Docker 学习笔记：镜像分发、容器运行与资源限制

Docker 学习笔记：镜像分发、容器运行与资源限制

本笔记续接上一部分，涵盖镜像命名与分发、容器的核心操作、底层技术（cgroup/namespace）以及 CPU/内存资源限制。所有案例代码均经验证，直接可用。

8. 镜像命名与分发最佳实践

8.1 为镜像命名

镜像全称由三部分组成：Registry地址/命名空间/仓库名:标签

例如：

text

054b8ac70e8010d90f2ac00ef29e6580.mirror.swr.myhuaweicloud.com/library/nginx:latest

若未指定 tag，默认使用latest。注意：latest仅是一个普通标签，不代表最新稳定版，只是约定俗成。

8.2 版本标签方案

以myimage为例，假设发布 v1.9.1：

bash

docker tag myimage:v1.9.1 myimage:1 docker tag myimage:v1.9.1 myimage:1.9 docker tag myimage:v1.9.1 myimage:1.9.1 docker tag myimage:v1.9.1 myimage:latest

后续发布 v1.9.2、v2.0.0 时，重新打标签，让1、1.9、latest始终指向该分支最新版本。

8.3 使用公共仓库 Docker Hub

bash

# 登录 docker login -u yourname # 重命名镜像 docker tag httpd yourname/httpd:v1 # 上传 docker push yourname/httpd:v1

8.4 使用华为云镜像仓库 SWR

bash

# 获取临时登录指令（在华为云控制台复制） docker login -u cn-east-3@xxx -p xxx swr.cn-east-3.myhuaweicloud.com # 打标签 docker tag httpd:centos swr.cn-east-3.myhuaweicloud.com/gaoqiaodong/centos_httpd:v1 # 推送 docker push swr.cn-east-3.myhuaweicloud.com/gaoqiaodong/centos_httpd:v1

8.5 搭建私有仓库 Registry

bash

# 一键启动 docker run -d -p 5000:5000 -v /myregistry:/var/lib/registry --name registry registry:2 # 打标签并推送 docker tag httpd localhost:5000/httpd:v1 docker push localhost:5000/httpd:v1 # 拉取 docker pull localhost:5000/httpd:v1

8.6 企业级仓库 Harbor 简明部署

bash

# 下载离线包 wget https://github.com/goharbor/harbor/releases/download/v2.9.1/harbor-offline-installer-v2.9.1.tgz tar -xvf harbor-offline-installer-v2.9.1.tgz mkdir /opt/harbor && mv harbor/* /opt/harbor/ cd /opt/harbor docker load -i harbor.v2.9.1.tar.gz # 配置 harbor.yml cp harbor.yml.tmpl harbor.yml vim harbor.yml # 修改 hostname，注释 https，设置初始密码 # 安装 ./prepare ./install.sh

上传镜像到 Harbor：

bash

# 配置非安全仓库（若无 HTTPS） vim /etc/docker/daemon.json # 添加 "insecure-registries": ["192.168.108.30"] systemctl restart docker # 登录并推送 docker login 192.168.108.30 -u images_admin -p Cloud12$ docker tag nginx:latest 192.168.108.30/cloud/nginx:latest docker push 192.168.108.30/cloud/nginx:latest

8.7 镜像的导出与导入

bash

# 导出为 tar docker save httpd -o httpd.tar # 从 tar 导入 docker load -i httpd.tar

注意：docker export导出的是容器文件系统（丢失元数据），docker save导出的是完整镜像（含分层和标签），两者不可混用。

9. 容器核心操作

9.1 运行容器

docker run = docker create + docker start

bash

# 创建但不启动 docker create ubuntu # 启动已创建的容器 docker start <容器ID> # 直接运行（执行完后退出） docker run ubuntu pwd

让容器保持运行：

bash

# 前台执行死循环（占用终端） docker run ubuntu /bin/bash -c "while true; do sleep 1; done" # 后台运行 docker run -d ubuntu /bin/bash -c "while true; do sleep 1; done" # 运行服务类容器（如 httpd） docker run -d -p 80:80 httpd

