docker实战

一、初识docker

1.1 LXC介绍

  LXC为Linux Container的简写。Linux Container容器是一种内核虚拟化技术,可以提供轻量级的虚拟化,以便隔离进程和资源,而且不需要提供指令解释机制以及全虚拟化的其他复杂性。相当于C++中的NameSpace。容器有效地将由单个操作系统管理的资源划分到孤立的组中,以更好地在孤立的组之间平衡有冲突的资源使用需求。与传统虚拟化技术相比,它的优势在于:

  • 与宿主机使用同一个内核,性能损耗小;
  • 不需要指令级模拟;
  • 不需要即时(Just-in-time)编译;
  • 容器可以在CPU核心的本地运行指令,不需要任何专门的解释机制;
  • 避免了准虚拟化和系统调用替换中的复杂性;
  • 轻量级隔离,在隔离的同时还提供共享机制,以实现容器与宿主机的资源共享。
  • 总结:Linux Container是一种轻量级的虚拟化的手段。

1.2 docker简介


  Docker 是Docker.lnc公司开源的一个基于LXC技术之上构建的contailer容器引擎,源代码托管在github上,基于go语言并遵从Apache2.0协议开源。
  Docker是通过内核虚拟化技术(namespace及cgroups等)来提供容器的资源隔离与安全保障等,由于Docker通过操作系统层的虚拟化实现隔离,所以Docker容器在运行时,不需要类似虚拟机VM额外的操作系统开销,提高资源利用率。

1.3 docker的工作模式

  学习Docker的源码并不是一个枯燥的过程,反而可以从中理解Docker架构的设计原理。Docker对使用者来讲是一个C/S模式的架构,而Docker的后端是一个非常松耦合的架构,模块各司其职,并有机组合,支撑Docker的运行。
  用户是使用Docker Client与Docker Daemon建立通信,并发送请求给后者。
而Docker Daemon作为Docker架构中的主体部分,首先提供Server的功能使其可以接受Docker Client的请求;而后Engine执行Docker内部的一系列工作,每一项工作都是以一个Job的形式的存在。
  Job的运行过程中,当需要容器镜像时,则从Docker Registry中下载镜像,并通过镜像管理驱动graphdriver将下载镜像以Graph的形式存储;当需要为Docker创建网络环境时,通过网络管理驱动networkdriver创建并配置Docker容器网络环境;当需要限制Docker容器运行资源或执行用户指令等操作时,则通过execdriver来完成。而libcontainer是一项独立的容器管理包,networkdriver以及execdriver都是通过libcontainer来实现具体对容器进行的操作。当执行完运行容器的命令后,一个实际的Docker容器就处于运行状态,该容器拥有独立的文件系统,独立并且安全的运行环境等。

  • CLI交互模型
  • Remote API 交互模型

二、Docker的三大核心概念

2.1 镜像

Docker镜像(Image)类似与虚拟机的镜像,可以将他理解为一个面向Docker引擎的只读模板,包含了文件系统。
例如:一个镜像可以完全包含了Ubuntu操作系统环境,可以把它称作一个Ubuntu镜像。镜像也可以安装了Apache应用程序(或其他软件),可以把它称为一个Apache镜像。
镜像是创建Docker容器的基础,通过版本管理和增量的文件系统,Docker提供了一套十分简单的机制来创建和更新现有的镜像。
用户可以从网上下载一个已经做好的应用镜像,并通过命令直接使用。
总之,应用运行是需要环境的,而镜像就是来提供这种环境。

2.2 容器

Docker容器(Container)类似于一个轻量级的沙箱子(因为Docker是基于Linux内核的虚拟技术,所以消耗资源十分少),Docker利用容器来运行和隔离应用。
容器是从镜像创建的应用运行实例,可以将其启动、开始、停止、删除,而这些容器都是相互隔离、互不可见的。
可以吧每个容器看作一个简易版的Linux系统环境(包括了root用户权限、进程空间、用户空间和网络空间),以及与运行在其中的应用程序打包而成的应用盒子。
镜像自身是只读的。容器从镜像启动的时候,Docker会在镜像的最上层创建一个可写层,镜像本身将保持不变。就像用ISO装系统之后,ISO并没有什么变化一样。

