Docker 端口映射、鏡像創建（dockerfile）
一、端口映射
在啟動容器的時候，如果不指定對應的端口，在容器外是無法通過網絡來訪問容器內的服務。端口映射機制將容器內的服務提供給外部網絡訪問，實質上就是將宿主機的端口映射到容器中，使得外部網絡訪問宿主機的端口便可訪問容器內的服務。
docker run -d --name test1 -P nginx #隨機映射端口( 從32768開始) docker run -d --name test2 -p 43000:80 nginx #指定映射端口
例：
二、Docker 鏡像創建
創建鏡像有三種方法，分別為基於已有鏡像創建、基於本地模板創建以及基於Dockerfile創建
1.基於現有鏡像創建
(1)首先啟動一個鏡像，在容器里做修改
docker create -it centos 7 /bin/bash
docker ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
000550eb36da centos:7 "/bin/bash" 3 seconds ago Created gracious_bassi
(2)然后將修改后的容器提交為新的鏡像，需要使用該容器的ID號創建新鏡像
docker commit -m "new" -a "centos" 000550eb36da centos:test
#常用選項:
-m說明信息:
-a作者信息;
-p生成過程中停止容器的運行
docker images
docker run -it --name gxd2 centos:ifconfig bash #用新鏡像創建容器
ifconfig #直接能使用ifconfig命令看網卡信息，不用再先yum安裝net-tools
例：
2.基於本地模板創建
通過導入操作系統模板文件可以生成鏡像，模板可以從OPENVZ開源項目下載，下載地址為 http://openvz.org/Download/template/precreated wget http://download.openvz.org/template/precreated/debian-7.0-x86 -minimal.tar.gz #導入為鏡像 cat debian-7.0-x86-minimal.tar.gz | docker import - debian:test
例：
3.基於Dockerfile創建
聯合文件系統(UnionFS) UnionFS (聯合文件系統) : Union文件系統(UnionFS)是一種分層、輕量級並且高性能的文件系統，它支持對文件系統的修改作為 一次提交來一層層的疊加，同時可以將不同目錄掛載到同一個虛擬文件系統下。AUFS、 OberlayFS 及Devicemapper 都是一種UnionFS。 Union文件系統是Docker鏡像的基礎。鏡像可以通過分層來進行繼承，基於基礎鏡像(沒有父鏡像)，可以制作各種具體的應用鏡 像。 特性:一次同時加載多個文件系統，但從外面看起來，只能看到-一個文件系統，聯合加載會把各層文件系統疊加起來，這樣最終 的文件系統會包含所有底層的文件和目錄。 我們下載的時候看到的一層層的就是聯合文件系統
鏡像加載原理
• Docker的鏡像實際上由一層一層的文件系統組成，這種層級的文件系統就是UnionFS。
• bootfs主要包含boot loader和kernel, bootloader主 要是引導加載kernel, Linux剛 啟動時會加載bootfs文件系統。
• 在Docker鏡像的最底層是bootfs，這一層與我們典型的Linux/Unix系統是一樣的，包含boot加載器和內核。當boot加載完成之后整個內核就都在內存中了，此時內存的使用權已由bootfs轉交給內核，此時系統也會卸載bootfs。
• rootfs，在bootfs之上。包含的就是典型Linux系統中的/dev, /proc, /bin, /etc等標准目錄和文件。rootfs就是 各種不同的操作系統發行版，比如Ubuntu, Centos等等。
我們可以理解成一開始內核 里什么都沒有，操作一個命令下載debian,這時就會在內核上面加了一層基礎鏡像;再安裝一個emacs ，會在基礎鏡像上疊加一層image; 接着再安裝一個apache,又會在images上面再疊加一層image。 最后它們看起來就像一個文件系統即容器的rootfs。在Docker 的體系里把這些root fs叫做Docker的鏡像。但是，此時的每一層rootfs都是read-only的，我們此時還不能對其進行操作。當我們創建一個容器，也就是將Docker鏡像進行實例化，系統會在一層或是多層read-only的rootfs之上分配一層空的read-write的rootfs
為什么Docker里的centos的大小才200M?
因為對於精簡的OS，rootfs可以很小， 只需要包含最基本的命令、 工具和程序庫就可以了，因為底層直接用宿主機的kernel，自己只需要提供rootfs就可以了。 由此可見對於不同的linux發行版， bootfs基本是一致的， rootfs會有差別，因此不同的發行版可以公用bootfs.
