Docker基础（三）镜像制作

镜像制作

一、docer创建镜像的创建方法

创建docker镜像的三种方法，分别是基于已有的容器创建、基于本地模板创建、以及dockerfile创建。

1.基于以有容器创建镜像。

基于已有的容器创建主要是使用docker commit命令。实质就是把一个容器里面运行的程序以及该程序的运行环境打包起来生成新的镜像。
命令：docker commit 选项 容器ID/名称 仓库名称：标签
常用的选项：
-m：说明信息
-a：作者
-p：生成过程中停止容器的运行（一般不会使用）

docker commit -m"this is a test image"-a"duzhe" mytomcat testimg:1.0

sha256:aa675b1e538c0463c4d0df45e8be34c7cfe71225ec896009b0ee7a754b3db283

2.基于本地模板镜像创建：

通过导入操作系模板文件可以生成镜像，模板可以从OPENVZ开源项目下载，下载地址为：https://wiki.openvz.org/Download/template/precreated

Cat 镜像包 | docker import - 生成的镜像名：标签

cat ubuntu-12.04-x86_64-minimal.tar.gz |dockerimport - myubuntu:1

sha256:17dccdf9e0a761de3eb582d5ca370377aa602e0881e58ce07c76cf6223904bcd

3.用dockerfile生成镜像：

Dockerfile结构的四个部分：

基本镜像信息

，

维护者信息

，

镜像操作指令

和

容器启动执行指令

3.1建立工作目录：

mkdir dockerdir
cd dockerdir

3.2创建并编写dockerfile文件：

FROM centos:7
MAINTAINER duzhe
ENV PATH$PATH:/usr/local/nginx/sbin
WORKDIR /usr/local/nginx
EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

3.3编写执行脚本文件：

vim run.sh

#!/bin/bashrm-rf /run/httpd/*
exec /usr/sbin/apachectl -D FOREGROUND

3.4创建测试页面：

echo “then is httpd”>index.html
 ls
Dockerfile index.html run.sh

3.5使用dockerfile生存镜像文件：

命令docker build 选项 路径
常用选项：
-t：指定镜像的标签选项。

docker build -t centos:1.0 .

在这里插入图片描述

3.6使用新的镜像运行容器：

将容器中的暴露端口映射到宿主机上端口号为8888

docker run -it-d-p8888:80 centos:1.0 bash
c3b0432591612bf0697404e4044eeb45d42e072ea27388e8b498697a2ebb7436

二、Dockerfile

Docker 镜像的定制实际上就是定制每一层所添加的配置、文件。如果我们可以把每一层修改、安装、构建、操作的命令都写入一个脚本，用这个脚本来构建、定制镜像，那么之前提及的无法重复的问题、镜像构建透明性的问题、体积的问题就都会解决。这个脚本就是 Dockerfile。

Dockerfile 是一个文本文件，其内包含了一条条的 **指令(Instruction)**，每一条指令构建一层，因此每一条指令的内容，就是描述该层应当如何构建。

1、FROM(指定基础镜像)

作用：**

FROM

指令用于指定基础镜像**。

所谓定制镜像，那一定是以一个镜像为基础，在其上进行定制。基础镜像是必须指定的。而

FROM

就是指定基础镜像，因此一个

Dockerfile

中

FROM

是必备的指令，并且必须是第一条指令。

在 Docker Store 上有非常多的高质量的官方镜像，有可以直接拿来使用的服务类的镜像，如 nginx、redis、mongo、mysql、httpd、php、tomcat 等；也有一些方便开发、构建、运行各种语言应用的镜像，如 node、openjdk、python、ruby、golang 等。可以在其中寻找一个最符合我们最终目标的镜像为基础镜像进行定制。

如果没有找到对应服务的镜像，官方镜像中还提供了一些更为基础的操作系统镜像，如 ubuntu、debian、centos、fedora、alpine 等。

除了选择现有镜像为基础镜像外，Docker 还存在一个特殊的镜像，名为

scratch

。这个镜像是虚拟的概念，并不实际存在，它表示一个空白的镜像。

FROM scratch
...

