Docker基本概念及快速搭建（一）

Docker

首先 Docker 是一个在 2013年开源的应用程序并且是一个基于 go 语言编写是 一个开源的 PAAS 服务(Platform as a Service，平台即服务的缩写)，go 语言是 由 google 开发，docker 公司最早叫 dotCloud 后由于 Docker 开源后大受欢迎 就将公司改名为 Docker Inc，总部位于美国加州的旧金山，Docker 是基于 linux内核实现，Docker 最早采用 LXC 技术(LinuX Container 的简写，LXC 是 Linux 原 生支持的容器技术，可以提供轻量级的虚拟化，可以说 docker 就是基于 LXC 发展起来的(0.1.5 (2013-04-17)，提供 LXC 的高级封装，发展标准的配置方法)， 而虚拟化技术 KVM(Kernel-based Virtual Machine) 基于模块实现，Docker 后改 为自己研发并开源的 runc 技术运行容器。

1. docker架构

K8S：CRI（Container Runtime Interface）
Client： 客户端；操作docker服务器的客户端（命令行或者界面）
Docker_Host：Docker主机；安装Docker服务的主机
Docker_Daemon：后台进程；运行在Docker服务器的后台进程
Containers：容器；在Docker服务器中的容器（一个容器一般是一个应用实例，容器间互相隔离）
Images：镜像、映像、程序包；Image是只读模板，其中包含创建Docker容器的说明。容器是由Image运行而来，Image固定不变。
Registries：仓库；存储Docker Image的地方。官方远程仓库地址：https://hub.docker.com/search

Docker用Go编程语言编写，并利用Linux内核的多种功能来交付其功能。 
Docker使用一种称为名称空间的技术来提供容器的隔离工作区。 
运行容器时，Docker会为该容器创建一组名称空间。 这些名称空间提供了一层隔离。
容器的每个方面都在单独的名称空间中运行，并且对其的访问仅限于该名称空间。

docker	面向对象
镜像（image）	类
容器（container）	对象（实例）

1. Docker与KVM对比

作为一种新兴的虚拟化方式，Docker 跟传统的虚拟化方式相比具有众多的优势。

1. Docker 容器的启动可以在秒级实现，这相比传统的虚拟机方式要快得多。 其次，Docker 对系统资源的利用率很高，一台主机上可以同时运行数千个 Docker 容器。
2. 容器除了运行其中应用外，基本不消耗额外的系统资源，使得应用的性能很高，同时系统的开销尽量小。传统虚拟机方式运行 10 个不同的应用就要起 10 个虚拟机，而Docker 只需要启动 10 个隔离的应用即可。
3. 虚拟化技术依赖物理CPU和内存，是硬件级别的；而docker构建在操作系统上，利用操作系统的containerization技术，所以docker甚至可以在虚拟机上运行。
4. 虚拟化系统一般都是指操作系统镜像，比较复杂，称为“系统”；而docker开源而且轻量，称为“容器”，单个容器适合部署少量应用，比如部署一个redis、一个memcached。
5. 传统的虚拟化技术使用快照来保存状态；而docker在保存状态上不仅更为轻便和低成本，而且引入了类似源代码管理机制，将容器的快照历史版本一一记录，切换成本很低。
6. 传统的虚拟化技术在构建系统的时候较为复杂，需要大量的人力；而docker可以通过Dockfile来构建整个容器，重启和构建速度很快。更重要的是Dockfile可以手动编写，这样应用程序开发人员可以通过发布Dockfile来指导系统环境和依赖，这样对于持续交付十分有利。
7. 当然KVM对比于容器也有一个比较大的优势就是可以使用不同的操作系统或内核。所以，举例说，你可以使用微软Azure，同时运行Windows Server2012的实例和SUSE Linux企业级服务器的实例。至于Docker，所有容器都必须使用同样的操作系统和内核。

具体说来，Docker 在如下几个方面具有较大的优势。

1.1 更快速的交付和部署

对开发和运维（devop）人员来说，最希望的就是一次创建或配置，可以在任意地方正常运行。

开发者可以使用一个标准的镜像来构建一套开发容器，开发完成之后，运维人员可以直接使用这个容器来部署代码。 Docker 可以快速创建容器，快速迭代应用程序，并让整个过程全程可见，使团队中的其他成员更容易理解应用程序是如何创建和工作的。 Docker 容器很轻很快！容器的启动时间是秒级的，大量地节约开发、测试、部署的时间。