2.3 仓库

Docker仓库(Repository)类似与代码仓库,是Docker集中存放镜像文件的场所。
有时候会看到有资料将Docker仓库和注册服务器(Registry)混为一谈,并不严格区分。实际上,注册服务器是存放仓库的地方,其上往往存放着多个仓库。每个仓库集中存放某一类镜像,往往包括多个镜像文件,通过不同的标签(tag)来进行区分。例如存放Ubuntu操作系统镜像的仓库,称为Ubuntu仓库,其中可能包括14.04,12.04等不同版本的镜像。
根据存储的镜像公开分享与否,Docker仓库分为公开仓库(Public)和私有仓库(Private)两种形式。
目前,最大的公开仓库是Docker Hub,存放了数量庞大的镜像供用户下载。国内的公开仓库包括Docker Pool等,可以提供稳定的国内访问。山东理工大学开源社区什么时候搞个这个啊,可以提上进程。
如果用户不希望公开分享自己的镜像文件,Docker也支持用户在本地网络内创建一个只能自己访问的私有仓库。
当用户创建了自己的镜像之后就可以使用push明亮将它上传到指定的公有或则私有仓库。这样用户下次在另一台机器上使用该镜像时,只需将其从仓库pull下来就可以了。
Docker利用仓库管理镜像的设计理念甚至命令和git非常相似,也就意味着非常好上手,尽管目前我git还不是很熟练。

三、对比docker和虚拟机


四、八种docker应用场景

  • 简化配置,统一配置,通过镜像快速启动
  • 代码流水线管理,开发环境–测试环境–预生产环境–(灰度发布)–正式发布,docker在这里实现了快速迁移
  • 提升开发效率,对于开发人员,镜像搞好,直接给一台容器就ok了
  • 应用隔离,相对于虚拟机的完全隔离会占用资源,docker会比较节省资源
  • 整合服务器,一个服务器跑多个docker容器,提高服务器的利用率
  • debug调试能力
  • 多租户,一个租户多个用户,类似于aws公有云的一个project下多个用户
  • 快速部署,不需要启用操作系统,实现秒级部署

五、安装docker并且pull镜像

  1. yum install -y docker
  2. systemctl start docker
  3. systemctl enable docker

下载镜像(时间较长)

  1. docker pull centos
  2. docker pull registry
  3. docker pull nginx

也可以使用docker 导出和导入镜像

  1. docker save centos >/opt/centos.tar.gz
  2. docker load </opt/centos.tar.gz

查看镜像,每个镜像都有一个唯一的ID

  1. [root@docker ~]# docker images
  2. REPOSITORY TAG IMAGE ID CREATED VIRTUAL SIZE
  3. docker.io/centos latest 60e65a8e4030 35 hours ago 196.6 MB
  4. docker.io/nginx latest 813e3731b203 9 days ago 133.8 MB
  5. docker.io/registry latest a8706c2bfd21 2 weeks ago 422.8 MB

删除镜像docker rmi +镜像ID,如果镜像用于创建了容器是不能被删除的,需要先删除容器
搜索镜像docker search +镜像名字

六、容器

6.1 启动容器

启动容器:docker run 启动一个容器,centos是镜像的名称,如果没有这个centos这个镜像会自动pull一个,后面的是command,在这里的命令执行完容器也就退出了

  1. [root@docker ~]# docker run centos echo "hehe"

查看容器,-a可以查看所有容器,包含退出的和正在运行的

  1. [root@docker ~]# docker ps -a
  2. CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
  3. c720c8a6a3db centos "echo hehe" 12 minutes ago Exited (0) 12 minutes ago stoic_torvalds

启动一个名字为mydocker,不退出(指定-it)的容器

  1. [root@docker ~]# docker run --name mydocker -ti centos /bin/bash
  2. [root@80c583f13d27 /]#此时容器的主机名就是容器的ID

