Docker镜像与容器操作全指南：从基础到生产实践

1. 镜像与容器操作基础概念刚接触Docker的新手常会对镜像(Image)和容器(Container)的关系感到困惑。简单来说镜像就像安装程序的ISO文件而容器则是运行起来的程序实例。我习惯用菜谱与菜肴来类比——镜像是记载烹饪步骤的菜谱容器则是按菜谱做出来的具体菜品。在Linux系统上安装Docker后以Ubuntu为例需要将当前用户加入docker用户组才能免sudo执行命令sudo usermod -aG docker $USER newgrp docker # 立即生效注意生产环境不建议直接使用root权限操作Docker这会导致严重的安全隐患。正确的做法是配置专门的docker用户组并精细控制权限。2. 镜像全生命周期管理2.1 镜像获取与查询从Docker Hub拉取官方镜像时默认会下载latest标签版本。建议生产环境明确指定版本号以避免意外升级docker pull nginx:1.21.6 # 明确版本 docker pull redis:alpine # 轻量版查看本地镜像列表时-a参数会显示包括中间层在内的所有镜像。我常用以下组合命令docker images --format table {{.ID}}\t{{.Repository}}\t{{.Tag}}\t{{.Size}} | sort -k 4 -h这会按镜像大小排序输出方便识别占用空间大的镜像。2.2 镜像构建与优化编写Dockerfile时多阶段构建能显著减小最终镜像体积。以下是Go应用的典型示例# 构建阶段 FROM golang:1.18 as builder WORKDIR /app COPY . . RUN go build -o myapp # 运行阶段 FROM alpine:latest COPY --frombuilder /app/myapp / CMD [/myapp]构建时使用--no-cache避免使用缓存确保依赖完全更新docker build -t myapp:v1 --no-cache .经验在CI/CD流水线中建议为镜像打上包含构建时间和Git Commit ID的标签便于追溯docker tag myapp:v1 myapp:$(date %Y%m%d)-$(git rev-parse --short HEAD)2.3 镜像清理策略长期使用后镜像会占用大量磁盘空间。安全删除需要先移除依赖该镜像的容器# 删除所有悬空镜像 docker image prune -f # 删除未被任何容器使用的镜像 docker image prune -a我通常在crontab设置每周自动清理0 3 * * 0 docker system prune -af --filter until168h3. 容器高级操作技巧3.1 容器启停策略启动容器时--restart策略对服务类容器至关重要docker run -d --name my_nginx --restart unless-stopped nginx常用策略对比策略说明适用场景no不自动重启默认临时测试容器on-failure[:max-retries]非0退出时重启关键业务进程always总是重启常驻服务unless-stopped手动停止除外生产环境推荐3.2 容器网络配置创建自定义网络能实现容器间隔离通信docker network create --subnet172.20.0.0/16 mynet docker run -d --net mynet --ip 172.20.0.2 --name service1 nginx docker run -it --net mynet --ip 172.20.0.3 --name client1 alpine sh检查网络连通性docker exec client1 ping service13.3 数据持久化方案生产环境务必使用Volume实现数据持久化docker volume create db_data docker run -d -v db_data:/var/lib/mysql mysql:5.7查看Volume详情docker volume inspect db_data对于需要备份的场景可以直接操作Volume物理文件sudo ls /var/lib/docker/volumes/db_data/_data4. 生产环境问题排查4.1 日志收集与分析查看实时日志类似tail -fdocker logs -f --tail 100 container_name将日志输出为JSON格式便于处理docker logs --details --timestamps container_name logs.json4.2 性能监控命令查看容器资源占用docker stats --format table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}\t{{.NetIO}}进入容器分析进程docker exec -it container_name top4.3 常见故障处理场景1容器启动后立即退出# 查看退出码 docker inspect -f {{.State.ExitCode}} container_name # 以调试模式运行 docker run -it --entrypoint sh image_name场景2端口冲突# 查找占用端口的进程 sudo lsof -i :8080 # 修改容器映射端口 docker run -d -p 8081:80 nginx场景3存储空间不足# 查看Docker磁盘使用 docker system df # 清理无用数据 docker system prune -af5. 安全加固实践5.1 用户权限控制避免以root运行容器docker run -d --user 1000:1000 nginx5.2 只读文件系统对不需要写入的容器启用只读模式docker run -d --read-only -v /tmp:/tmp:rw nginx5.3 资源限制防止单个容器耗尽系统资源docker run -d \ --memory512m \ --cpus1.5 \ --pids-limit100 \ nginx检查限制是否生效docker inspect -f {{.HostConfig.Memory}} container_name6. 实用技巧合集快速清理所有容器危险操作docker rm -f $(docker ps -aq)查看镜像构建历史docker history --no-trunc image_name跨主机复制容器docker export container_name | gzip container.gz zcat container.gz | docker import - new_image_name临时调试运行中的容器docker exec -it --privileged container_name bash查看容器启动命令docker run --rm -v /var/run/docker.sock:/var/run/docker.sock assaflavie/runlike container_name在实际运维中我发现80%的Docker问题都源于对基础概念理解不深。建议新手在掌握这些命令后再深入学习Docker的cgroups、namespace等底层原理这对排查复杂问题大有裨益。