1. 從“虛擬化支持未檢測(cè)到”說(shuō)起為什么你需要理解Docker基本管理如果你最近嘗試在Windows上安裝Docker Desktop大概率會(huì)碰到那個(gè)令人頭疼的彈窗“Docker Desktop failed to start because virtualization support wasn’t detected”。這個(gè)錯(cuò)誤像一個(gè)冷酷的門衛(wèi)把許多興致勃勃的開(kāi)發(fā)者攔在了容器世界的大門外。但我想告訴你的是這個(gè)錯(cuò)誤恰恰是理解Docker基本管理最好的切入點(diǎn)。它不是一個(gè)單純的安裝故障而是暴露了從物理機(jī)到容器運(yùn)行時(shí)整個(gè)技術(shù)棧中你必須掌握的基礎(chǔ)知識(shí)鏈條——虛擬化支持、操作系統(tǒng)兼容性、服務(wù)生命周期管理。只會(huì)點(diǎn)一下“下一步”的安裝遠(yuǎn)不足以讓你在開(kāi)發(fā)、測(cè)試乃至生產(chǎn)環(huán)境中游刃有余地使用Docker。真正的“基本管理”意味著當(dāng)容器突然退出、鏡像拉取緩慢、端口沖突或磁盤爆滿時(shí)你能像條件反射一樣知道從哪里入手排查和解決。這不僅僅是記住幾個(gè)命令而是構(gòu)建起一套關(guān)于鏡像、容器、網(wǎng)絡(luò)、存儲(chǔ)和數(shù)據(jù)管理的思維模型。無(wú)論你是想用Docker快速搭建一個(gè)MySQL測(cè)試環(huán)境還是為你的Vue.js前端項(xiàng)目構(gòu)建一個(gè)可復(fù)現(xiàn)的部署鏡像亦或是管理一個(gè)包含多個(gè)服務(wù)的復(fù)雜應(yīng)用棧扎實(shí)的基本管理能力都是你高效、穩(wěn)定工作的基石。接下來(lái)我會(huì)以一個(gè)過(guò)來(lái)人的視角帶你穿透那些簡(jiǎn)單的教程直抵Docker日常使用中最核心、最常出問(wèn)題的管理環(huán)節(jié)。2. 核心概念與運(yùn)行原理容器不是輕量級(jí)虛擬機(jī)在深入具體命令之前我們必須先統(tǒng)一認(rèn)知Docker容器到底是什么很多人尤其是從虛擬機(jī)VM轉(zhuǎn)過(guò)來(lái)的朋友會(huì)下意識(shí)地把容器理解成一個(gè)“更輕、更快的虛擬機(jī)”。這個(gè)類比在初期有幫助但也會(huì)埋下誤解的種子導(dǎo)致后續(xù)在資源管理、網(wǎng)絡(luò)配置上踩坑。2.1 鏡像與容器藍(lán)圖與實(shí)例你可以把Docker鏡像想象成一個(gè)應(yīng)用程序及其所有依賴的“只讀模板”或“構(gòu)建藍(lán)圖”。這個(gè)模板是分層的每一層代表一個(gè)修改比如第一層是基礎(chǔ)操作系統(tǒng)如Alpine Linux第二層是安裝Python第三層是復(fù)制你的應(yīng)用代碼。這種分層結(jié)構(gòu)使得鏡像非常高效多個(gè)鏡像可以共享相同的基礎(chǔ)層節(jié)省大量磁盤空間和下載時(shí)間。而Docker容器則是這個(gè)鏡像的一個(gè)“運(yùn)行實(shí)例”。當(dāng)你執(zhí)行docker run時(shí)Docker引擎會(huì)基于鏡像創(chuàng)建一個(gè)可寫的容器層通常稱為“容器層”或“讀寫層”。所有在容器運(yùn)行時(shí)的文件修改如寫入日志、創(chuàng)建臨時(shí)文件都發(fā)生在這個(gè)可寫層上。容器停止后這個(gè)可寫層默認(rèn)仍然存在除非你顯式刪除容器。這就是為什么容器可以做到“一次構(gòu)建處處運(yùn)行”——鏡像本身是靜態(tài)、不可變的確保了環(huán)境的一致性而容器層則隔離了運(yùn)行時(shí)的動(dòng)態(tài)變化。2.2 Docker引擎架構(gòu)Client-Server模型理解Docker的基本管理離不開(kāi)對(duì)其架構(gòu)的粗略認(rèn)知。Docker采用客戶端-服務(wù)器C-S架構(gòu)Docker客戶端Client我們平時(shí)在命令行里敲的docker命令就是客戶端。它通過(guò)REST API與Docker守護(hù)進(jìn)程通信。Docker守護(hù)進(jìn)程Daemon一個(gè)常駐后臺(tái)的進(jìn)程dockerd負(fù)責(zé)構(gòu)建、運(yùn)行和管理容器。