这时执行完exit,容器也就退出了,想要启动该容器就要start

  1. [root@docker ~]# docker start 80c583f13d27
  2. 80c583f13d27
  3. [root@docker ~]# docker ps -a
  4. CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
  5. 80c583f13d27 centos "/bin/bash" 13 minutes ago Up 1 seconds
  6. mydocker
  7. c720c8a6a3db centos "echo hehe" 27 minutes ago Exited (0) 15 seconds ago stoic_torvalds

6.2 进入docker容器的几种方式

  • 使用attach进入,使用此方法进入的话,多个窗口进入时,显示使同步的;而且exit时,该容器也停了
  1. [root@docker ~]# docker attach 80c583f13d27
  • 使用nsenter进入容器,如果没有yum安装util-linux包即可,使用此方法exit,就不会退出了,推荐使用此方法!!!
    获取docker容器进程的pid
  1. [root@docker ~]# docker inspect --format "{{.State.Pid}}" 80c583f13d27
  2. 49336

进入容器

  1. [root@docker ~]# nsenter -t 49336 -u -i -n -p
  2. [root@80c583f13d27 ~]#
  • docker exec
    此方法也不推荐使用

6.3删除和杀掉正在运行的容器

删除容器
docker rm +容器ID或者名称,删除运行的容器,-f即可

  1. [root@docker ~]# docker rm c720c8a6a3db
  2. c720c8a6a3db

在容器启动时,使用–rm参数,在容器退出时,会自动删除,在自己实验的时候很好用

  1. [root@docker ~]# docker run --rm centos echo "hello world"
  2. hello world

杀掉正在运行的容器

  1. [root@docker ~]# docker kill $(docker ps -a -q)
  2. 80c583f13d27

七、Docker的网络和存储

7.1 Docker的4种网络模式

  • host模式
    众所周知,Docker使用了Linux的Namespaces技术来进行资源隔离,如PID Namespace隔离进程,Mount Namespace隔离文件系统,Network Namespace隔离网络等。一个Network Namespace提供了一份独立的网络环境,包括网卡、路由、Iptable规则等都与其他的Network Namespace隔离。一个Docker容器一般会分配一个独立的Network Namespace。但如果启动容器的时候使用host模式,那么这个容器将不会获得一个独立的Network Namespace,而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡,配置自己的IP等,而是使用宿主机的IP和端口。
    例如,我们在10.10.101.105/24的机器上用host模式启动一个含有web应用的Docker容器,监听tcp80端口。当我们在容器中执行任何类似ifconfig命令查看网络环境时,看到的都是宿主机上的信息。而外界访问容器中的应用,则直接使用10.10.101.105:80即可,不用任何NAT转换,就如直接跑在宿主机中一样。但是,容器的其他方面,如文件系统、进程列表等还是和宿主机隔离的。
  • container模式
    在理解了host模式后,这个模式也就好理解了。这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace,而不是和宿主机共享。新创建的容器不会创建自己的网卡,配置自己的IP,而是和一个指定的容器共享IP、端口范围等。同样,两个容器除了网络方面,其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信。
  • none模式
    这个模式和前两个不同。在这种模式下,Docker容器拥有自己的Network Namespace,但是,并不为Docker容器进行任何网络配置。也就是说,这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。
  • bridge模式(默认模式)
    当Docker server启动时,会在主机上创建一个名为docker0的虚拟网桥,此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似,这样主机上的所有容器就通过交换机连在了一个二层网络中。接下来就要为容器分配IP了,Docker会从RFC1918所定义的私有IP网段中,选择一个和宿主机不同的IP地址和子网分配给docker0,连接到docker0的容器就从这个子网中选择一个未占用的IP使用。如一般Docker会使用172.17.0.0/16这个网段,并将172.17.42.1/16分配给docker0网桥(在主机上使用ifconfig命令是可以看到docker0的,可以认为它是网桥的管理接口,在宿主机上作为一块虚拟网卡使用)。单机环境下的网络拓扑如下,主机地址为10.10.101.105/24。