1.2 更高效的虚拟化

Docker 容器的运行不需要额外的 hypervisor 支持，它是内核级的虚拟化，因此可以实现更高的性能和效率。

1.3 更轻松的迁移和扩展

Docker 容器几乎可以在任意的平台上运行，包括物理机、虚拟机、公有云、私有云、个人电脑、服务器等。这种兼容性可以让用户把一个应用程序从一个平台直接迁移到另外一个。

1.4 更简单的管理

使用 Docker，只需要小小的修改，就可以替代以往大量的更新工作。所有的修改都以增量的方式被分发和更新，从而实现自动化并且高效的管理。

1.5 对比传统虚拟机（KVM）总结

特性	容器	虚拟机
启动	秒级	分钟级
硬盘使用	一般为 MB	一般为 GB
性能	接近原生	弱于
系统支持量	单机支持上千个容器	一般几十个

2. Docker资源隔离

• namespace 6项隔离 （资源隔离）

namespace	系统调用参数	隔离内容
UTS	CLONE_NEWUTS	主机和域名
IPC	CLONE_NEWIPC	信号量、消息队列和共享内存
PID	CLONE_NEWPID	进程编号
Network	CLONE_NEWNET	网络设备、网络栈、端口等
Mount	CLONE_NEWNS	挂载点(文件系统)
User	CLONE_NEWUSER	用户和用户组

• cgroups资源限制 （资源限制）
  cgroup提供的主要功能如下：
• 资源限制：限制任务使用的资源总额，并在超过这个 配额 时发出提示
• 优先级分配：分配CPU时间片数量及磁盘IO带宽大小、控制任务运行的优先级
• 资源统计：统计系统资源使用量，如CPU使用时长、内存用量等
• 任务控制：对任务执行挂起、恢复等操作

cgroup资源控制系统，每种子系统独立地控制一种资源。功能如下

子系统	功能
cpu	使用调度程序控制任务对CPU的使用。
cpuacct(CPU Accounting)	自动生成cgroup中任务对CPU资源使用情况的报告。
cpuset	为cgroup中的任务分配独立的CPU(多处理器系统时)和内存。
devices	开启或关闭cgroup中任务对设备的访问
freezer	挂起或恢复cgroup中的任务
memory	设定cgroup中任务对内存使用量的限定，并生成这些任务对内存资源使用情况的报告
perf_event(Linux CPU性能探测器)	使cgroup中的任务可以进行统一的性能测试
net_cls(Docker未使用)	通过等级识别符标记网络数据包，从而允许Linux流量监控程序(Traffic Controller)识别从具体cgroup中生成的数据包

3. Docker安装

以下以centos为例；
更多其他安装方式，详细参照文档： https://docs.docker.com/engine/install/centos/

1. 移除旧版本

yum remove docker*

2. 设置docker yum源

yum install -y yum-utils sudo yum-config-manager --add-repo http://mirrors.aliyun.com/docker- ce/linux/centos/docker-ce.repo 
#此处可以百度 docker yum aliyun 切换为ali的yum源

3. 安装最新docker engine

yum install docker-ce docker-ce-cli containerd.io
或者
yum install docker-ce*

4. 安装指定版本docker engine

1. 在线安装

# 找到所有可用docker版本列表 
yum list docker-ce --showduplicates | sort -r
# 安装指定版本，用上面的版本号替换<VERSION_STRING> 
yum install docker-ce-<VERSION_STRING>.x86_64 docker-ce-cli-<VERSION_STRING>.x86_64 containerd.io 
# 例如： 
# yum install docker-ce-3:19.03.9-3.el7.x86_64 docker-ce-cli-3:19.03.9- 3.el7.x86_64 containerd.io 

containerd.io-1.4.4（运行时） #注意加上 .x86_64 大版本号
或者

#yum install docker-ce-<VERSION_STRING>.*

2. 离线安装

离线安装地址
(https://download.docker.com/linux/centos/7/x86_64/stable/Packages/)

rpm -ivh xxx.rpm 
可以下载 tar 
解压启动即可

https://docs.docker.com/engine/install/binaries/#install-daemon-and-client-binaries-on-linux

5. 启动服务

systemctl start docker && systemctl enable docker

6. 镜像加速

mkdir -p /etc/docker 
tee /etc/docker/daemon.json <<-'EOF' 
{
	 "registry-mirrors": ["https://82m9ar63.mirror.aliyuncs.com"] 
}
EOF 
systemctl daemon-reload 
systemctl restart docker 
# 以后docker下载直接从阿里云拉取相关镜像
# /etc/docker/daemon.json 是Docker的核心配置文件。