如果你以

scratch

为基础镜像的话，意味着你不以任何镜像为基础，接下来所写的指令将作为镜像第一层开始存在。

不以任何系统为基础，直接将可执行文件复制进镜像的做法并不罕见，比如 swarm、coreos/etcd。对于 Linux 下静态编译的程序来说，并不需要有操作系统提供运行时支持，所需的一切库都已经在可执行文件里了，因此直接

FROM scratch

会让镜像体积更加小巧。

2、RUN(执行命令)

**

RUN

指令是用来执行命令行命令的**。由于命令行的强大能力，

RUN

指令在定制镜像时是最常用的指令之一。其格式有两种：

• shell 格式：RUN <命令>，就像直接在命令行中输入的命令一样。刚才写的 Dockerfile 中的 RUN 指令就是这种格式。

RUN echo '<h1>Hello, Docker!</h1>' > /usr/share/nginx/html/index.html

• exec 格式：RUN ["可执行文件", "参数1", "参数2"]，这更像是函数调用中的格式。

既然

RUN

就像 Shell 脚本一样可以执行命令，那么我们是否就可以像 Shell 脚本一样把每个命令对应一个 RUN 呢？比如这样：

FROM debian:jessie

RUN apt-get update
RUN apt-get install -y gcc libc6-dev make
RUN wget -O redis.tar.gz "http://download.redis.io/releases/redis-3.2.5.tar.gz"
RUN mkdir -p /usr/src/redis
RUN tar -xzf redis.tar.gz -C /usr/src/redis --strip-components=1
RUN make -C /usr/src/redis
RUN make -C /usr/src/redis install

之前说过，Dockerfile 中每一个指令都会建立一层，

RUN

也不例外。每一个

RUN

的行为，就和刚才我们手工建立镜像的过程一样：新建立一层，在其上执行这些命令，执行结束后，

commit

这一层的修改，构成新的镜像。

而上面的这种写法，创建了 7 层镜像。这是完全没有意义的，而且很多运行时不需要的东西，都被装进了镜像里，比如编译环境、更新的软件包等等。结果就是产生非常臃肿、非常多层的镜像，不仅仅增加了构建部署的时间，也很容易出错。

Union FS 是有最大层数限制的，比如 AUFS，曾经是最大不得超过 42 层，现在是不得超过 127 层。

上面的

Dockerfile

正确的写法应该是这样：

FROM debian:jessie

RUN buildDeps='gcc libc6-dev make' \
    && apt-get update \
    && apt-get install -y $buildDeps \
    && wget -O redis.tar.gz "http://download.redis.io/releases/redis-3.2.5.tar.gz" \
    && mkdir -p /usr/src/redis \
    && tar -xzf redis.tar.gz -C /usr/src/redis --strip-components=1 \
    && make -C /usr/src/redis \
    && make -C /usr/src/redis install \
    && rm -rf /var/lib/apt/lists/* \
    && rm redis.tar.gz \
    && rm -r /usr/src/redis \
    && apt-get purge -y --auto-remove $buildDeps

首先，之前所有的命令只有一个目的，就是编译、安装 redis 可执行文件。因此没有必要建立很多层，这只是一层的事情。因此，这里没有使用很多个

RUN

对一一对应不同的命令，而是仅仅使用一个

RUN

指令，并使用

&&

将各个所需命令串联起来。将之前的 7 层，简化为了 1 层。在撰写 Dockerfile 的时候，要经常提醒自己，这并不是在写 Shell 脚本，而是在定义每一层该如何构建。

并且，这里为了格式化还进行了换行。Dockerfile 支持 Shell 类的行尾添加

\

的命令换行方式，以及行首

#

进行注释的格式。良好的格式，比如换行、缩进、注释等，会让维护、排障更为容易，这是一个比较好的习惯。

此外，还可以看到这一组命令的最后添加了清理工作的命令，删除了为了编译构建所需要的软件，清理了所有下载、展开的文件，并且还清理了

apt

缓存文件。这是很重要的一步，我们之前说过，镜像是多层存储，每一层的东西并不会在下一层被删除，会一直跟随着镜像。因此镜像构建时，一定要确保每一层只添加真正需要添加的东西，任何无关的东西都应该清理掉。

3、COPY(复制文件)

**

COPY

指令将从构建上下文目录中

<源路径>

的文件/目录复制到新的一层的镜像内的

<目标路径>

位置。**

格式：

• COPY [--chown=<user>:<group>] <源路径>... <目标路径>
• COPY [--chown=<user>:<group>] ["<源路径1>",... "<目标路径>"]

示例：

COPY package.json /usr/src/app/

<源路径>

可以是多个，甚至可以是通配符，其通配符规则要满足 Go 的 filepath.Match 规则，如：

COPY hom* /mydir/
COPY hom?.txt /mydir/

<目标路径>

可以是容器内的绝对路径，也可以是相对于工作目录的相对路径（工作目录可以用

WORKDIR

指令来指定）。目标路径不需要事先创建，如果目录不存在会在复制文件前先行创建缺失目录。

在使用该指令的时候还可以加上

--chown=<user>:<group>

选项来改变文件的所属用户及所属组。

COPY --chown=55:mygroup files* /mydir/
COPY --chown=bin files* /mydir/
COPY --chown=1 files* /mydir/
COPY --chown=10:11 files* /mydir/

