一、離線環境安裝docker
本實驗安裝環境如下：
l Centos Linux release 7.5.1804
l docker-ce-18.06.1.ce-3.el7.x86_64
可用下載地址：https://mirrors.aliyun.com/docker-ce/linux/centos/7/x86_64/stable/Packages/
安裝步驟：
1. 掛載系統安裝鏡像，製作本地yum源
mount /dev/sr0 /mnt/
vim /etc/yum.repos.d/localiso.repo
[base]
name=CentOS-$releasever - Base
baseurl=file:///mnt
gpgcheck=0
2. 安裝docker
yum localinstall -y docker-ce-18.06.1.ce-3.el7.x86_64.rpm
3. 驗證docker安裝成功
l docker version ####檢查docker版本
docker info ###檢查docker系統信息
systemctl status docker ###檢查docker服務狀態
二、使用febootstrap製作操作系統的docker鏡像
Centos7的系統鏡像中沒有febootstrap安裝包，可以掛載centos6的系統鏡像，使用yum安裝febootstrap，使用如下命令可以製作操作系統的docker鏡像所需的文件(假如操作系統鏡像文件在本地文件系統上)：
febootstrap -i bash -i openssh-server -i openssh-clients centos75 centos75-installDir file:///mnt
###-i 要在鏡像中安裝的軟件，本例中安裝了bash，ssh-server
####centos75 鏡像的名稱
####centos75-installDir 生成的鏡像文件的存放目錄
####file:///mnt 操作系統鏡像的鏈接，如果是基於互聯網的鏡像源，可以指定爲類似http://iso.repo/iso格式
此命令執行成功後，會在指定的目錄centos75-installDir中生成類似於linux操作系統文件的目錄
執行以下命令，將生成的操作系統鏡像文件導入到docker中成爲image：
tar -c . | docker import - centos75
導入爲鏡像之後，執行docker images命令查看已有的鏡像信息
執行以下命令運行剛纔生成的鏡像，-t指定docker生成交互的僞終端，i指定和docker容器交互：
docker run -ti centos75:7.5 bash
三、Docker常用命令
l docker pull centos:latest ####拉取鏡像，默認從docker hup拉取
l docker images ###列出本地已經存在的image
l docker tag centos75:7.5 centos-tagtest:7.5 ##給鏡像centos75:7.5添加新的倉庫標籤，之後可以使用原來的標籤和新的標籤同時訪問鏡像，鏡像名稱只能小寫字母
l docker inspect centos75:7.5 ###查看鏡像的詳細信息，返回的結果爲json格式，可以使用-f獲取指定的項
l docker rmi centos75-tagtest:7.5 ###使用鏡像標籤刪除鏡像，當同一個鏡像(同一個鏡像id)有多個標籤時，如果不是最後一個標籤，通過標籤刪除鏡像，只是刪除了鏡像對應的鏡像標籤，不會影響鏡像文件。當鏡像只有一個標籤是=時，刪除最後一個標籤會刪除整個鏡像。
l docker rmi 03f8a5cba27d ##使用鏡像id刪除鏡像，此時會先嚐試刪除此鏡像指向的所有標籤，然後刪除該鏡像文件本身。如果鏡像有運行中的容器，默認不允許刪除。可以使用-f強制刪除，但是不建議使用此參數
l docker commit -p -m "add a new file:/testCreateImage" 9dc62934a4b1 new-test-image:1 ####基於一個運行中的容器生成新的鏡像
l docker save –o imgae.tar centos75:7.5 #####將鏡像保存爲本地文件
l docker load --input imgae.tar || docker load < image.tar ####通過本地文件導入鏡像到本地鏡像庫
l cat image.tar | docker import – image:latest ###從本地模板導入鏡像
l docker tag image:lastest image:7.5 ##爲鏡像更改標籤
l docker create –it centos:7.5 ###創建docker容器，create命令創建的容器處於停止狀態，可以使用docker start啓動，創建容器支持很多選項，具體可以查看help。
l docker run –it –d centos:7.5 bash ###等價於create然後start，使用run創建並啓動容器包含以下過程：