9.2 进入容器的两种方式

• docker attach：直接连接容器的主进程终端。

  bash

  docker attach <容器ID> # 使用 Ctrl+p Ctrl+q 安全退出

• docker exec：在容器中启动新进程（推荐）。

  bash

  docker exec -it <容器ID> bash

• docker logs -f：查看容器主进程输出，不进入容器。

9.3 容器按用途分类

• 服务类容器：以-d后台运行，如 web server、数据库。
• 工具类容器：以-it交互运行，用完即删，如busybox wget。

9.4 容器的启停与重启

bash

docker stop <容器> # 发送 SIGTERM docker kill <容器> # 发送 SIGKILL docker start <容器> # 重新启动 docker restart <容器> # 先 stop 再 start

自动重启策略：

bash

docker run -d --restart=always httpd # 可选值：no（默认）, on-failure[:次数], always, unless-stopped

重要：只有容器内主进程意外退出时--restart才生效；docker stop主动停止不会触发自动重启。

9.5 暂停与删除

bash

docker pause <容器> # 暂停进程，不占用 CPU docker unpause <容器> # 删除容器 docker rm <容器ID> # 批量删除已退出容器 docker rm -f $(docker ps -aq -f status=exited)

9.6 容器状态转换图

• docker create→Created
• docker start→Running
• 主进程退出 →Exited
• docker run=create+start

10. 容器底层技术：cgroup 与 namespace

容器通过cgroup实现资源限额，通过namespace实现资源隔离。

10.1 namespace 一览

简单验证：

bash

# UTS 隔离 docker run --hostname mycontainer busybox hostname # User 隔离 docker run -it ubuntu useradd test # 宿主上并不会有 test 用户

10.2 cgroup 实战观察

bash

# 启动一个带有 cpu-share 的容器 docker run -it --cpu-shares 512 ubuntu-with-stress -c 1 -v # 查看其 cpu.shares 值 cat /sys/fs/cgroup/cpu/docker/<容器长ID>/cpu.shares # 输出 512

11. 限制容器的内存与 CPU

11.1 内存限额

使用 stress 镜像生成压力测试：

dockerfile

FROM ubuntu RUN apt-get -y update && apt-get -y install stress ENTRYPOINT ["/usr/bin/stress"]

bash

docker build -t ubuntu-with-stress .

限制内存：

bash

# 限制最大物理内存 200M，最大内存+swap 300M docker run -it -m 200M --memory-swap=300M ubuntu-with-stress --vm 1 --vm-bytes 280M -v

若--vm-bytes超过 300M，容器会 OOM 退出。

参数说明：

• -m/--memory：物理内存上限
• --memory-swap：物理内存+swap 上限
  • 等于-m：不使用 swap
  • 未设置：默认为-m的两倍
  • -1：swap 不受限

11.2 CPU 限额（基于份额的调度）

通过-c/--cpu-shares设置相对权重，默认 1024。

bash

# 容器 A，权重 1024 docker run --name container_A -it -c 1024 ubuntu-with-stress --cpu 4 -v # 容器 B，权重 512 docker run --name container_B -it -c 512 ubuntu-with-stress --cpu 4 -v

当 CPU 资源争抢时，A 获得的时间片约为 B 的两倍。若 A 空闲，B 可使用全部 CPU。
重点：--cpu-shares只在 CPU 竞争时生效。

12. 知识点速查表

12.1 镜像命名与推送流程速查

12.2 容器生命周期命令速查

12.3 资源限制参数速查

12.4 cgroup 相关映射

12.5 namespace 隔离验证示例

bash

# PID 隔离 docker run -d --name test busybox sleep 3600 ps aux | grep sleep # 在宿主上看到的 PID 不同于容器内的 PID 1 # 网络隔离 docker run --network none busybox ip a # 仅 lo 接口

CPU 份额 |/sys/fs/cgroup/cpu/docker/<id>/cpu.shares|
| 内存限制 |/sys/fs/cgroup/memory/docker/<id>/memory.limit_in_bytes|
| 块设备 IO |/sys/fs/cgroup/blkio/docker/<id>/...|

12.5 namespace 隔离验证示例

bash

# PID 隔离 docker run -d --name test busybox sleep 3600 ps aux | grep sleep # 在宿主上看到的 PID 不同于容器内的 PID 1 # 网络隔离 docker run --network none busybox ip a # 仅 lo 接口

本章笔记到此结束，下一部分将深入 Docker 网络、存储、日志监控与多容器编排。