4、ADD(更高级的复制文件)

ADD

指令和

COPY

的格式和性质基本一致。但是在

COPY

基础上增加了一些功能。

比如

<源路径>

可以是一个

URL

，这种情况下，Docker 引擎会试图去下载这个链接的文件放到

<目标路径>

去。下载后的文件权限自动设置为

600

，如果这并不是想要的权限，那么还需要增加额外的一层

RUN

进行权限调整，另外，如果下载的是个压缩包，需要解压缩，也一样还需要额外的一层

RUN

指令进行解压缩。所以不如直接使用

RUN

指令，然后使用

wget

或者

curl

工具下载，处理权限、解压缩、然后清理无用文件更合理。因此，这个功能其实并不实用，而且不推荐使用。

如果

<源路径>

为一个

tar

压缩文件的话，压缩格式为

gzip

,

bzip2

以及

xz

的情况下，

ADD

指令将会自动解压缩这个压缩文件到

<目标路径>

去。

但在某些情况下，如果我们真的是希望复制个压缩文件进去，而不解压缩，这时就不可以使用

ADD

命令了。

因此在

COPY

和

ADD

指令中选择的时候，可以遵循这样的原则，所有的文件复制均使用

COPY

指令，仅在需要自动解压缩的场合使用

ADD

。

在使用该指令的时候还可以加上

--chown=<user>:<group>

选项来改变文件的所属用户及所属组。

ADD --chown=55:mygroup files* /mydir/
ADD --chown=bin files* /mydir/
ADD --chown=1 files* /mydir/
ADD --chown=10:11 files* /mydir/

5、CMD(容器启动命令)

CMD

指令的格式和

RUN

相似，也是两种格式：

• shell 格式：CMD <命令>
• exec 格式：CMD ["可执行文件", "参数1", "参数2"...]
• 参数列表格式：CMD ["参数1", "参数2"...]。在指定了 ENTRYPOINT 指令后，用 CMD 指定具体的参数。

在运行时可以指定新的命令来替代镜像设置中的这个默认命令，比如，

ubuntu

镜像默认的

CMD

是

/bin/bash

，如果我们直接

docker run -it ubuntu

的话，会直接进入

bash

。我们也可以在运行时指定运行别的命令，如

docker run -it ubuntu cat /etc/os-release

。这就是用

cat /etc/os-release

命令替换了默认的

/bin/bash

命令了，输出了系统版本信息。

在指令格式上，一般推荐使用

exec

格式，这类格式在解析时会被解析为 JSON 数组，因此一定要使用双引号

"

，而不要使用单引号。

如果使用

shell

格式的话，实际的命令会被包装为

sh -c

的参数的形式进行执行。比如：

CMD echo $HOME

在实际执行中，会将其变更为：

CMD [ "sh", "-c", "echo $HOME" ]

这就是为什么我们可以使用环境变量的原因，因为这些环境变量会被 shell 进行解析处理。

提到

CMD

就不得不提容器中应用在前台执行和后台执行的问题。这是初学者常出现的一个混淆。

Docker 不是虚拟机，容器中的应用都应该以前台执行，而不是像虚拟机、物理机里面那样，用 upstart/systemd 去启动后台服务，容器内没有后台服务的概念。

将

CMD

写为：

CMD service nginx start

然后发现容器执行后就立即退出了。甚至在容器内去使用

systemctl

命令结果却发现根本执行不了。这就是因为没有搞明白前台、后台的概念，没有区分容器和虚拟机的差异，依旧在以传统虚拟机的角度去理解容器。

对于容器而言，其启动程序就是容器应用进程，容器就是为了主进程而存在的，主进程退出，容器就失去了存在的意义，从而退出，其它辅助进程不是它需要关心的东西。

而使用

service nginx start

命令，则是希望 upstart 来以后台守护进程形式启动

nginx

服务。而刚才说了

CMD service nginx start

会被理解为

CMD [ "sh", "-c", "service nginx start"]

，因此主进程实际上是

sh

。那么当

service nginx start

命令结束后，

sh

也就结束了，

sh

作为主进程退出了，自然就会令容器退出。

正确的做法是直接执行

nginx

可执行文件，并且要求以前台形式运行。比如：

CMD ["nginx", "-g", "daemon off;"]