Ø 檢查本地是否存在指定的鏡像，如果不存在，從默認的公共鏡像源下載鏡像
Ø 利用鏡像創建一個容器，並啓動該容器
Ø 分配一個文件系統給容器，並在只讀的鏡像層外面掛載一個可讀寫層
Ø 從宿主主機中配置的網橋接口中分配一個虛擬接口到容器
Ø 從網橋的地址池中分配一個ip給容器
Ø 執行用戶指定的應用程序
Ø 執行完畢後容器被自動終止
-t選項讓docker分配到一個僞終端並綁定到容器的標準輸入，用戶可以通過此終端和容器交互
-i選項讓容器的標準輸入保持打開
-d選項讓容器以守護態運行。
docker容器中指定的應用終結時，容器也會自動終止，容器會立刻處於stopped狀態，可以使用start命令來重新啓動。
l docker stop [–t|--time=10] centos:7.5 ###終止一個容器。首先向容器發送sigterm信號，等待一段超時時間(10s)後再發送sigkill信號強制終止;docker kill直接發送sigkill信號
l 使用-d選項後，容器會進入後臺，用戶無法看到容器中的信息，也無法操作容器，此時，可通過以下方式進入容器進行操作：
Ø docker attach –detach-keys=CTRL-P –no-stdin CONTAINER ID
--detach-keys ##指定退出attach模式的快捷鍵，默認先ctrl+p然後ctrl+q
--no-stdin ###是否關閉標準輸入，默認保持打開
此方法，多個窗口同時連接到一個容器時，所有窗口同步顯示，一個窗口被阻塞，會導致其他窗口也被阻塞
Ø docker exec [-d|--detach] [--detach-keys=[]] [-i] [-t] [-u|--user=[USER]] [--privileged=true|false] CONTAINER ID COMMAND ARGS
l docker rm CONTAINER ID ##刪除容器
l docker export [-o|--output=FILE] CONTAINERID || docker export CONTAINERID > FILE ##導出容器到一個文件，無論容器是否運行都可以導出，實現容器遷移，通過docker load或docker import導入容器實現容器遷移
四、Docker數據管理
Docker容器中數據管理主要有2種方式：
l 數據卷Data Volume
l 數據卷容器Data volume Container
1. 數據卷Data Volume
Data volume是宿主機上的一個可供容器使用的特殊的目錄，它將宿州os上的系統目錄直接映射到容器中，掛載給容器系統使用，可以提供如下特性：
n 數據卷可以在容器之間共享和重用，容器間傳遞數據將變得高效方便
n 對數據卷內容的修改會立馬生效，無論是本地操作還是容器操作
n 對數據卷的修改不會影響鏡像，解耦了應用和數據
n 卷會一直存在，直到沒有容器使用，可以安全的卸載
創建包含數據卷的容器：
docker create -t -i -v /webdir centos75:7.5 bash
創建包含數據卷的容器之後，通過docker inspect查看容器詳細信息，可以看到掛載的數據卷對應的本地地址：
指定容器數據卷對應的本地位置：
docker create -t -i -v /docker:/webapp --name t1 -P centos75:7.5 bash
通過docker inspect查看掛載的數據卷得信息，將本地os目錄/docker掛載給了容器的/webapp目錄，權限爲RW：
使用如下命令可將本地目錄掛載爲只讀的數據卷：
docker create -t -i -v /docker:/webapp:ro --name t1 -P centos75:7.5 bash
一個容器可以將一個本地目錄掛載給容器的多個目錄，不同的容器也可以掛載同一個目錄，此情況下，無論是在容器中還是在本地，對目錄的更改都會立即體現到所有容器或本地文件系統
2. 數據卷容器Data Volume Container
數據卷容器是一個容器，是專門用來提供數據卷供其他容器掛載。在一個容器A中使用數據卷，在其他容器中可使用--volumes-from參數掛載容器A中的所有數據卷。
使用如下命令創建數據卷容器，掛載本地目錄/docker分別到容器的/webroot和/webapp目錄：
docker run -ti -d -v /docker/:/webroot -v /docker/:/webapp centos75:7.5 bash
創建一個新的容器，使用參數--volumes-from掛載數據卷容器中的數據卷：
docker run -i -t -d --volumes-from bd7 centos75:7.5 bash
可以看到，掛載了數據卷容器中的數據卷的容器，只是掛載了和數據卷容器中一樣的目錄，數據卷容器自身不需要一直處於運行狀態：
最新的數據卷(容器)管理docker提供了docker volume命令，通過docker create –mount選項，docker提供了更多的高級掛載選項：