    Docker完成以上网络配置的过程大致是这样的:
    1)在主机上创建一对虚拟网卡veth pair设备。veth设备总是成对出现的,它们组成了一个数据的通道,数据从一个设备进入,就会从另一个设备出来。因此,veth设备常用来连接两个网络设备。
    2)Docker将veth pair设备的一端放在新创建的容器中,并命名为eth0。另一端放在主机中,以veth65f9这样类似的名字命名,并将这个网络设备加入到docker0网桥中,可以通过brctl show命令查看。
  1. [root@docker ~]# brctl show
  2. bridge name bridge id STP enabled interfaces
  3. docker0 8000.0242355d0780 no veth633915b

3)从docker0子网中分配一个IP给容器使用,并设置docker0的IP地址为容器的默认网关。
网络拓扑介绍完后,接着介绍一下bridge模式下容器是如何通信的。

7.2 启动一个nginx容器,默认前台运行nginx -g daemon off

  1. [root@docker ~]# docker run -d -P nginx
  2. 87ed997a397d01aaf1a2d4c99f4a553e345c1da2595d20f2b6817129b4abcac4

查看创建的容器,把虚拟机的32771端口映射成nginx容器的80端口,32770端口映射成443端口

  1. [root@docker ~]# docker ps -a
  2. CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
  3. 87ed997a397d nginx "nginx -g 'daemon off" About a minute ago Up About a minute 0.0.0.0:32771->80/tcp, 0.0.0.0:32770->443/tcp goofy_bardeen
  4. 80c583f13d27 centos "/bin/bash" About an hour ago Up 30 minutes mydocker

通过浏览器访问32771端口

查看docker的log,docker logs +容器ID

  1. [root@docker ~]# docker logs 87ed997a397d

启动容器是指定端口

  1. [root@docker ~]# docker run -d -p 81:80 nginx
  2. 243f8363e6e785ef5533ebade9ba2fb95959fb7327ddd0aaddf8588f9e225871

7.3 docker的存储

docker存储的两种模式

  • 数据卷
    -v /data 挂载data目录
    -v file 挂载一个文件
    -v src:dst 指定一个挂载目录,开发常用,挂载物理机代码所在目录,nginx直接使用代码
    创建一个centos容器,挂载/data目录,挂载的时候可以指定权限,ro,rw等
  1. [root@docker ~]# docker run -it --name volume-test1 -v /data centos
  2. [root@023072ed38db /]# ls /data -l
  3. total 0

/data对应的物理机的路径

  1. [root@docker ~]# docker inspect 023072ed38db |grep -A 5 "Mounts"
  2. "Mounts": [
  3. {
  4. "Name": "002955ffc8d05c5841179d45583bb58ffd34b2631bc70d4fa9ef9ceb23fc7156",
  5. "Source": "/var/lib/docker/volumes/002955ffc8d05c5841179d45583bb58ffd34b2631bc70d4fa9ef9ceb23fc7156/_data"此物理机所在路径就是容器对应的/data路径
  6. "Destination": "/data",
  7. "Driver": "local"

验证挂载情况

  1. [root@docker ~]# cd /var/lib/docker/volumes/002955ffc8d05c5841179d45583bb58ffd34b2631bc70d4fa9ef9ceb23fc7156/_data
  2. [root@docker _data]# touch chuck
  3. [root@023072ed38db /]# ls /data -l(在容器内查看)
  4. total 0
  5. -rw-r--r-- 1 root root 0 Dec 26 05:06 chuck

