Docker容器镜像与容器常用操作指南

一、镜像基础操作

搜索镜像
```
docker search <镜像名>
```
在Docker Hub中查找公开镜像，例如：
```
docker search nginx
```
拉取镜像
```
docker pull <镜像名>:<标签>
```
从仓库拉取镜像到本地，标签默认为latest：
```
docker pull nginx:alpine
```
查看本地镜像
```
docker images
```
列出所有本地镜像，包含镜像ID、标签、大小等信息。
删除镜像
```
docker rmi <镜像ID或镜像名>:<标签>
```
删除指定镜像，若镜像被容器引用需先删除容器：
```
docker rmi nginx:alpine
```

构建镜像
通过Dockerfile构建自定义镜像：

docker build -t <自定义镜像名>:<标签> <Dockerfile路径>

例如：

docker build -t myapp:v1 .

二、容器基础操作

运行容器
```
docker run [OPTIONS] <镜像名>:<标签>
```
常用参数：
- -d：后台运行（守护进程模式）
- --name：指定容器名称
- -p <主机端口>:<容器端口>：端口映射
- -v <主机路径>:<容器路径>：数据卷挂载
- -e <环境变量>：设置环境变量
  示例：
```
docker run -d --name web -p 8080:80 -v /data:/usr/share/nginx/html nginx:alpine
```

查看容器

docker ps        # 查看运行中的容器
docker ps -a     # 查看所有容器（包括已停止的）

停止容器

docker stop <容器名或容器ID>

示例：

docker stop web

启动已停止容器
```
docker start <容器名或容器ID>
```

删除容器

docker rm <容器名或容器ID>

强制删除运行中的容器：

docker rm -f <容器名或容器ID>

查看容器日志
```
docker logs <容器名或容器ID>
```
常用参数：
- -f：实时跟踪日志输出
- --tail <行数>：显示最后N行日志
  示例：
```
docker logs -f --tail 50 web
```

进入容器内部

docker exec -it <容器名或容器ID> /bin/bash

若容器无bash，可替换为/bin/sh：

docker exec -it <容器名或容器ID> /bin/sh

三、进阶操作

提交容器为镜像
将容器修改保存为新镜像：

docker commit <容器名或容器ID> <新镜像名>:<标签>

数据卷管理

创建数据卷：
```
docker volume create <卷名>
```

运行容器时挂载卷：

docker run -v <卷名>:<容器路径> ...

查看所有卷：
```
docker volume ls
```

网络管理

查看网络：
```
docker network ls
```
创建自定义网络：
```
docker network create <网络名>
```
运行容器时指定网络：
```
docker run --network=<网络名> ...
```

资源限制
限制容器使用的CPU和内存：
```
docker run --memory=512m --cpus=1.0 ...
```

四、最佳实践

镜像优化
- 使用多阶段构建减少镜像体积。
- 清理构建过程中产生的临时文件（如apt-get clean、rm -rf /var/lib/apt/lists/*）。
- 选择轻量级基础镜像（如alpine）。
容器命名规范
为容器设置语义化名称（如web-server、database），避免使用默认随机名称。

日志轮转
通过--log-opt参数限制日志文件大小：

docker run --log-opt max-size=10m --log-opt max-file=3 ...

定期清理
- 删除无标签镜像（<none>镜像）：
```
docker image prune
```
- 删除所有停止的容器：
```
docker container prune
```
- 删除未使用的卷、网络和镜像：
```
docker system prune
```
安全建议
- 避免以root用户运行容器，使用USER指令指定非特权用户。
- 定期更新镜像以修复安全漏洞。
- 使用docker scan检查镜像漏洞（需Docker Hub账号）。