Dockerfile
• Docker鏡像是一個特殊的文件系統，除了提供容器運行時所需的程序、庫、資源、配置等文件外，還包含了一些為運行時准備的一些配置參數(如匿名卷、環境變量、用戶等)。鏡像不包含任何動態數據，其內容在構建之后也不會被改變。
• 鏡像的定制實際上就是定制每一層所添加的配置、文件。如果我們可以把每一層修改、安裝、構建、操作的命令都寫入一個腳本，用這個腳本來構建、定制鏡像，那么鏡像構建透明性的問題、體積的問題就都會解決。這個腳本就是Dockerfile。
• Dockerfile是一個文本文件，其內包含了一條條的指令(Instruction)，每一條指令構建一層， 因此每一條指令的內容，就是描述該層應當如何構建。有了Dockerfile,當我們需要定制自已額外的需求時，只需在Dockerfile.上添加或者修改指令，重新生成image即可，省去了敲命令的麻煩。
• 除了手動生成Docker鏡像之外，可以使用Dockerfile自動生成鏡像。Dockerfile是 由多條的指令組成的文件，其中每條指令對應Linux 中的一條命令，Docker 程序將讀取Dockerfile 中的指令生成指定鏡像。
• Dockerfile結構大致分為四個部分: 基礎鏡像信息、維護者信息、鏡像操作指令和容器啟動時執行指令。Dockerfile每行支持一條指令，每條指令可攜帶多個參數，支持使用以“#“號開頭的注釋。
Docker鏡像結構的分層
鏡像不是一個單一的文件，而是有多層構成。容器其實是在鏡像的最上面加了一層讀寫層，在運行容器里做的任何文件改動，都會寫到這個讀寫層。如果刪除了容器，也就刪除了其最上面的讀寫層，文件改動也就丟失了。Docker 使用存儲驅動管理鏡像每層內容及可讀寫層的容器層。
(1)Dockerfile中的每個指令都會創建–個新的鏡像層
(2)鏡像層將被緩存和復用
(3)當Dockerfile的指令修改了，復制的文件變化了，或者構建鏡像時指定的變量不同了，對應的鏡像層緩存就會失效
(4)某一層的鏡像緩存失效，它之后的鏡像層緩存都會失效
(5)鏡像層是不可變的，如果在某一層中添加一個文件，然后在下一層中刪除它，則鏡像中依然會包含該文件，只是這個文件在Docker容器中不可見了
Dockerfile操作常用的指令
(1) FROM 鏡像
指定新鏡像所基於的鏡像，第一條 指令必須為FROM指令，每創建一個鏡像就需要一條FROM 指令
(2) MAINTAINER 名字
說明新鏡像的維護人信息
(3) RUN 命令
在所基於的鏡像上執行命令，並提交到新的鏡像中
(4) ENTRYPOINT [“要運行的程序”，“參數1”，“參數2”]
設定容器啟動時第一個運行的命令及其參數。
可以通過 使用命令docker run --entrypoint 來覆蓋鏡像中的ENTRYPOINT指令的內容
(5) CMD [“要運行的程序”，“參數1”，“參數2”]
上面 的是exec形式， shell形式: CMD命令參數1參數2
啟動容器時默認執行的命令或者腳本，Dockerfile只 能有一條CMD命令。如果指定多條命令，只執行最后一條命令。
如果在dockerrun時指定了命令或者鏡像中有ENTRYPOINT，那么cmd就會被覆蓋。
CMD可以為ENTRYPOINT指令提供默認參數
(6) EXPOSE 端口號
指定新鏡像加載到Docker 時要開啟的端口
(7) ENV 環境變量 變量值
設置一個環境變量的值，會被后面的RUN使用
(8) ADD 源文件/目錄 目標文件/目錄
將源文件復制到鏡像中，源文件要與Dockerfile 位於相同目錄中，或者是一個URL
有如下注意事項:
1.如果源路徑是個文件，且目標路徑是以/結尾， 則docker會把目標路徑當作一個目錄，會把源文件拷貝到該目錄下
如果目標路徑不存在，則會自動創建目標路徑
2.如果源路徑是個文件，且目標路徑是不是以/結尾，則docker會把目標路徑當作一個文件
如果目標路徑不存在，會以目標路徑為名創建一“個文件，內容同源文件
如果目標文件是個存在的文件，會用源文件覆蓋它，當然只是內容覆蓋，文件名還是目標文件名
如果目標文件實際是個存在的目錄，則會源文件拷貝到該目錄下。注意， 這種情況下，最好顯示的以/結尾，以避免混淆
3.如果源路徑是個目錄，且目標路徑不存在，則docker會自動以目標路徑創建一個月錄，把源路徑月錄下的文件拷貝進來
如果目標路徑是個已經存在的目錄，則docker 會把源路徑目錄下的文件拷貝到該目錄下
4.如果源文件是個歸檔文件(壓縮文件)，則docker會自動幫解壓
URL"下載和解壓特性不能一起使用。任何壓縮文件通過URL拷貝，都不會自動解壓
(9) COPY 源文件/目錄 目標文件/目錄
只復制本地主機.上的文件/目錄復制到目標地點，源文件/目錄要與Dockerfile 在相同的目錄中
(10) VOLUME [“目 錄"]
在容器中創建一個掛載點
(11) USER 用戶名/UID
指定運行容器時的用戶
(12) WORKDIR 路徑
為后續的RUN、 CMD、 ENTRYPOINT指定工作目錄
(13) ONBUILD 命令
• 指定所生成的鏡像作為一個基礎鏡像時所要運行的命令
• 當在一個Dockerfile文件中加上ONBUILD指令， 該指令對利用該Dockerfile構建鏡像(比如為A鏡像)不會產生實質性影響
• 但是當編寫一個新的Dockerfile文件來基於A鏡像構建一-個鏡像( 比如為B鏡像)時，這時構造A鏡像的Dockerfile文件中的ONBUILD指令就生效了，在構建B鏡像的過程中，首先會執行ONBUILD指令指定的指令，然后才會執行其它指令
(14 ) HEALTHCHECK 健康檢查
注意：Dockerfile中ENTRYPOINT和CMD命令的作用和區別
ENTRYPOINT和CMD都是容器啟動時默認執行的命令，ENTRYPOINT需要嚴格遵守exec形式，CMD命令可以使用shell形式。
