp /bin/bash # 停止/启动/重启 docker stop myapp docker start myapp docker restart myapp # 删除容器必须先停止 docker rm myapp资源限制示例# 限制CPU和内存 docker run -d --cpus1.5 --memory2g --name limited-app myapp:v1 # 查看资源使用 docker stats limited-app5. 常见问题排坑指南5.1 镜像下载慢问题解决方案配置国内镜像源前文已展示使用代理服务器需符合公司政策通过第三方工具下载# 使用阿里云镜像加速器 docker pull registry.cn-hangzhou.aliyuncs.com/library/nginx:latest5.2 容器时区问题现象容器内时间与宿主机不一致解决方法# 方案1构建时设置推荐 FROM alpine RUN apk add --no-cache tzdata ENV TZAsia/Shanghai # 方案2启动时挂载 docker run -v /etc/localtime:/etc/localtime:ro ...5.3 存储空间清理镜像积累问题# 查看磁盘使用 docker system df # 自动清理无用对象 docker system prune # 强制删除所有未使用镜像 docker system prune -a5.4 权限问题处理典型错误docker: Got permission denied while trying to connect to the Docker daemon socket...解决方案将用户加入docker组前文安装部分已介绍临时使用sudo修改socket权限不推荐6. 生产环境最佳实践经过多个项目的实战检验总结出以下经验镜像优化原则使用Alpine等小型基础镜像多阶段构建分离编译环境和运行环境合并RUN指令减少层数清理不必要的缓存文件容器安全准则不以root用户运行USER指令只读挂载敏感目录:ro定期更新基础镜像扫描镜像漏洞使用docker scan编排工具选择简单应用docker-compose复杂系统Kubernetes云服务ECS/AKS/EKS监控方案# 使用cAdvisorPrometheusGrafana组合 docker run -d \ --namecadvisor \ --volume/:/rootfs:ro \ --volume/var/run:/var/run:ro \ --volume/sys:/sys:ro \ --volume/var/lib/docker/:/var/lib/docker:ro \ --publish8080:8080 \ google/cadvisor:latest7. 学习路径建议对于刚接触Docker的开发者我建议的学习顺序基础阶段1-2周掌握镜像/容器基本操作理解Dockerfile语法熟悉网络和存储配置进阶阶段2-4周学习多阶段构建实践CI/CD集成了解安全加固方法生产实践持续参与真实项目部署学习编排工具Swarm/K8s建立监控告警体系推荐的学习资源官方文档永远是最新最全的《Docker Deep Dive》理论实践Katacoda交互式实验室已迁移到Play with Docker