它監(jiān)聽(tīng)客戶端的請(qǐng)求并管理Docker對(duì)象鏡像、容器、網(wǎng)絡(luò)、卷。Docker注冊(cè)中心Registry存儲(chǔ)Docker鏡像的倉(cāng)庫(kù)最著名的是Docker Hub。docker pull和docker push就是在和注冊(cè)中心交互。當(dāng)你安裝Docker DesktopWindows/macOS或 Docker EngineLinux時(shí)你實(shí)際上安裝的是包含客戶端、守護(hù)進(jìn)程以及其他組件的完整套件。在Linux上守護(hù)進(jìn)程通常作為一個(gè)系統(tǒng)服務(wù)如systemctl start docker運(yùn)行而在Windows/macOS上Docker Desktop會(huì)啟動(dòng)一個(gè)輕量級(jí)Linux虛擬機(jī)這就是為什么需要虛擬化支持守護(hù)進(jìn)程運(yùn)行在這個(gè)虛擬機(jī)里。注意這就是“virtualization support not detected”錯(cuò)誤的根源。在Windows上Docker Desktop依賴于Hyper-V或WSL 2后端它們都需要CPU硬件虛擬化支持Intel VT-x / AMD-V且在BIOS/UEFI中啟用。如果沒(méi)開(kāi)啟守護(hù)進(jìn)程所在的虛擬機(jī)就無(wú)法啟動(dòng)整個(gè)Docker也就癱瘓了。解決它不僅僅是點(diǎn)個(gè)按鈕而是要去BIOS里設(shè)置這本身就是“管理”的一部分。2.3 與虛擬機(jī)的本質(zhì)區(qū)別為了后續(xù)管理不迷惑請(qǐng)牢記容器與虛擬機(jī)的關(guān)鍵區(qū)別特性Docker容器傳統(tǒng)虛擬機(jī)VM虛擬化級(jí)別操作系統(tǒng)級(jí)虛擬化硬件級(jí)虛擬化隔離單位進(jìn)程完整的操作系統(tǒng)啟動(dòng)速度秒級(jí)甚至毫秒級(jí)分鐘級(jí)性能開(kāi)銷極低接近原生較高有Hypervisor開(kāi)銷磁盤占用通常為MB級(jí)別共享鏡像層通常為GB級(jí)別每個(gè)VM獨(dú)立OS運(yùn)行形態(tài)直接運(yùn)行在宿主機(jī)內(nèi)核上運(yùn)行在Hypervisor之上隔離性進(jìn)程、文件系統(tǒng)、網(wǎng)絡(luò)等隔離安全性較弱完整的硬件和OS隔離安全性強(qiáng)簡(jiǎn)單說(shuō)虛擬機(jī)是“硬件模擬”容器是“進(jìn)程隔離”。容器共享宿主機(jī)的操作系統(tǒng)內(nèi)核這使得它極其輕量和快速但也意味著你無(wú)法在Linux宿主機(jī)上運(yùn)行一個(gè)Windows容器除非宿主機(jī)是Windows其容器機(jī)制不同。理解這一點(diǎn)你就能明白為什么容器管理更側(cè)重于進(jìn)程、網(wǎng)絡(luò)命名空間和文件系統(tǒng)映射而不是虛擬CPU和內(nèi)存分配雖然也能限制。3. 生命周期管理從創(chuàng)建到銷毀的完整閉環(huán)容器的生命周期是管理的核心。你需要清楚地知道如何啟動(dòng)、停止、暫停、恢復(fù)和刪除一個(gè)容器并理解每個(gè)操作背后的狀態(tài)變化。3.1 核心容器操作命令解析創(chuàng)建并啟動(dòng)容器 (docker run)這是最常用的命令。但docker run實(shí)際上做了兩件事docker create從鏡像創(chuàng)建容器 docker start啟動(dòng)容器。docker run -d --name my-nginx -p 8080:80 nginx:alpine-d后臺(tái)運(yùn)行detached mode。不加則在前臺(tái)運(yùn)行占用終端。--name給容器起個(gè)名字否則Docker會(huì)分配一個(gè)隨機(jī)名字。名字在管理時(shí)比容器ID方便得多。-p 8080:80端口映射將宿主機(jī)的8080端口映射到容器的80端口。這是讓外部訪問(wèn)容器內(nèi)服務(wù)的關(guān)鍵。nginx:alpine鏡像名。不指定標(biāo)簽?zāi)J(rèn)為latest但在生產(chǎn)環(huán)境中強(qiáng)烈建議指定具體版本標(biāo)簽。