Docker容器鏡像與容器常用操作指南

一、鏡像基礎操作

搜索鏡像
```
docker search <鏡像名>
```
在Docker Hub中查找公開鏡像，例如：
```
docker search nginx
```
拉取鏡像
```
docker pull <鏡像名>:<標簽>
```
從倉庫拉取鏡像到本地，標簽默認為latest：
```
docker pull nginx:alpine
```
查看本地鏡像
```
docker images
```
列出所有本地鏡像，包含鏡像ID、標簽、大小等信息。
刪除鏡像
```
docker rmi <鏡像ID或鏡像名>:<標簽>
```
刪除指定鏡像，若鏡像被容器引用需先刪除容器：
```
docker rmi nginx:alpine
```

構建鏡像
通過Dockerfile構建自定義鏡像：

docker build -t <自定義鏡像名>:<標簽> <Dockerfile路徑>

例如：

docker build -t myapp:v1 .

二、容器基礎操作

運行容器
```
docker run [OPTIONS] <鏡像名>:<標簽>
```
常用參數：
- -d：后臺運行（守護進程模式）
- --name：指定容器名稱
- -p <主機端口>:<容器端口>：端口映射
- -v <主機路徑>:<容器路徑>：數據卷掛載
- -e <環境變量>：設置環境變量
  示例：
```
docker run -d --name web -p 8080:80 -v /data:/usr/share/nginx/html nginx:alpine
```

查看容器

docker ps        # 查看運行中的容器
docker ps -a     # 查看所有容器（包括已停止的）

停止容器

docker stop <容器名或容器ID>

示例：

docker stop web

啟動已停止容器
```
docker start <容器名或容器ID>
```

刪除容器

docker rm <容器名或容器ID>

強制刪除運行中的容器：

docker rm -f <容器名或容器ID>

查看容器日志
```
docker logs <容器名或容器ID>
```
常用參數：
- -f：實時跟蹤日志輸出
- --tail <行數>：顯示最后N行日志
  示例：
```
docker logs -f --tail 50 web
```

進入容器內部

docker exec -it <容器名或容器ID> /bin/bash

若容器無bash，可替換為/bin/sh：

docker exec -it <容器名或容器ID> /bin/sh

三、進階操作

提交容器為鏡像
將容器修改保存為新鏡像：

docker commit <容器名或容器ID> <新鏡像名>:<標簽>

數據卷管理

創建數據卷：
```
docker volume create <卷名>
```

運行容器時掛載卷：

docker run -v <卷名>:<容器路徑> ...

查看所有卷：
```
docker volume ls
```

網絡管理

查看網絡：
```
docker network ls
```
創建自定義網絡：
```
docker network create <網絡名>
```
運行容器時指定網絡：
```
docker run --network=<網絡名> ...
```

資源限制
限制容器使用的CPU和內存：
```
docker run --memory=512m --cpus=1.0 ...
```

四、最佳實踐

鏡像優化
- 使用多階段構建減少鏡像體積。
- 清理構建過程中產生的臨時文件（如apt-get clean、rm -rf /var/lib/apt/lists/*）。
- 選擇輕量級基礎鏡像（如alpine）。
容器命名規范
為容器設置語義化名稱（如web-server、database），避免使用默認隨機名稱。

日志輪轉
通過--log-opt參數限制日志文件大小：

docker run --log-opt max-size=10m --log-opt max-file=3 ...

定期清理
- 刪除無標簽鏡像（<none>鏡像）：
```
docker image prune
```
- 刪除所有停止的容器：
```
docker container prune
```
- 刪除未使用的卷、網絡和鏡像：
```
docker system prune
```
安全建議
- 避免以root用戶運行容器，使用USER指令指定非特權用戶。
- 定期更新鏡像以修復安全漏洞。
- 使用docker scan檢查鏡像漏洞（需Docker Hub賬號）。

