文章目录

• • Docker容器的作用
  • docker安全性原则和docker最小化镜像大小原则
  • docker镜像制作方法
  • • 基于Dockerfile的制作方法
    • • 为什么要用dockerfile？
    • 基于现有容器的制作方法
    • 基于外部文件的制作方法
  • dockerfile相关问题
  • • 如果dockerfile想修改，那镜像什么的都得重新pull吗？
    • Docker构建上下文是什么？
    • Dockerfile中COPY命令和ADD命令有什么区别？
    • Dockerfile EXPOSE命令有什么作用？
  • 命令记录

Docker容器的作用

Docker是一种轻量级的容器化技术，可以将应用程序及其依赖打包成一个独立的容器，从而实现跨平台部署。

具体而言，使用Docker可以在不同的Linux系统上运行同一容器，并且容器内部可以使用不同的操作系统、内核版本、库等组件，而不影响主机系统的配置。在Docker容器中，每个应用程序都运行在一个隔离的环境中，不会受到主机系统的影响，从而可以避免内核版本不同的问题。

但是需要注意的是，Docker并不能完全解决所有与内核版本相关的问题。例如，某些需要使用系统调用的程序可能仍然受到内核版本的限制，如果Docker容器内部的操作系统和内核版本与主机系统差异较大，可能仍然需要对程序进行相应的修改和配置才能确保正确运行。

docker安全性原则和docker最小化镜像大小原则

• Docker安全性原则：
  最小化基础镜像 - 选择尽可能小的基础镜像来减少系统的潜在漏洞。
  只安装必要的软件包 - 减少系统中软件包的数量，以减少潜在的漏洞和攻击面。
  禁用root用户 - 尽可能使用非root用户运行Docker容器。
  限制容器权限 - 通过使用安全配置文件或限制容器的功能，限制容器的权限。
  启用安全审计 - 启用Docker守护进程的安全审计功能，记录容器的活动和事件。
  更新和修补 - 定期更新和修补基础镜像和容器中的软件包，以确保系统的安全性。

• Docker最小化镜像大小原则：
  删除不必要的文件和软件包 - 从基础镜像中删除不必要的文件和软件包，以减少镜像的大小。
  多阶段构建 - 使用多个阶段构建镜像，确保每个阶段只包含必要的软件包和文件。
  选择正确的基础镜像 - 选择轻量级的基础镜像，例如Alpine Linux。
  使用压缩技术 - 使用压缩技术（例如gzip）来压缩镜像中的文件，以减小镜像的大小。
  精简容器配置 - 精简容器的配置，只包括必要的文件和软件包。

docker镜像制作方法

基于Dockerfile的制作方法

Dockerfile是一个文本文件，其中包含了一系列的指令，用于构建Docker镜像。可以使用文本编辑器编写Dockerfile，然后使用docker build命令来构建镜像。Dockerfile包含的指令可以用来设置容器的环境变量、安装软件包、拷贝文件等操作。这种方法的好处是可以将容器的构建过程记录下来，方便后续的更新和维护。

为什么要用dockerfile？

Dockerfile是用于构建Docker镜像的文本文件。编写Dockerfile的主要目的是自动化Docker镜像的构建过程，使得每次构建过程的结果都是一致的，从而能够确保镜像的可重复性和可维护性。以下是一些编写Dockerfile的重要原因：

• 镜像构建自动化：通过Dockerfile文件描述Docker镜像的构建过程，可以在构建时自动化完成所有的配置和安装步骤，提高了构建的效率和可靠性。

• 镜像的可重复性：Dockerfile文件中描述的所有步骤都是基于文本文件，而非手动操作。这确保了构建出的每个镜像都是相同的，即使在不同的Docker宿主机上也是如此。

• 镜像的可维护性：Dockerfile文件作为文本文件，可以被版本控制系统（例如Git）跟踪，因此可以随时对其进行修改和更新，从而提高了镜像的可维护性和可扩展性。

使部署更加方便：使用Dockerfile构建的Docker镜像可以在不同的Docker宿主机上部署，而无需手动配置和安装环境，从而大大简化了应用程序的部署过程。

基于现有容器的制作方法

这种方法是基于现有的Docker镜像进行修改和定制。可以使用docker pull命令将现有的镜像拉取到本地，然后使用docker run命令启动容器，并进行修改和定制。修改完成后，可以使用docker commit命令将容器保存为一个新的镜像。这种方法的好处是可以快速地创建一个新的镜像，但容易产生一些不必要的依赖关系。

基于外部文件的制作方法

这种方法是将需要安装的软件包、配置文件等放置在一个目录中，并将该目录映射到容器中。可以使用docker run命令的-v参数来映射文件夹。这种方法的好处是可以将容器与宿主机解耦，方便进行更新和维护。

dockerfile相关问题

如果dockerfile想修改，那镜像什么的都得重新pull吗？

如果只修改了Dockerfile，而没有修改应用程序代码或其他资源，您可以使用docker build命令的--no-cache选项，这样Docker就不会使用缓存的构建阶段，而是强制重新运行所有的构建步骤。例如：

docker build --no-cache -t my-image .