ENTRYPOINT的優先級比CMD命令更高，如果同時存在會覆蓋CMD指定的命令，docker run指定的命令優先級最高。
Dockerfile中只能有一條CMD命令，多條CMD只會執行最后一條。
注意：Dockerfile中ADD和COPY命令的作用和區別
他們都具有復制本地文件、目錄到鏡像的功能。
ADD在復制tar壓縮包的歸檔文件時候自動支持解壓縮，並且支持使用url路徑拉取文件。
COPY只能復制本地文件/目錄到鏡像。
編寫 Dockerfile 時需要嚴格遵循的格式
●第一行必須使用 FROM 指令指明所基於的鏡像名稱。
●之后使用 MAINTAINER 指令說明維護該鏡像的用戶信息（可以忽略）。
●然后是鏡像操作相關指令，如 RUN 指令。每運行一條指令，都會給基礎鏡像添加新的一層（因為RUN指令會不斷疊加鏡像，增大整個鏡像的大小，盡量減少多條RUN命令）。
●最后使用 CMD 指令指定啟動容器時要運行的命令操作。
●指令名都需要大寫。
三、Dockerfile案例
#建立工作目錄 mkdir /opt/apache cd /opt/apache vim Dockerfile #基於的基礎鏡像 FROM centos:7 #維護鏡像的用戶信息 MAINTAINER this is apache image <wl> #鏡像操作指令安裝apache軟件 RUN yum -y update RUN yum -y install httpd #開啟80端口 EXPOSE 80 #復制網站首頁文件 ADD index.html /var/www/html/index.html ======方法一=======: #將執行腳本復制到鏡像中. ADD run.sh /run.sh RUN chmod 755 /run.sh #啟動容器時執行腳本 CMD ["/run.sh"] ======方法二=======: ENTRYPOINT [ "/usr/sbin/apachectl" ] CMD ["-D"，"FOREGROUND"] =========准備執行腳本=========== vim run.sh #!/bin/bash rm -rf /run/httpd/* #清理httpd的緩存 exec /usr/sbin/apachectl -D FOREGROUND #指定為前台運行 #因為Docker容器僅在它的1號進程(PID為1) 運行時，會保持運行。如果1號進程退出了，Docker容器也就退出了 ========准備網站頁面============ echo "this is test web" > index.html ========生成鏡像========= docker build -t httpd:centos . #注意別忘了末尾有"." ========新鏡像運行容器======== docker run -d -p 1314:80 httpd:centos ========測試============= http://192.168.30.12:1314/ =====如果有網絡報錯提示===== [Warning] IPv4 forwarding is disabled.Networking will not work. 解決方法: vim /etc/sysctl.conf net.ipv4.ip_forward=1 sysctl -P systemctl restart network systemctl restart docker
例：
四、構建SSH鏡像
mkdir /opt/sshd cd /opt/sshd vim Dockerfile #第一行必須指明基於的基礎鏡像 FROM centos:7 #作者信息 MAINTAINER this is ssh image <wl> #鏡像的操作指令 RUN yum -y update RUN yum -y install openssh* net-tools lsof telnet passwd RUN echo 'abc1234' | passwd --stdin root RUN sed -i 's/UsePAM yes/UsePAM no/g' /etc/ssh/sshd_config #不使用PAM認證 RUN sed -ri '/^session\s+required\s+pam_loginuid.so/s/^/#/' /etc/pam.d/sshd #取消pam限制 RUN ssh-keygen -t rsa -A #生成密鑰認證文件 RUN mkdir -p /root/.ssh && chown root.root /root && chmod 700 /root/.ssh EXPOSE 22 CMD ["/usr/sbin/sshd" , "-D"] //生成鏡像 docker build -t sshd:centos . //啟動容器並修改root密碼 docker run -d -P sshd:centos docker ps -a ssh localhost -p 49155
例：
五、Systemctl鏡像