6、ENTRYPOINT(入口点)

ENTRYPOINT

的格式和

RUN

指令格式一样，分为

exec

格式和

shell

格式。

ENTRYPOINT

的目的和

CMD

一样，都是在指定容器启动程序及参数。

ENTRYPOINT

在运行时也可以替代，不过比

CMD

要略显繁琐，需要通过

docker run

的参数

--entrypoint

来指定。

当指定了

ENTRYPOINT

后，

CMD

的含义就发生了改变，不再是直接的运行其命令，而是将

CMD

的内容作为参数传给

ENTRYPOINT

指令，换句话说实际执行时，将变为：

<ENTRYPOINT>"<CMD>"

7、ENV(设置环境变量)

ENV

指令用于设置环境变量。无论是后面的其它指令，如

RUN

，还是运行时的应用，都可以直接使用这里定义的环境变量。

格式：

• ENV <key> <value>
• ENV <key1>=<value1> <key2>=<value2>...

示例 1：

ENV VERSION=1.0 DEBUG=on \
    NAME="Happy Feet"

8、VOLUME(定义匿名卷)

格式：

• VOLUME ["<路径1>", "<路径2>"...]
• VOLUME <路径>

之前我们说过，容器运行时应该尽量保持容器存储层不发生写操作，对于数据库类需要保存动态数据的应用，其数据库文件应该保存于卷(volume)中，后面的章节我们会进一步介绍 Docker 卷的概念。为了防止运行时用户忘记将动态文件所保存目录挂载为卷，在

Dockerfile

中，我们可以事先指定某些目录挂载为匿名卷，这样在运行时如果用户不指定挂载，其应用也可以正常运行，不会向容器存储层写入大量数据。

VOLUME /data

这里的

/data

目录就会在运行时自动挂载为匿名卷，任何向

/data

中写入的信息都不会记录进容器存储层，从而保证了容器存储层的无状态化。当然，运行时可以覆盖这个挂载设置。比如：

docker run -d -v mydata:/data xxxx

在这行命令中，就使用了

mydata

这个命名卷挂载到了

/data

这个位置，替代了

Dockerfile

中定义的匿名卷的挂载配置。

9、EXPOSE(暴露端口)

EXPOSE

指令是声明运行时容器提供服务端口，这只是一个声明，在运行时并不会因为这个声明应用就会开启这个端口的服务。在 Dockerfile 中写入这样的声明有两个好处，一个是帮助镜像使用者理解这个镜像服务的守护端口，以方便配置映射；另一个用处则是在运行时使用随机端口映射时，也就是

docker run -P

时，会自动随机映射

EXPOSE

的端口。

要将

EXPOSE

和在运行时使用

-p <宿主端口>:<容器端口>

区分开来。

-p

，是映射宿主端口和容器端口，换句话说，就是将容器的对应端口服务公开给外界访问，而

EXPOSE

仅仅是声明容器打算使用什么端口而已，并不会自动在宿主进行端口映射。

格式：

EXPOSE <端口1> [<端口2>...]

。

10、WORKDIR(指定工作目录)

使用

WORKDIR

指令可以来指定工作目录（或者称为当前目录），以后各层的当前目录就被改为指定的目录，如该目录不存在，

WORKDIR

会帮你建立目录。

格式：

WORKDIR <工作目录路径>

。

示例 1：

之前提到一些初学者常犯的错误是把

Dockerfile

等同于 Shell 脚本来书写，这种错误的理解还可能会导致出现下面这样的错误：

RUN cd /app
RUN echo "hello" > world.txt

如果将这个

Dockerfile

进行构建镜像运行后，会发现找不到

/app/world.txt

文件，或者其内容不是

hello

。原因其实很简单，在 Shell 中，连续两行是同一个进程执行环境，因此前一个命令修改的内存状态，会直接影响后一个命令；而在

Dockerfile

中，这两行

RUN

命令的执行环境根本不同，是两个完全不同的容器。这就是对

Dockerfile

构建分层存储的概念不了解所导致的错误。

之前说过每一个

RUN

都是启动一个容器、执行命令、然后提交存储层文件变更。第一层

RUN cd /app

的执行仅仅是当前进程的工作目录变更，一个内存上的变化而已，其结果不会造成任何文件变更。而到第二层的时候，启动的是一个全新的容器，跟第一层的容器更完全没关系，自然不可能继承前一层构建过程中的内存变化。

因此如果需要改变以后各层的工作目录的位置，那么应该使用

WORKDIR

指令。