启动一个容器,挂载物理机/opt目录,,挂载的时候可以指定权限,ro,rw等

  1. [root@docker ~]# docker run -it -v /opt:/opt centos
  2. [root@d928441aefad /]# cd /opt/
  3. [root@d928441aefad opt]# ls
  4. index.html nginx ngix.tar.gz rh
  5. [root@docker ~]# ls /opt/ (物理机执行)
  6. index.html nginx ngix.tar.gz rh
  • 数据卷容器
    启动一个容器挂载/data目录,-d启动就放在后台
  1. [root@docker ~]# docker run -d --name myvolume -v /data centos46e7d8592f200f4680496a62dc049e394be229ebccaa41ae34d8eb2bca7a8390

启动一个容器,挂载到刚才的容器的/data目录

  1. [root@docker ~]# docker run -it --name myvolume-test --volumes-from myvolume centos
  2. [root@4f430d56682c /]#

在物理机中创建个目录在myvolume-test容器内检查挂载情况

  1. [root@docker ~]# docker ps |grep myvolume
  2. 4f430d56682c centos "/bin/bash" About a minute ago Up About a minute myvolume-test1
  3. [root@docker ~]# docker inspect 4f430d56682c|grep -A 5 Mounts
  4. "Mounts": [
  5. {
  6. "Name": "2c2abf5f9db57115741bcce627d15d659e7a4ef079b2092bd0c698950b8fc48a",
  7. "Source": "/var/lib/docker/volumes/2c2abf5f9db57115741bcce627d15d659e7a4ef079b2092bd0c698950b8fc48a/_data",
  8. "Destination": "/data",
  9. "Driver": "local",
  10. [root@docker ~]# cd /var/lib/docker/volumes/2c2abf5f9db57115741bcce627d15d659e7a4ef079b2092bd0c698950b8fc48a/_data
  11. [root@docker _data]# mkdir 123
  12. [root@4f430d56682c /]# ls /data/ -l
  13. total 0
  14. drwxr-xr-x 2 root root 6 Dec 26 05:34 123 (在容器内执行)

八、手动构建镜像

先创建一个centos镜像并yum一个nginx等待做镜像

  1. [root@docker ~]# docker run -it --name mynginx centos
  2. [root@80be7b5467ba /]#
  3. [root@80be7b5467ba /]# rpm -ivh http://mirrors.aliyun.com/epel/epel-release-latest-7.noarch.rpm
  4. [root@80be7b5467ba /]# yum install -y nginx
  5. ```bash
  6. 更改nginx的配置文件改为前台启动,退出容器
  7. [root@80be7b5467ba ~]# vim /etc/nginx/nginx.conf
  8. daemon off;
  9. [root@80be7b5467ba /]# exit
  10. exit

基于刚才创建的容器创建一个docker镜像,版本为V1,chuck为用户名,镜像名称为没有nginx,镜像来自于id为87ed997a397d的容器

  1. [root@docker ~]# docker commit -m "my nginx" 80be7b5467ba chuck/mynginx:v1
  2. 3f84d5301b53a2f72f6161f4c204cf6b5af3fdf130ef264a837d87e598f485d8
  3. [root@docker ~]# docker images
  4. REPOSITORY TAG IMAGE ID CREATED VIRTUAL SIZE
  5. chuck/mynginx v1 3f84d5301b53 47 seconds ago 326.5 MB
  6. docker.io/centos latest 60e65a8e4030 39 hours ago 196.6 MB
  7. docker.io/nginx latest 813e3731b203 9 days ago 133.8 MB
  8. docker.io/registry latest a8706c2bfd21 2 weeks ago 422.8 MB

通过上述制作的镜像,启动一个容器,要指定用户名chuck和版本,如果不指定版本则默认选择lastest

  1. [root@docker ~]# docker run -it --name nginxv1 chuck/mynginx:v1
  2. [root@96f861620ba5 /]#