mkdir /opt/systemctl cd /opt/systemctl vim Dockerfile FROM sshd:centos MAINTAINER this is systemctl image <wl> ENV container docker #除了systemd-tmpfiles-setup.service，刪除其它所有文件 RUN (cd /lib/systemd/system/sysinit.target.wants/; for i in *; do [ $i == systemd-tmpfiles-setup.service ] || rm -f $i; done); \ rm -f /lib/systemd/system/multi-user.target.wants/*; \ rm -f /etc/systemd/system/*.wants/*; \ rm -f /lib/systemd/system/local-fs.target.wants/*; \ rm -f /lib/systemd/system/sockets.target.wants/*udev*; \ rm -f /lib/systemd/system/sockets.target.wants/*initctl*; \ rm -f /lib/systemd/system/basic.target.wants/*;\ rm -f /lib/systemd/system/anaconda.target.wants/*; VOLUME [ "/sys/fs/cgroup" ] #CMD ["/usr/sbin/init"] //生成鏡像 docker build -t systemd:centos . //啟動容器，並掛載宿主機目錄掛載到容器中，和進行初始化 docker run --privileged -it -v /sys/fs/cgroup:/sys/fs/cgroup:ro systemd:centos /sbin/init & #--privileged：使container內的root擁有真正的root權限。否則，container內的root只是外部的一個普通用戶權限。 docker ps -a //進入容器 docker exec -it a0d624d2bfa9 bash systemctl status sshd 方法二： docker run -d -P --privileged sshd:centos /usr/sbin/init &
例：
六、nginx鏡像
mkdir /opt/nginx cd /opt/nginx/ cp /opt/nginx-1.12.0.tar.gz /opt/nginx vim Dockerfile #基於基礎鏡像 FROM centos:7 #用戶信息 MAINTAINER this is nginx image <wl> #添加環境包 RUN yum -y update RUN yum -y install pcre-devel zlib-devel gcc gcc-c++ make RUN useradd -M -s /sbin/nologin nginx #上傳nginx軟件壓縮包，並解壓 ADD nginx-1.12.0.tar.gz /usr/local/src/ #指定工作目錄 WORKDIR /usr/local/src/nginx-1.12.0 RUN ./configure \ --prefix=/usr/local/nginx \ --user=nginx \ --group=nginx \ --with-http_stub_status_module && make && make install ENV PATH /usr/local/nginx/sbin:$PATH #指定http和https端口 EXPOSE 80 EXPOSE 443 RUN echo "daemon off;" >> /usr/local/nginx/conf/nginx.conf #關閉 nginx 在后台運行 #添加宿主機中run.sh到容器中 ADD run.sh /run.sh RUN chmod 755 /run.sh CMD ["/run.sh"] vim run.sh #!/bin/bash /usr/local/nginx/sbin/nginx //創建新鏡像 docker build -t nginx:centos . docker run -d -P nginx:centos docker ps -a 5df9e4383b96 nginx:centos "/run.sh" 15 seconds ago Up 15 seconds 0.0.0.0:32769->80/tcp, 0.0.0.0:32768->443/tcp silly_davinci http://192.168.80.10:32769
例：
七、tomcat 鏡像
mkdir /opt/tomcat
cd /opt/tomcat
cp /opt/jdk-8u91-linux-x64.tar.gz /opt/tomcat
cp /opt/apache-tomcat-8.5.16.tar.gz /opt/tomcat
vim Dockerfile
FROM centos:7
MAINTAINER this is tomcat image <wl>
ADD jdk-8u91-linux-x64.tar.gz /usr/local/
WORKDIR /usr/local/
RUN mv jdk1.8.0_91 /usr/local/java
ENV JAVA_HOME /usr/local/java
ENV JRE_HOME ${JAVA_HOME}/jre
ENV CLASSPATH .:${JAVA_HOME}/lib:${JRE_HOME}/lib
ENV PATH $JAVA_HOME/bin:$PATH
ADD apache-tomcat-8.5.16.tar.gz /usr/local/
WORKDIR /usr/local/
RUN mv apache-tomcat-8.5.16 /usr/local/tomcat
EXPOSE 8080
#CMD ["/usr/local/tomcat/bin/catalina.sh","run"]
ENTRYPOINT ["/usr/local/tomcat/bin/catalina.sh","run"]
//創建新鏡像
docker build -t tomcat:centos .