查看容器狀態(tài) (docker ps)docker ps默認(rèn)只顯示正在運(yùn)行的容器。加上-a選項(xiàng)查看所有容器包括已停止的。docker ps -a輸出信息包括容器ID、名稱、使用的鏡像、創(chuàng)建時(shí)間、狀態(tài)、端口映射等。這是你了解當(dāng)前系統(tǒng)容器概況的第一工具。停止與啟動(dòng) (docker stop/start/restart)docker stop 容器名/ID向容器內(nèi)PID為1的進(jìn)程發(fā)送SIGTERM信號(hào)等待其優(yōu)雅終止默認(rèn)10秒若未終止則發(fā)送SIGKILL強(qiáng)制停止。這是推薦的停止方式。docker start 容器名/ID啟動(dòng)一個(gè)已停止的容器。注意它使用docker run時(shí)指定的原有參數(shù)。docker restart 容器名/ID相當(dāng)于stop后緊接著start。暫停與恢復(fù) (docker pause/unpause)docker pause會(huì)掛起容器內(nèi)所有進(jìn)程使用cgroups freezer不釋放內(nèi)存等資源。unpause則立即恢復(fù)。這在需要臨時(shí)凍結(jié)容器狀態(tài)進(jìn)行調(diào)試或備份時(shí)非常有用比stop再start更快且不改變文件系統(tǒng)。刪除容器 (docker rm)docker rm 容器名/ID # 刪除已停止的容器 docker rm -f 容器名/ID # 強(qiáng)制刪除運(yùn)行中的容器先發(fā)送SIGKILL重要?jiǎng)h除容器會(huì)同時(shí)刪除其可寫層容器層所有在容器運(yùn)行時(shí)產(chǎn)生的、未持久化的數(shù)據(jù)將永久丟失。務(wù)必在刪除前確認(rèn)數(shù)據(jù)已通過(guò)卷Volume或綁定掛載Bind Mount保存。進(jìn)入容器 (docker exec)這是與運(yùn)行中容器交互的關(guān)鍵命令常用于調(diào)試。docker exec -it my-nginx /bin/sh-i保持標(biāo)準(zhǔn)輸入打開(kāi)Interactive。-t分配一個(gè)偽終端TTY。通常-it一起使用以獲得一個(gè)交互式shell。/bin/sh要執(zhí)行的命令。對(duì)于Alpine鏡像用/bin/sh對(duì)于Ubuntu/CentOS等通常用/bin/bash。3.2 狀態(tài)流轉(zhuǎn)與數(shù)據(jù)持久化策略容器的狀態(tài)流轉(zhuǎn)可以概括為創(chuàng)建Created - 運(yùn)行Up - 暫停Paused - 停止Exited - 刪除Deleted。管理中最容易出問(wèn)題的一環(huán)是數(shù)據(jù)持久化。默認(rèn)情況下容器內(nèi)產(chǎn)生的所有數(shù)據(jù)都位于那個(gè)可寫的容器層生命周期與容器綁定。如果你用docker rm刪除了容器數(shù)據(jù)就沒(méi)了。因此對(duì)于需要持久化的數(shù)據(jù)如數(shù)據(jù)庫(kù)文件、應(yīng)用日志、上傳的文件必須使用Docker提供的數(shù)據(jù)卷Volume或綁定掛載Bind Mount。數(shù)據(jù)卷Volume由Docker管理存儲(chǔ)在宿主機(jī)文件系統(tǒng)中通常是/var/lib/docker/volumes/下與容器的生命周期獨(dú)立。這是首選的持久化方式。docker run -d --name mysql-db -v mysql_data:/var/lib/mysql -e MYSQL_ROOT_PASSWORD123456 mysql:8.0上面的-v mysql_data:/var/lib/mysql創(chuàng)建了一個(gè)名為mysql_data的數(shù)據(jù)卷并將其掛載到容器內(nèi)的MySQL數(shù)據(jù)目錄。即使mysql-db容器被刪除mysql_data卷及其中的數(shù)據(jù)依然存在下次啟動(dòng)新容器時(shí)可以重新掛載使用。綁定掛載Bind Mount將宿主機(jī)上的一個(gè)特定目錄或文件直接掛載到容器中。兩者實(shí)時(shí)同步。