九、使用Dockerfile 创建容器

9.1 dockerfile的四大部分

  • 基础镜像信息

  • 维护者信息

  • 镜像操作指令
  • 容器启动时执行指令

9.2 图解dockerfile

9.3 编写Dockerfile创建容器

  1. [root@docker nginx]# mkdir /opt/dockerfille/nginx -p
  2. [root@docker nginx]# cat Dockerfile
  3. # This is nginx dockfile
  4. # Verion 1.1.1
  5. # Author Chuck.Ma
  6. # Date 2016/1/6
  7. FROM centos
  8. MAINTAINER Chuck.Ma Chuck.ma@alibaba.com
  9. RUN rpm -ivh http://mirrors.aliyun.com/epel/epel-release-latest-7.noarch.rpm
  10. RUN yum install -y nginx
  11. ADD index.html /usr/share/nginx/html/index.html
  12. RUN echo "daemon off;" >>/etc/nginx/nginx.conf
  13. EXPOSE 80
  14. CMD ["nginx"]

使用docker build执行dockerfile构建镜像

  1. [root@docker nginx]# docker build -t chuck/mynginx:v2 /opt/dockerfille/nginx/
  2. Sending build context to Docker daemon 5.12 kB
  3. Step 0 : FROM centos
  4. ---> 60e65a8e4030
  5. Step 1 : MAINTAINER Chuck.Ma Chuck.ma@alibaba.com
  6. ---> Running in 0fd1cef13b99
  7. ---> 43b217395619
  8. Removing intermediate container 0fd1cef13b99
  9. Step 2 : RUN rpm -ivh http://mirrors.aliyun.com/epel/epel-release-latest-7.noarch.rpm
  10. ---> Running in 2679fe3aa727
  11. ·
  12. ·
  13. ·
  14. ·
  15. ·
  16. ·
  17. Removing intermediate container 87666c3126df
  18. Step 4 : ADD index.html /usr/share/nginx/html/index.html
  19. ---> 64d3f3fc81a7
  20. Removing intermediate container 38ac7440e293
  21. Step 5 : RUN echo "daemon off;" >>/etc/nginx/nginx.conf
  22. ---> Running in 96ed8d13dc48
  23. ---> 6455c0d9c3f4
  24. Removing intermediate container 96ed8d13dc48
  25. Step 6 : EXPOSE 80
  26. ---> Running in 5fefac8445b8
  27. ---> 9992a1075d2f
  28. Removing intermediate container 5fefac8445b8
  29. Step 7 : CMD nginx
  30. ---> Running in 12b47409d774
  31. ---> 6dc5ae1d99df
  32. Removing intermediate container 12b47409d774
  33. Successfully built 6dc5ae1d99df

查看使用dockerfile创建的镜像,并run一个docker容器

  1. [root@docker nginx]# docker images
  2. REPOSITORY TAG IMAGE ID CREATED VIRTUAL SIZE
  3. chuck/mynginx v2 6dc5ae1d99df 15 minutes ago 343.5 MB
  4. chuck/mynginx v1 3f84d5301b53 About an hour ago 326.5 MB
  5. docker.io/centos latest 60e65a8e4030 40 hours ago 196.6 MB
  6. docker.io/nginx latest 813e3731b203 9 days ago 133.8 MB
  7. docker.io/registry latest a8706c2bfd21 2 weeks ago 422.8 MB
  8. [root@docker nginx]# docker run -d --name nginxv2 -p 801:80 chuck/mynginx:v2
  9. b988f45e5847e1942219cf03783d19615f39c57d92a956c2acfc2a6c4cf14b89

浏览器直接查看http://192.168.56.123:801

十、Docker的Registry私有仓库构建

run一个registry

  1. [root@docker ~]# docker run -d -p 5000:5000 registry
  2. bf2156a9b00e9f2e49ebbd7b79a26ec196886b4f9cd573b6385786cd1207dd77
  3. [root@docker ~]# curl 192.168.56.123:5000/v1/search
  4. {"num_results": 0, "query": "", "results": []}

给registry打一个新的tag

  1. [root@docker ~]# docker tag chuck/mynginx:v2 192.168.56.123:5000/chuck/mynginx:lastest