docker run -d --name tomcat01 -p 1216:8080 tomcat:centos
http://192.168.80.10:1216
例：
八、mysql鏡像
mkdir /opt/mysqld cd /opt/mysqld vim Dockerfile FROM centos:7 MAINTAINER this is mysql image <gxs> RUN yum -y install gcc gcc-c++ ncurses ncurses-devel bison cmake make RUN useradd -M -s /sbin/nologin mysql ADD mysql-boost-5.7.20.tar.gz /usr/local/src/ WORKDIR /usr/local/src/mysql-5.7.20/ RUN cmake \ -DCMAKE_INSTALL_PREFIX=/usr/local/mysql \ -DMYSQL_UNIX_ADDR=/usr/local/mysql/mysql.sock \ -DSYSCONFDIR=/etc \ -DSYSTEMD_PID_DIR=/usr/local/mysql \ -DDEFAULT_CHARSET=utf8 \ -DDEFAULT_COLLATION=utf8_general_ci \ -DWITH_INNOBASE_STORAGE_ENGINE=1 \ -DWITH_ARCHIVE_STORAGE_ENGINE=1 \ -DWITH_BLACKHOLE_STORAGE_ENGINE=1 \ -DWITH_PERFSCHEMA_STORAGE_ENGINE=1 \ -DMYSQL_DATADIR=/usr/local/mysql/data \ -DWITH_BOOST=boost \ -DWITH_SYSTEMD=1 && make && make install RUN chown -R mysql:mysql /usr/local/mysql/ RUN rm -rf /etc/my.cnf ADD my.cnf /etc/ RUN chown mysql:mysql /etc/my.cnf ENV PATH=/usr/local/mysql/bin:/usr/local/mysql/lib:$PATH WORKDIR /usr/local/mysql/ RUN bin/mysqld \ --initialize-insecure \ --user=mysql \ --basedir=/usr/local/mysql \ --datadir=/usr/local/mysql/data RUN cp /usr/local/mysql/usr/lib/systemd/system/mysqld.service /usr/lib/systemd/system/ EXPOSE 3306 ADD run.sh /usr/local/src RUN chmod 755 /usr/local/src/run.sh RUN sh /usr/local/src/run.sh #CMD ["/usr/sbin/init"] vim my.cnf [client] port = 3306 default-character-set=utf8 socket = /usr/local/mysql/mysql.sock [mysql] port = 3306 default-character-set=utf8 socket = /usr/local/mysql/mysql.sock [mysqld] user = mysql basedir = /usr/local/mysql datadir = /usr/local/mysql/data port = 3306 character_set_server=utf8 pid-file = /usr/local/mysql/mysqld.pid socket = /usr/local/mysql/mysql.sock server-id = 1 sql_mode=NO_ENGINE_SUBSTITUTION,STRICT_TRANS_TABLES,NO_AUTO_CREATE_USER,NO_AUTO_VALUE_ON_ZERO,NO_ZERO_IN_DATE,NO_ZERO_DATE,ERROR_FOR_DIVISION_BY_ZERO,PIPES_AS_CONCAT,ANSI_QUOTES vim run.sh #!/bin/bash /usr/local/mysql/bin/mysqld systemctl enable mysqld //創建新鏡像 docker build -t mysql:centos . //啟動容器，並進行初始化 docker run --name=mysql_server -d -P --privileged mysql:centos /usr/sbin/init & //進容器給權限 docker ps -a CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES f9a4d8f6c65f mysql:centos "/usr/sbin/init" 17 seconds ago Up 16 seconds 0.0.0.0:49153->3306/tcp mysql_server //進入容器，授權遠程連接 mysql docker exec -it f9a4d8f6c65f /bin/bash mysql -u root -p grant all privileges on *.* to 'root'@'%' identified by 'abc123'; grant all privileges on *.* to 'root'@'localhost' identified by 'abc123'; flush privileges; //在客戶端連接mysql容器 mysql -h 192.168.80.10 -u root -P 49153 -pabc123