docker數據卷掛載原則：
n 掛載一個空目錄到容器的非空目錄，容器非空目錄中的內容將被隱藏
五、端口映射與容器互聯
容器中運行服務，需要向外提供服務的場景下，需要將容器的ip和相關端口曝露在外讓外部地址訪問。docker提供了2種方式來滿足外部訪問容器應用的方式：
l 映射容器內端口到宿主主機的端口
l 容器互聯機制實現多個容器間通過容器名來互相訪問
1. 映射容器內端口到宿主主機的端口
容器啓動之後，系統會自動分配IP地址給容器。從宿主機的docker0的橋接網卡上可以訪問容器的IP地址。宿主機之外的系統無法訪問容器的ip和端口，只能通過訪問宿主機NAT之後的IP和端口。docker run或docker create的-P/p選項可以將容器曝露的端口映射爲宿主機上的端口，在宿主機之外的系統上可以通過訪問宿主機的IP和相關端口（NAT後）訪問容器提供的服務。
以下命令將docker容器的80和22端口分別映射到宿主機的80和2222端口，在容器中啓動httpd，訪問宿主機的80端口可以訪問容器提供的web服務，訪問宿主主機的2222端口可以訪問到容器的22端口：
docker run -d -p 2222:22 -p 80:80 -v /mnt:/mnt centos75-httpd-sshd /usr/sbin/sshd –D
以下格式可以映射指定IP地址而不是宿主機的所有IP地址：
-p 127.0.0.1:80:80
-p 127.0.0.1:123:123/udp
-p 127.0.0.1::80
以下命令可以查看容器映射的端口詳情，或者使用docker inspect也可以查看映射情況：
docker port 2c
2. 容器互聯機制實現多個容器間通過容器名來互相訪問
創建一個數據庫容器：
docker run –d --name db postgres
創建新的容器，將它連接到db容器：
docker run -d -P --name web --link db:db image python web.py
--link參數格式爲--link name:alias，name表示要連接的容器名稱，alias是這個連接的別名
六、Docker網絡管理
Docker容器網絡利用了Linux虛擬網絡技術，目前支持5中網絡模式(libnetwork的5種內置網絡驅動)：
l bridge驅動，默認驅動。此驅動爲Docker的默認設置驅動，使用這個驅動的時候，libnetwork將創建出來的Docker容器連接到Docker網橋上。作爲最常規的模式，bridge模式已經可以滿足Docker容器最基本的使用需求了。然而其與外界通信使用NAT，增加了通信的複雜性，在複雜場景下使用會有諸多限制。
l host驅動，libnetwork將不爲Docker容器創建網絡協議棧，即不會創建獨立的network namespace。Docker容器中的進程處於宿主機的網絡環境中，相當於Docker容器和宿主機共同用一個network namespace，使用宿主機的網卡、IP和端口等信息。但是，容器其他方面，如文件系統、進程列表等還是和宿主機隔離的。host模式很好地解決了容器與外界通信的地址轉換問題，可以直接使用宿主機的IP進行通信，不存在虛擬化網絡帶來的額外性能負擔。但是host驅動也降低了容器與容器之間、容器與宿主機之間網絡層面的隔離性，引起網絡資源的競爭與衝突。
l overlay驅動。此驅動採用IETE標準的VXLAN方式，並且是VXLAN中被普遍認爲最適合大規模的雲計算虛擬化環境的SDN controller模式。在使用過程中，需要一個額外的配置存儲服務，例如Consul、etcd和zookeeper。還需要在啓動Docker daemon的時候額外添加參數來指定所使用的配置存儲服務地址。
l remote驅動。這個驅動實際上並未做真正的網絡服務實現，而是調用了用戶自行實現的網絡驅動插件，使libnetwork實現了驅動的可插件化，更好地滿足了用戶的多種需求。用戶只需要根據libnetwork提供的協議標準，實現其所要求的各個接口並向Docker daemon進行註冊。
l null驅動。使用這種驅動的時候，Docker容器擁有自己的network namespace，但是並不爲Docker容器進行任何網絡配置。也就是說，這個Docker容器除了network namespace自帶的loopback網卡名，沒有其他任何網卡、IP、路由等信息，需要用戶爲Docker容器添加網卡、配置IP等。這種模式如果不進行特定的配置是無法正常使用的，但是優點也非常明顯，它給了用戶最大的自由度來自定義容器的網絡環境。
Ø 默認情況下，docker安裝成功之後，docker daemon會創建在3個網絡，分別是bridge,host和none，分別使用bridge,host和null驅動，這3種內置的默認網絡是無法使用docker network rm進行刪除的：
Ø 使用如下命令創建和刪除network，默認驅動爲bridge，可通過-d host指定驅動類型爲host，或通過-d指定其他網絡類型(host,overlay,null,remote)：