五、容器鏡像及容器在OS組件編譯構建中的意義

容器化技術在操作系統（OS）組件的編譯構建過程中發揮著革命性作用，其核心價值體現在以下方面：

環境一致性保障
- 問題背景：傳統編譯構建中，開發、測試、生產環境差異（如庫版本、編譯工具鏈不一致）常導致“在我機器上能編譯通過”的詭異問題。
- 容器化解決方案：通過Dockerfile定義編譯環境，將OS內核、編譯工具鏈（如gcc/binutils）、依賴庫（如glibc）及構建腳本打包為鏡像。例如，構建Linux內核時，可基于ubuntu:20.04鏡像安裝指定版本的build-essential、libssl-dev等依賴，確保全球開發者使用完全相同的編譯環境。
資源隔離與效率提升
- 并行構建優化：容器輕量級特性支持在單臺物理機啟動多個隔離的編譯容器，利用docker run --cpus=2 -m 4g限制每個容器的CPU/內存資源，實現編譯任務并行化，縮短大型項目（如LLVM編譯器）的全量構建時間。
- CI/CD集成：在Jenkins/GitLab CI流水線中，每個構建階段（如編譯、測試、打包）運行在獨立容器中，避免任務間資源競爭，提升流水線執行效率。
依賴管理與可重復性
- 依賴鎖定：通過Dockerfile顯式聲明編譯所需依賴（如RUN apt-get install -y cmake=3.16.7），避免因宿主機環境變化導致的依賴沖突。
- 鏡像層緩存：Docker利用分層鏡像技術，對Dockerfile中未變更的指令（如基礎鏡像、依賴安裝）復用緩存層，僅重新執行變更的步驟（如代碼編譯），加速迭代構建。
安全合規性
- 最小權限原則：在編譯鏡像中避免安裝非必要工具（如curl、wget），減少攻擊面。例如，使用distroless基礎鏡像（僅包含運行時代碼）替代完整OS鏡像。
- 鏡像簽名驗證：通過Docker Content Trust對編譯生成的鏡像進行簽名，確保鏡像在傳輸和部署過程中未被篡改。

六、容器鏡像源的配置與維護操作

1. 鏡像加速器配置

場景：國內網絡環境下，從Docker Hub拉取鏡像速度緩慢。

配置步驟（以阿里云為例）：

獲取加速地址：
- 登錄阿里云容器鏡像服務控制臺，進入“鏡像中心”->“鏡像加速器”，獲取專屬加速地址（如https://<你的ID>.mirror.aliyuncs.com）。
修改Docker配置：
- Linux：編輯/etc/docker/daemon.json，添加：
```
{"registry-mirrors": ["https://<你的ID>.mirror.aliyuncs.com"]
}
```
- Windows/macOS（Docker Desktop）：
  進入Docker Desktop設置，勾選“Use Docker Mirror”，填入加速地址。
重啟Docker服務：
```
systemctl restart docker  # Linux
```

驗證配置：

docker info | grep "Registry Mirrors"
# 輸出應包含配置的加速地址

常用國內鏡像加速器：

騰訊云：https://mirror.ccs.tencentyun.com
網易云：https://hub-mirror.c.163.com
USTC：https://docker.mirrors.ustc.edu.cn

2. 私有倉庫配置與管理

場景：企業內部需要存儲私有鏡像（如未開源的OS組件編譯產物）。

方案對比：

方案	特點	適用場景
本地Registry	輕量級，`docker run -d -p 5000:5000 --name registry registry:2`	測試環境/小型團隊
Harbor	企業級，支持鏡像復制、LDAP集成、鏡像掃描	生產環境/中大型企業

Harbor部署步驟：

安裝Harbor：

# 下載安裝包
wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-online-installer-v2.9.0.tgz
tar -zxvf harbor-online-installer-v2.9.0.tgz
cd harbor# 修改配置（harbor.yml）
hostname: reg.yourdomain.com
http:port: 80
# 啟用HTTPS（可選）
# certificate: /path/to/cert.crt
# private_key: /path/to/cert.key# 安裝
./install.sh

推送鏡像到Harbor：

# 登錄Harbor
docker login reg.yourdomain.com# 打標簽并推送
docker tag nginx:alpine reg.yourdomain.com/library/nginx:alpine
docker push reg.yourdomain.com/library/nginx:alpine

鏡像復制（跨Region容災）：
- 在Harbor Web界面進入“復制管理”，創建復制規則，實現鏡像在不同Harbor實例間的自動同步。

3. 鏡像安全維護

關鍵操作：

漏洞掃描：
- 工具選擇：Clair（開源）、Trivy（支持多語言）、Anchore Engine（企業級）。
- 集成CI/CD：在GitLab CI中添加掃描階段：
```
scan_image:stage: securityscript:- trivy image --severity HIGH,CRITICAL reg.yourdomain.com/project/app:latest
```
鏡像更新策略：
- 自動重建：在Dockerfile中指定基礎鏡像標簽（如ubuntu:22.04而非ubuntu:latest），配合Harbor的Webhook，當基礎鏡像更新時觸發鏡像重建。
- 滾動更新：在Kubernetes中通過Deployment的rollingUpdate策略實現鏡像版本平滑升級。
鏡像清理：
- 刪除無用鏡像：
```
docker image prune -a --filter "until=720h"  # 刪除30天前未使用的鏡像
```
- Harbor垃圾回收：在Harbor Web界面進入“清理”，設置保留策略（如保留最近3個版本）。