docker run -d --name my-app -v /host/path/to/app:/app my-app-image這在開(kāi)發(fā)階段非常方便你可以在宿主機(jī)上修改代碼容器內(nèi)立即生效。但要注意宿主機(jī)路徑的權(quán)限問(wèn)題以及它將宿主機(jī)目錄結(jié)構(gòu)暴露給了容器。實(shí)操心得永遠(yuǎn)不要將重要數(shù)據(jù)只放在容器內(nèi)部。對(duì)于數(shù)據(jù)庫(kù)務(wù)必使用-v進(jìn)行卷掛載。對(duì)于配置文件可以考慮使用綁定掛載方便修改或者使用配置卷Config或密鑰卷Secret在Docker Swarm或K8s中更常用。定期使用docker volume ls和docker volume inspect來(lái)管理你的數(shù)據(jù)卷。4. 鏡像管理構(gòu)建、獲取與維護(hù)你的軟件包鏡像是容器的源頭。管理好鏡像就等于管理好了軟件的交付物。4.1 獲取鏡像拉取與加速docker pull 鏡像名[:標(biāo)簽]從注冊(cè)中心拉取鏡像。如果不指定標(biāo)簽?zāi)J(rèn)為latest。docker pull ubuntu:22.04 docker pull nginx # 等同于 docker pull nginx:latest國(guó)內(nèi)訪問(wèn)Docker Hub速度可能很慢務(wù)必配置鏡像加速器。對(duì)于Docker Desktop可以在設(shè)置Settings- Docker Engine中修改registry-mirrors。對(duì)于Linux編輯/etc/docker/daemon.json{ registry-mirrors: [ https://registry.docker-cn.com, https://hub-mirror.c.163.com, https://mirror.baidubce.com ] }修改后重啟Docker服務(wù)sudo systemctl restart docker。4.2 查看與清理鏡像docker images列出本地所有鏡像。關(guān)注REPOSITORY, TAG, IMAGE ID, SIZE。docker rmi 鏡像名/ID刪除本地鏡像。如果鏡像有多個(gè)標(biāo)簽需要先刪除所有標(biāo)簽才能刪除鏡像層。如果鏡像正在被容器使用即使容器已停止則無(wú)法直接刪除。docker image prune清理未被任何容器引用的懸空鏡像dangling images即沒(méi)有標(biāo)簽的中間層鏡像。加上-a選項(xiàng)可以清理所有未被使用的鏡像慎用。4.3 構(gòu)建鏡像編寫Dockerfile從零開(kāi)始構(gòu)建鏡像是高級(jí)技能但基本管理必須懂。核心是編寫Dockerfile。一個(gè)簡(jiǎn)單的Node.js應(yīng)用Dockerfile示例# 第一階段構(gòu)建依賴 FROM node:18-alpine AS builder WORKDIR /app COPY package*.json ./ RUN npm ci --onlyproduction # 僅安裝生產(chǎn)依賴更干凈 # 第二階段運(yùn)行應(yīng)用 FROM node:18-alpine WORKDIR /app COPY --frombuilder /app/node_modules ./node_modules COPY . . USER node # 切換到非root用戶提升安全性 EXPOSE 3000 CMD [node, server.js]關(guān)鍵指令解析FROM指定基礎(chǔ)鏡像。選擇體積小、安全更新的鏡像如Alpine變種是良好實(shí)踐。WORKDIR設(shè)置工作目錄后續(xù)的RUN,COPY,CMD等指令都在此目錄下執(zhí)行。COPY將宿主機(jī)文件復(fù)制到鏡像中。注意.dockerignore文件的使用避免將node_modules,.git等目錄復(fù)制進(jìn)去導(dǎo)致鏡像臃腫。RUN在構(gòu)建鏡像時(shí)執(zhí)行命令用于安裝軟件包、編譯代碼等。EXPOSE聲明容器運(yùn)行時(shí)監(jiān)聽(tīng)的端口這只是一個(gè)文檔說(shuō)明不會(huì)自動(dòng)進(jìn)行端口映射。實(shí)際映射仍需在docker run時(shí)用-p指定。CMD指定容器啟動(dòng)時(shí)默認(rèn)執(zhí)行的命令。