这将导致Docker强制重新拉取基础镜像，并重新运行所有的构建步骤，以生成新的镜像。

如果您只修改了应用程序代码或其他资源，而没有修改Dockerfile，则可以在重新构建之前将这些资源复制到Docker构建上下文中，这样Docker就可以重用先前构建的镜像层，而不需要重新拉取基础镜像。例如：

# 在Dockerfile中添加以下命令，将应用程序代码复制到容器中
COPY app /app# 在终端中执行以下命令，将修改后的应用程序代码复制到Docker构建上下文中
cp -r /path/to/new/app/* /path/to/docker/build/context/app/# 在Dockerfile所在目录中执行以下命令，使用修改后的应用程序代码重新构建镜像
docker build -t my-image .

Docker构建上下文是什么？

Docker构建上下文是指在构建Docker镜像时，Docker daemon用于构建镜像的所有文件和目录的集合。Docker将构建上下文中的所有文件和目录打包并发送到Docker daemon进行处理，以生成镜像。

默认情况下，Docker构建上下文是Dockerfile所在的目录及其所有子目录。因此，如果您的Dockerfile需要使用应用程序代码或其他资源文件，则应将这些文件放在Dockerfile所在目录的子目录中。

但是，由于构建上下文中的所有文件和目录都会被发送到Docker daemon，因此您应该尽可能地减小构建上下文的大小，以避免不必要的网络传输和磁盘空间占用。为了最大限度地减小构建上下文的大小，您可以使用.dockerignore文件排除不需要发送到Docker daemon的文件和目录。例如，您可以在.dockerignore文件中排除临时文件、日志文件、版本控制系统文件等，以减小构建上下文的大小。

总之，了解Docker构建上下文是很重要的，因为它直接影响到Docker镜像的构建效率和镜像大小。

Dockerfile中COPY命令和ADD命令有什么区别？

COPY命令和ADD命令都可以将文件从构建上下文复制到Docker镜像中，但是它们在某些方面有所不同。

主要区别如下：

ADD命令支持更多的文件类型，例如可以将远程URL、tar文件自动解压缩到容器中，而COPY命令只能复制本地文件。

ADD命令在复制时自动处理URL和tar文件，因此如果您想要的是简单的复制操作，则COPY命令更为安全和可预测。另外，由于ADD命令会自动解压缩tar文件，可能会引起一些安全隐患。

COPY命令只复制本地文件，并且更加简单和直观，因此推荐在大多数情况下使用COPY命令。

因此，建议在构建Docker镜像时优先使用COPY命令，只有在需要复制远程文件或自动解压缩tar文件时才使用ADD命令。同时，也应该谨慎使用ADD命令，确保您理解它的行为和限制。

Dockerfile EXPOSE命令有什么作用？

EXPOSE指令在Docker中的作用是帮助描述容器中应用程序需要监听的网络端口。通过在Dockerfile中使用EXPOSE指令，我们可以在构建Docker镜像时向其他开发者或者运维人员传达应用程序需要监听哪些端口的信息，这有助于更好地理解应用程序和Docker镜像的配置和部署。

虽然使用EXPOSE指令可以方便地记录容器内应用程序所监听的端口号，但是它并不会自动将容器内的端口映射到主机上。在运行容器时，我们仍需要使用-p参数手动指定需要映射的端口号。

除了方便描述容器内应用程序需要监听的端口号之外，EXPOSE指令还有以下作用：

在Docker容器中使用Link命令连接多个容器时，EXPOSE指令可以帮助描述容器之间需要互相访问的端口号。

当我们在Docker Compose或Kubernetes等编排工具中定义服务时，可以使用EXPOSE指令来指定容器所需要监听的端口号，从而使得编排工具能够自动识别和管理容器之间的网络连接。

需要注意的是，虽然EXPOSE指令可以描述容器内应用程序所需要监听的端口号，但并不会自动将这些端口映射到主机上。在运行容器时，我们仍需要使用-p参数手动指定需要映射的端口号。

命令记录

构建命令：在Dockerfile所在目录中执行以下命令，使用修改后的应用程序代码重新构建镜像。其中，my-image 是您为镜像命名的标识符，后面的“.”表示当前目录，告诉Docker在此目录中查找Dockerfile文件。

docker build -t my-image .

创建容器：

docker run -itd --name testDockerfile my-image:latest /bin/bash

进入容器：

docker attach testDockerfile