7. 可视化界面-Portainer

1. 什么是Portainer

https://documentation.portainer.io/
Portainer社区版2.0拥有超过50万的普通用户，是功能强大的开源工具集，可让您轻松地在Docker， Swarm，Kubernetes和Azure ACI中构建和管理容器。 Portainer的工作原理是在易于使用的GUI后面隐藏使管理容器变得困难的复杂性。通过消除用户使用CLI，编写YAML或理解清单的需求，Portainer使部署应用程序和解决问题变得如此简单，任何人都可以做到。 Portainer开发团队在这里为您的Docker之旅提供帮助；

2. 安装

# 服务端部署 
docker run -d -p 8000:8000 -p 9000:9000 --name=portainer --restart=always -v
/var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data portainer/portainer-ce 
# 访问 9000 端口即可 


#agent端部署 
docker run -d -p 9001:9001 --name portainer_agent --restart=always -v
/var/run/docker.sock:/var/run/docker.sock -v
/var/lib/docker/volumes:/var/lib/docker/volumes portainer/agent

8. 脚本化实现docker指定版本一键安装

需要提前下好相关docker版本的包

#!/bin/bash
docker="docker-20.10.6.tgz"
docker_dir="/usr/local/src"
if ! [ -f "$docker_dir/$docker" ];then
  echo "$docker 文件不存在"
  exit
else
tar xvf $docker_dir/$docker         
fi
cp $docker_dir/docker/* /usr/bin/
cat >/lib/systemd/system/containerd.service<<EOF
[Unit]
Description=containerd container runtime
Documentation=https://containerd.io
After=network.target local-fs.target

[Service]
ExecStartPre=-/sbin/modprobe overlay
ExecStart=/usr/bin/containerd

Type=notify
Delegate=yes
KillMode=process
Restart=always
# Having non-zero Limit*s causes performance problems due to accounting overhead
# in the kernel. We recommend using cgroups to do container-local accounting.
LimitNPROC=infinity
LimitCORE=infinity
LimitNOFILE=1048576
# Comment TasksMax if your systemd version does not supports it.
# Only systemd 226 and above support this version.
TasksMax=infinity

[Install]
WantedBy=multi-user.target
EOF
systemctl enable --now containerd.service && cat >/lib/systemd/system/docker.service<<EOF
[Unit]
Description=Docker Application Container Engine
Documentation=https://docs.docker.com
BindsTo=containerd.service
After=network-online.target firewalld.service containerd.service
Wants=network-online.target
Requires=docker.socket

[Service]
Type=notify
# the default is not to use systemd for cgroups because the delegate issues still
# exists and systemd currently does not support the cgroup feature set required
# for containers run by docker
ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
ExecReload=/bin/kill -s HUP $MAINPID
TimeoutSec=0
RestartSec=2
Restart=always

# Note that StartLimit* options were moved from "Service" to "Unit" in systemd 229.
# Both the old, and new location are accepted by systemd 229 and up, so using the old location
# to make them work for either version of systemd.
StartLimitBurst=3

# Note that StartLimitInterval was renamed to StartLimitIntervalSec in systemd 230.
# Both the old, and new name are accepted by systemd 230 and up, so using the old name to make
# this option work for either version of systemd.
StartLimitInterval=60s

# Having non-zero Limit*s causes performance problems due to accounting overhead
# in the kernel. We recommend using cgroups to do container-local accounting.
LimitNOFILE=infinity
LimitNPROC=infinity
LimitCORE=infinity

# Comment TasksMax if your systemd version does not support it.
# Only systemd 226 and above support this option.
TasksMax=infinity

# set delegate yes so that systemd does not reset the cgroups of docker containers
Delegate=yes

# kill only the docker process, not all processes in the cgroup
KillMode=process

[Install]
WantedBy=multi-user.target
EOF
groupadd docker && cat >/lib/systemd/system/docker.socket<<EOF
[Unit]
Description=Docker Socket for the API
PartOf=docker.service

[Socket]
ListenStream=/var/run/docker.sock
SocketMode=0660
SocketUser=root
SocketGroup=docker

[Install]
WantedBy=sockets.target
EOF
systemctl restart docker.socket && systemctl restart docker.service || echo "false"