一個(gè)Dockerfile只能有一個(gè)CMD如果有多個(gè)只有最后一個(gè)生效。USER指定運(yùn)行容器時(shí)的用戶名或UID。強(qiáng)烈建議不要以root用戶運(yùn)行應(yīng)用以降低安全風(fēng)險(xiǎn)。在Dockerfile所在目錄執(zhí)行構(gòu)建docker build -t my-app:1.0 .-t用于給鏡像打標(biāo)簽.表示構(gòu)建上下文為當(dāng)前目錄。4.4 推送鏡像到倉(cāng)庫(kù)構(gòu)建好的鏡像可以推送到Docker Hub、阿里云容器鏡像服務(wù)等私有或公有倉(cāng)庫(kù)。# 1. 登錄到Docker Hub docker login # 2. 為本地鏡像打上符合倉(cāng)庫(kù)規(guī)范的標(biāo)簽username/repo:tag docker tag my-app:1.0 yourusername/my-app:1.0 # 3. 推送 docker push yourusername/my-app:1.05. 網(wǎng)絡(luò)與存儲(chǔ)容器互聯(lián)與數(shù)據(jù)生存之道容器默認(rèn)運(yùn)行在隔離的網(wǎng)絡(luò)環(huán)境中。理解Docker網(wǎng)絡(luò)是讓多個(gè)容器互相通信或讓外部訪問(wèn)容器服務(wù)的前提。5.1 Docker網(wǎng)絡(luò)模式Docker提供了幾種網(wǎng)絡(luò)模式通過(guò)docker run --network指定bridge橋接模式默認(rèn)Docker會(huì)創(chuàng)建一個(gè)名為docker0的虛擬網(wǎng)橋每個(gè)容器會(huì)分配一個(gè)獨(dú)立的網(wǎng)絡(luò)命名空間和IP地址并通過(guò)docker0網(wǎng)橋與宿主機(jī)及其他容器通信。這是最常用的模式。host主機(jī)模式容器不會(huì)虛擬出自己的網(wǎng)卡而是直接使用宿主機(jī)的IP和端口。此時(shí)容器在網(wǎng)絡(luò)上沒(méi)有隔離性能最好但端口沖突風(fēng)險(xiǎn)高。none無(wú)網(wǎng)絡(luò)容器有獨(dú)立的網(wǎng)絡(luò)命名空間但不進(jìn)行任何網(wǎng)絡(luò)配置。需要用戶手動(dòng)配置網(wǎng)絡(luò)。container容器模式新創(chuàng)建的容器共享一個(gè)已存在容器的網(wǎng)絡(luò)命名空間即兩者網(wǎng)絡(luò)視圖完全相同通過(guò)localhost直接通信。對(duì)于簡(jiǎn)單的多容器應(yīng)用使用默認(rèn)的bridge網(wǎng)絡(luò)并配合--link已廢棄不推薦或自定義網(wǎng)絡(luò)是常見(jiàn)做法。更復(fù)雜的場(chǎng)景推薦使用Docker Compose來(lái)定義和管理網(wǎng)絡(luò)。5.2 創(chuàng)建自定義網(wǎng)絡(luò)自定義網(wǎng)絡(luò)提供了更好的容器發(fā)現(xiàn)和DNS解析功能容器間可以通過(guò)容器名直接通信。# 創(chuàng)建一個(gè)自定義bridge網(wǎng)絡(luò) docker network create my-network # 運(yùn)行容器時(shí)加入該網(wǎng)絡(luò) docker run -d --name app1 --network my-network my-app docker run -d --name app2 --network my-network another-app現(xiàn)在在app1容器內(nèi)你可以直接通過(guò)ping app2或http://app2:port來(lái)訪問(wèn)app2的服務(wù)Docker內(nèi)置的DNS服務(wù)器會(huì)將其解析為正確的IP。5.3 存儲(chǔ)驅(qū)動(dòng)與卷管理Docker使用存儲(chǔ)驅(qū)動(dòng)如overlay2,aufs,devicemapper來(lái)管理鏡像層和容器可寫層的存儲(chǔ)。對(duì)于大多數(shù)Linux發(fā)行版overlay2是首選且默認(rèn)的驅(qū)動(dòng)性能較好。你可以通過(guò)docker info查看當(dāng)前使用的存儲(chǔ)驅(qū)動(dòng)。