docker network create frontend
docker network rm frontend
創建bridge類型的network後，會在host上生產對應的bridge，bridge名稱爲br-networkID
Ø 使用如下命令運行一個容器，沒有指定連接哪個network，默認連接到名爲bridge的network上，會在host上生成veth的網卡，查看bridge信息，可以看到此veth接口連接在默認的docker bridge上面，如果容器未運行，主機上不會存在容器對應的網卡：
docker run -it -d 35b925abf710 bash
Ø 使用如下命令運行一個容器，指定容器的網卡連接到backend這個network上，可以看到容器的後端網卡連接到了新的bridge上
docker run -it -d --network backend 35b925abf710 bash
登陸到容器中查看容器的IP地址，可以看到連接到不同bridge的容器網卡，分配了不同網段的IP地址，彼此無法通信
Ø 通過以下命令可以爲容器添加網卡，並指定連接到特定的network上
docker network connect bridge 19226ae822cf
Ø 創建或運行容器時指定IP地址--ip
此場景只有在用戶自定義網絡的情況下支持
七、docker私有鏡像倉庫管理
centos7系統中可通過安裝docker-registry包構建私有鏡像倉庫，docker-registry安裝之後會生成/etc/docker-distribution/registry/config.yml配置文件，通過以下命令啓用私有鏡像倉庫服務：
registry serve /etc/docker-distribution/registry/config.yml >> /var/log/docker-registry.log 2>&1 &
服務啓動之後會默認監聽5000端口提供服務：
執行以下命令檢查registry服務是否正常：
curl http://9.38.91.200:5000/v2/_catalog
八、Dockerd相關參數
l dockerd默認配置文件：/etc/systemd/system/docker.service.d/docker.conf
l dockerd服務端默認監聽本地的unix:///var/run/docker.sock套接字，要指定監聽的TCP/IP協議棧上，可以使用dockerd的啓動選項: -H, --host=[unix:///var/run/docker.sock]: tcp://[host:port] to bind or unix://[/path/to/socket] to use.
l docker客戶端默認通過本地unix:///var/run/docker.sock套接字向服務端發送命令
l 新版本的docker daemon進程爲/usr/bin/dockerd，只負責提供對客戶端API的支持；容器生命週期管理單獨放到docker-containerd中進行管理，防止dockerd進程異常時對容器的影響。
沒有運行任何容器時，系統運行dockerd進程：
啓動容器之後，系統會啓一個新的docker-containerd-shim進程管理維護容器生命週期：
l docker daemon默認允許同一個bridge內的容器及主機互相通信，可以通過dockerd選項禁止容器間通信：--icc=true|false.
容器之間需要通信，可以通過link的方式進行通信
l 設置容器內MTU，默認爲0，在容器內爲1500：--mtu=0
l dockerd的啓動選項--dns=IPADDR指定使用指定的默認DNS服務器，此參數也可以在容器運行時指定。默認配置如下：
l dockerd的啓動選項--dns-search=DOMAIN指定容器的默認搜索域，也可以在容器創建或運行時指定
容器運行或創建時的選項：
-h OR --hostname=HOSTNAME ##配置容器主機名
九、docker-compose使用方法
docker官方推出的複雜系統編排工具，可以靈活的對各種容器資源實現定義和管理，快速創建和管理基於docker容器的應用集羣。
docker-compose通過一個單獨的docker-compose.yml模板文件來定義一組相互關聯的應用容器作爲一個項目，其中包含2個概念：
n 服務service：一個應用的容器，可以包含爲若干運行相同鏡像的容器實例
n 項目project：一組相互關聯的應用容器組成的一個完整業務單元。
十、常見問題
1. docker容器中的服務使用systemctl命令時報錯：Failed to get D-Bus connection: Operation not permitted
【問題原因】：容器不支持完整的service management system，管理服務的時候建議直接使用service daemo操作
2. 使用如下CMD通過dockerfile build httpd鏡像
CMD ["/usr/sbin/httpd",”-D”,” FOREGROUND”]