配置nginx,使用用户认证https的方式将镜像push到仓库中,必须使用https!!
增加一个nginx-registry的配置文件

  1. [root@docker conf.d]# pwd
  2. /etc/nginx/conf.d
  3. [root@docker conf.d]# cat docker-registry.conf
  4. upstream docker-registry {
  5. server 127.0.0.1:5000;
  6. }
  7. server {
  8. listen 443;
  9. server_name registry.oldboyedu.com;
  10. ssl on;
  11. ssl_certificate /etc/ssl/nginx.crt;
  12. ssl_certificate_key /etc/ssl/nginx.key;
  13. proxy_set_header Host $http_host;
  14. proxy_set_header X-Real-IP $remote_addr;
  15. client_max_body_size 0;
  16. chunked_transfer_encoding on;
  17. location / {
  18. auth_basic "Docker";
  19. auth_basic_user_file /etc/nginx/conf.d/docker-registry.htpasswd;
  20. proxy_pass http://docker-registry;
  21. }
  22. location /_ping {
  23. auth_basic off;
  24. proxy_pass http://docker-registry;
  25. }
  26. location /v1/_ping {
  27. auth_basic off;
  28. proxy_pass http://docker-registry;
  29. }
  30. }

生成一个个根证书,生产环境最好是买一个证书

  1. [root@docker CA]# cd /etc/pki/CA/
  2. [root@docker CA]# touch ./{serial,index.txt}
  3. [root@docker CA]# echo 00 >serial
  4. [root@docker CA]# openssl genrsa -out private/cake.pem 2048
  5. Generating RSA private key, 2048 bit long modulus
  6. ..........................................................................................+++
  7. ..........................+++
  8. e is 65537 (0x10001)
  9. [root@docker CA]# openssl req -new -x509 -key private/cakey.pem -days 3650 -out cacert.pem
  10. You are about to be asked to enter information that will be incorporated
  11. into your certificate request.
  12. What you are about to enter is what is called a Distinguished Name or a DN.
  13. There are quite a few fields but you can leave some blank
  14. For some fields there will be a default value,
  15. If you enter '.', the field will be left blank.
  16. -----
  17. Country Name (2 letter code) [XX]:CN
  18. State or Province Name (full name) []:Beijing
  19. Locality Name (eg, city) [Default City]:Beijing
  20. Organization Name (eg, company) [Default Company Ltd]:chuck
  21. Organizational Unit Name (eg, section) []:chuck
  22. Common Name (eg, your name or your server's hostname) []:chuck-blog.com
  23. Email Address []:admin@chuck-blog.com

生成nginx的key和证书

  1. [root@docker CA]# cd /etc/ssl
  2. [root@docker ssl]# openssl genrsa -out nginx.key 2048
  3. Generating RSA private key, 2048 bit long modulus
  4. .....+++
  5. ...........................+++
  6. e is 65537 (0x10001)
  7. [root@docker ssl]# openssl req -new -key nginx.key -out nginx.csr
  8. You are about to be asked to enter information that will be incorporated
  9. into your certificate request.
  10. What you are about to enter is what is called a Distinguished Name or a DN.
  11. There are quite a few fields but you can leave some blank
  12. For some fields there will be a default value,
  13. If you enter '.', the field will be left blank.
  14. -----
  15. Country Name (2 letter code) [XX]:CN
  16. State or Province Name (full name) []:Beijing
  17. Locality Name (eg, city) [Default City]:Beijing
  18. Organization Name (eg, company) [Default Company Ltd]:chuck
  19. Organizational Unit Name (eg, section) []:chuck
  20. Common Name (eg, your name or your server's hostname) []:chuck-blog.com
  21. Email Address []:admin@chuck-blog.com
  22. Please enter the following 'extra' attributes
  23. to be sent with your certificate request
  24. A challenge password []:123456
  25. An optional company name []:chuck

签发证书

  1. [root@docker CA]# openssl ca -in nginx.csr -days 3650 -out nginx.crt

让系统接收签发的证书

  1. [root@docker ssl]# cat /etc/pki/CA/cacert.pem >> /etc/pki/tls/certs/ca-bundle.crt