如前所述數(shù)據(jù)卷Volume是持久化數(shù)據(jù)的核心。管理命令包括docker volume create my-vol創(chuàng)建卷。docker volume ls列出所有卷。docker volume inspect my-vol查看卷的詳細(xì)信息包括在宿主機(jī)上的存儲(chǔ)位置Mountpoint。docker volume rm my-vol刪除卷確保沒(méi)有容器正在使用它。docker volume prune清理未被任何容器使用的卷。6. 日常運(yùn)維與故障排查實(shí)戰(zhàn)掌握了基本操作和概念后真正的管理能力體現(xiàn)在日常運(yùn)維和問(wèn)題解決上。6.1 監(jiān)控容器狀態(tài)與日志docker stats實(shí)時(shí)顯示所有運(yùn)行中容器的CPU、內(nèi)存、網(wǎng)絡(luò)IO、塊IO等資源使用情況。這是快速定位性能瓶頸的第一工具。docker top 容器名/ID查看容器內(nèi)運(yùn)行的進(jìn)程列表類似于在宿主機(jī)上執(zhí)行ps。docker logs查看容器日志這是排查應(yīng)用錯(cuò)誤最重要的手段。docker logs my-nginx # 查看最新日志 docker logs -f my-nginx # 實(shí)時(shí)跟蹤日志輸出類似 tail -f docker logs --tail 100 my-nginx # 查看最后100行 docker logs --since 2024-01-01T00:00:00 my-nginx # 查看某個(gè)時(shí)間點(diǎn)之后的日志強(qiáng)烈建議將容器內(nèi)應(yīng)用日志也通過(guò)卷掛載的方式輸出到宿主機(jī)方便使用宿主機(jī)上的日志收集工具如ELK、Loki進(jìn)行集中管理。6.2 常見(jiàn)問(wèn)題與排查思路容器啟動(dòng)后立即退出排查首先用docker logs 容器ID查看退出前的日志通常會(huì)有錯(cuò)誤信息。常見(jiàn)原因CMD或ENTRYPOINT指定的命令不存在或執(zhí)行失敗。應(yīng)用啟動(dòng)時(shí)需要訪問(wèn)某個(gè)端口或文件但權(quán)限不足或路徑不存在。應(yīng)用本身啟動(dòng)報(bào)錯(cuò)。調(diào)試技巧可以嘗試用交互式模式運(yùn)行一個(gè)shell手動(dòng)執(zhí)行啟動(dòng)命令來(lái)定位問(wèn)題。docker run -it --entrypoint /bin/sh my-app-image # 然后在容器內(nèi)手動(dòng)執(zhí)行你的啟動(dòng)命令端口無(wú)法訪問(wèn)排查確認(rèn)容器是否在運(yùn)行docker ps。確認(rèn)端口映射是否正確docker port 容器名或docker inspect 容器名查看NetworkSettings.Ports。確認(rèn)容器內(nèi)應(yīng)用是否真的在監(jiān)聽(tīng)對(duì)應(yīng)端口docker exec 容器名 netstat -tlnp容器內(nèi)需有netstat命令。檢查宿主機(jī)防火墻是否放行了該端口如Linux的firewalld/iptablesWindows的防火墻。磁盤空間不足Docker會(huì)占用大量磁盤空間主要是鏡像和容器層。清理命令docker system df # 查看Docker磁盤使用概況 docker system prune # 清理所有懸空鏡像、停止的容器、未使用的網(wǎng)絡(luò)和構(gòu)建緩存。加 -a 清理更徹底加 --volumes 會(huì)連未使用的卷也刪除危險(xiǎn)。定期清理建議將docker system prune加入定時(shí)任務(wù)但務(wù)必謹(jǐn)慎使用-a和--volumes選項(xiàng)。權(quán)限錯(cuò)誤Permission Denied常見(jiàn)于綁定掛載時(shí)容器內(nèi)進(jìn)程用戶如非root的www-data,node沒(méi)有權(quán)限讀寫宿主機(jī)掛載的目錄。解決調(diào)整宿主機(jī)目錄權(quán)限chmod或chown。在docker run時(shí)使用-u參數(shù)指定容器內(nèi)運(yùn)行的用戶UID如-u 1000使其與宿主機(jī)用戶匹配。