五、容器镜像及容器在OS组件编译构建中的意义

容器化技术在操作系统（OS）组件的编译构建过程中发挥着革命性作用，其核心价值体现在以下方面：

环境一致性保障
- 问题背景：传统编译构建中，开发、测试、生产环境差异（如库版本、编译工具链不一致）常导致“在我机器上能编译通过”的诡异问题。
- 容器化解决方案：通过Dockerfile定义编译环境，将OS内核、编译工具链（如gcc/binutils）、依赖库（如glibc）及构建脚本打包为镜像。例如，构建Linux内核时，可基于ubuntu:20.04镜像安装指定版本的build-essential、libssl-dev等依赖，确保全球开发者使用完全相同的编译环境。
资源隔离与效率提升
- 并行构建优化：容器轻量级特性支持在单台物理机启动多个隔离的编译容器，利用docker run --cpus=2 -m 4g限制每个容器的CPU/内存资源，实现编译任务并行化，缩短大型项目（如LLVM编译器）的全量构建时间。
- CI/CD集成：在Jenkins/GitLab CI流水线中，每个构建阶段（如编译、测试、打包）运行在独立容器中，避免任务间资源竞争，提升流水线执行效率。
依赖管理与可重复性
- 依赖锁定：通过Dockerfile显式声明编译所需依赖（如RUN apt-get install -y cmake=3.16.7），避免因宿主机环境变化导致的依赖冲突。
- 镜像层缓存：Docker利用分层镜像技术，对Dockerfile中未变更的指令（如基础镜像、依赖安装）复用缓存层，仅重新执行变更的步骤（如代码编译），加速迭代构建。
安全合规性
- 最小权限原则：在编译镜像中避免安装非必要工具（如curl、wget），减少攻击面。例如，使用distroless基础镜像（仅包含运行时代码）替代完整OS镜像。
- 镜像签名验证：通过Docker Content Trust对编译生成的镜像进行签名，确保镜像在传输和部署过程中未被篡改。

六、容器镜像源的配置与维护操作

1. 镜像加速器配置

场景：国内网络环境下，从Docker Hub拉取镜像速度缓慢。

配置步骤（以阿里云为例）：

获取加速地址：
- 登录阿里云容器镜像服务控制台，进入“镜像中心”->“镜像加速器”，获取专属加速地址（如https://<你的ID>.mirror.aliyuncs.com）。
修改Docker配置：
- Linux：编辑/etc/docker/daemon.json，添加：
```
{"registry-mirrors": ["https://<你的ID>.mirror.aliyuncs.com"]
}
```
- Windows/macOS（Docker Desktop）：
  进入Docker Desktop设置，勾选“Use Docker Mirror”，填入加速地址。
重启Docker服务：
```
systemctl restart docker  # Linux
```

验证配置：

docker info | grep "Registry Mirrors"
# 输出应包含配置的加速地址

常用国内镜像加速器：

腾讯云：https://mirror.ccs.tencentyun.com
网易云：https://hub-mirror.c.163.com
USTC：https://docker.mirrors.ustc.edu.cn

2. 私有仓库配置与管理

场景：企业内部需要存储私有镜像（如未开源的OS组件编译产物）。

方案对比：

方案	特点	适用场景
本地Registry	轻量级，`docker run -d -p 5000:5000 --name registry registry:2`	测试环境/小型团队
Harbor	企业级，支持镜像复制、LDAP集成、镜像扫描	生产环境/中大型企业

Harbor部署步骤：

安装Harbor：

# 下载安装包
wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-online-installer-v2.9.0.tgz
tar -zxvf harbor-online-installer-v2.9.0.tgz
cd harbor# 修改配置（harbor.yml）
hostname: reg.yourdomain.com
http:port: 80
# 启用HTTPS（可选）
# certificate: /path/to/cert.crt
# private_key: /path/to/cert.key# 安装
./install.sh

推送镜像到Harbor：

# 登录Harbor
docker login reg.yourdomain.com# 打标签并推送
docker tag nginx:alpine reg.yourdomain.com/library/nginx:alpine
docker push reg.yourdomain.com/library/nginx:alpine

镜像复制（跨Region容灾）：
- 在Harbor Web界面进入“复制管理”，创建复制规则，实现镜像在不同Harbor实例间的自动同步。

3. 镜像安全维护

关键操作：

漏洞扫描：
- 工具选择：Clair（开源）、Trivy（支持多语言）、Anchore Engine（企业级）。
- 集成CI/CD：在GitLab CI中添加扫描阶段：
```
scan_image:stage: securityscript:- trivy image --severity HIGH,CRITICAL reg.yourdomain.com/project/app:latest
```
镜像更新策略：
- 自动重建：在Dockerfile中指定基础镜像标签（如ubuntu:22.04而非ubuntu:latest），配合Harbor的Webhook，当基础镜像更新时触发镜像重建。
- 滚动更新：在Kubernetes中通过Deployment的rollingUpdate策略实现镜像版本平滑升级。
镜像清理：
- 删除无用镜像：
```
docker image prune -a --filter "until=720h"  # 删除30天前未使用的镜像
```
- Harbor垃圾回收：在Harbor Web界面进入“清理”，设置保留策略（如保留最近3个版本）。