创建密码

  1. [root@docker CA]# htpasswd -c /etc/nginx/conf.d/docker-registry.htpasswd chuck
  2. New password:
  3. Re-type new password:
  4. Adding password for user chuck

启动nginx

  1. [root@docker ssl]# systemctl start nginx
  2. [root@docker nginx]# netstat -lntup|grep 443
  3. tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN 54093/nginx: master

登录认证并push上打tag的lastest的镜像

  1. [root@docker nginx]#docker login -u chuck -p 123456 -e admin@chuck-blog.com chuck-blog.com
  2. [root@docker nginx]#docker push registry.chuck.com/chuck/mynginx:lastest

浏览器登录

十一、Namespace资源隔离

  • pid namespace
    不同用户的进程就是通过pid namespace隔离开的,且不同 namespace 中可以有相同pid。所有的LXC进程在docker中的父进程为docker进程,每个lxc进程具有不同的namespace。同时由于允许嵌套,因此可以很方便的实现 Docker in Docker。
  • net namespace
    有了 pid namespace, 每个namespace中的pid能够相互隔离,但是网络端口还是共享host的端口。网络隔离是通过net namespace实现的, 每个net namespace有独立的 network devices, IP addresses, IP routing tables, /proc/net 目录。这样每个container的网络就能隔离开来。docker默认采用veth的方式将container中的虚拟网卡同host上的一个docker bridge: docker0连接在一起。
  • ipc namespace
    container中进程交互还是采用linux常见的进程间交互方法(interprocess communication – IPC), 包括常见的信号量、消息队列和共享内存。然而同 VM 不同的是,container 的进程间交互实际上还是host上具有相同pid namespace中的进程间交互,因此需要在IPC资源申请时加入namespace信息 – 每个IPC资源有一个唯一的 32 位 ID。
  • mnt namespace
    类似chroot,将一个进程放到一个特定的目录执行。mnt namespace允许不同namespace的进程看到的文件结构不同,这样每个 namespace 中的进程所看到的文件目录就被隔离开了。同chroot不同,每个namespace中的container在/proc/mounts的信息只包含所在namespace的mount point。
  • uts namespace
    UTS(“UNIX Time-sharing System”) namespace允许每个container拥有独立的hostname和domain name, 使其在网络上可以被视作一个独立的节点而非Host上的一个进程。
  • user namespace
    每个container可以有不同的 user 和 group id, 也就是说可以在container内部用container内部的用户执行程序而非Host上的用户。

十二、docker拓展

12.1可配额/可度量 – Control Groups (cgroups)

cgroups 实现了对资源的配额和度量。 cgroups 的使用非常简单,提供类似文件的接口,在 /cgroup目录下新建一个文件夹即可新建一个group,在此文件夹中新建task文件,并将pid写入该文件,即可实现对该进程的资源控制。groups可以限制blkio、cpu、cpuacct、cpuset、devices、freezer、memory、net_cls、ns九大子系统的资源,以下是每个子系统的详细说明(可以使用docker run –help查看):

  • blkio 这个子系统设置限制每个块设备的输入输出控制。例如:磁盘,光盘以及usb等等。
  • cpu 这个子系统使用调度程序为cgroup任务提供cpu的访问。
  • cpuacct 产生cgroup任务的cpu资源报告。
  • cpuset 如果是多核心的cpu,这个子系统会为cgroup任务分配单独的cpu和内存。
  • devices 允许或拒绝cgroup任务对设备的访问。
  • freezer 暂停和恢复cgroup任务。
  • memory 设置每个cgroup的内存限制以及产生内存资源报告。
  • net_cls 标记每个网络包以供cgroup方便使用。
  • ns 名称空间子系统。
1
未经许可,不得转载,否则将受到作者追究,博主联系方式见首页右上角
  • 转载请注明来源:docker实战
  • 本文永久链接地址:http://www.52devops.com/chuck/893.html

该文章由 发布

这货来去如风,什么鬼都没留下!!!
发表我的评论
取消评论
代码 贴图 加粗 链接 删除线 签到