更安全的方式是在Dockerfile中用USER指令指定一個(gè)已知UID的用戶并確保宿主機(jī)掛載目錄對(duì)該UID有權(quán)限。6.3 資源限制與更新策略對(duì)于生產(chǎn)環(huán)境必須對(duì)容器資源進(jìn)行限制防止單個(gè)容器耗盡宿主機(jī)資源。docker run -d --name my-app \ --memory512m \ # 限制內(nèi)存為512MB --memory-swap1g \ # 內(nèi)存交換分區(qū)總共1G通常設(shè)為內(nèi)存的2倍 --cpus1.5 \ # 限制使用1.5個(gè)CPU核心 --cpu-shares1024 \ # CPU權(quán)重默認(rèn)1024 my-app-image更新運(yùn)行中的容器服務(wù)是一個(gè)常見(jiàn)操作。標(biāo)準(zhǔn)的藍(lán)綠部署或滾動(dòng)更新在單機(jī)Docker上較為繁瑣通常建議拉取新鏡像docker pull my-app:2.0停止舊容器docker stop my-app刪除舊容器docker rm my-app用新鏡像啟動(dòng)新容器使用相同的卷掛載、網(wǎng)絡(luò)、端口映射等參數(shù)docker run -d --name my-app ... my-app:2.0為了減少服務(wù)中斷時(shí)間可以在啟動(dòng)新容器并驗(yàn)證其健康后再停止舊容器。對(duì)于更復(fù)雜的多服務(wù)更新強(qiáng)烈建議使用Docker Compose定義式或編排工具如Kubernetes。7. 邁向下一步Docker Compose與編排初探當(dāng)你需要管理一組相關(guān)聯(lián)的容器例如一個(gè)Web應(yīng)用包含前端、后端、數(shù)據(jù)庫(kù)、緩存時(shí)逐個(gè)使用docker run命令會(huì)變得非常低效且容易出錯(cuò)。這時(shí)Docker Compose是你的下一個(gè)必備工具。它允許你使用一個(gè)YAML文件docker-compose.yml來(lái)定義和運(yùn)行多容器應(yīng)用。一個(gè)典型的例子version: 3.8 services: web: image: nginx:alpine ports: - 80:80 volumes: - ./html:/usr/share/nginx/html depends_on: - app app: build: ./backend environment: - DB_HOSTdb depends_on: - db db: image: postgres:15 environment: POSTGRES_PASSWORD: secret volumes: - postgres_data:/var/lib/postgresql/data volumes: postgres_data:使用命令docker-compose up -d即可一鍵啟動(dòng)所有服務(wù)。Docker Compose會(huì)自動(dòng)創(chuàng)建獨(dú)立的網(wǎng)絡(luò)使得服務(wù)間可以通過(guò)服務(wù)名如db,app直接通信。它極大地簡(jiǎn)化了開(kāi)發(fā)、測(cè)試環(huán)境的搭建。而當(dāng)你需要管理跨多個(gè)宿主機(jī)、要求高可用和自動(dòng)伸縮的容器集群時(shí)你就需要進(jìn)入容器編排的世界如Docker Swarm或更強(qiáng)大的Kubernetes (K8s)。它們解決了服務(wù)發(fā)現(xiàn)、負(fù)載均衡、滾動(dòng)更新、故障自愈等復(fù)雜問(wèn)題。但請(qǐng)記住無(wú)論編排工具多么強(qiáng)大你對(duì)單個(gè)Docker容器生命周期、網(wǎng)絡(luò)、存儲(chǔ)的扎實(shí)管理能力始終是這一切的根基。從解決“virtualization support not detected”開(kāi)始到熟練地管理鏡像、容器、網(wǎng)絡(luò)和數(shù)據(jù)你已經(jīng)具備了在容器化世界里構(gòu)建和運(yùn)維應(yīng)用的堅(jiān)實(shí)基礎(chǔ)。剩下的就是在具體的項(xiàng)目中不斷實(shí)踐和深化了。