Docker每天学一点03 - 镜像

镜像是 Docker 容器的基石,容器是镜像的运行实例,有了镜像才能启动容器。

如果我们想要创建自己的镜像,肯定要先了解镜像的内部结构。

hello-world 是 Docker 官方提供的一个镜像,通常用来验证 Docker 是否安装成功。 我先从这个最小镜像开始说下,之前已经把它下载下来了。

hello-world 的 Dockerfile 内容如下:

1
2
3
FROM scratch    # 此镜像是从白手起家,从 0 开始构建。
COPY hello / # 将文件“hello”复制到镜像的根目录。
CMD ["/hello"] # 容器启动时,执行 /hello

镜像 hello-world 中就只有一个可执行文件 “hello”,其功能就是打印出 “Hello from Docker ……” 等信息。

/hello 就是文件系统的全部内容,连最基本的 /bin,/usr, /lib, /dev 都没有。

hello-world 虽然是一个完整的镜像,但它并没有什么实际用途。通常来说,我们希望镜像能提供一个基本的操作系统环境, 用户可以根据需要安装和配置软件。这样的镜像我们称作 base 镜像。

base镜像

实际上,base镜像就是这样的:

  1. 不依赖其他镜像,从 scratch 构建。
  2. 其他镜像可以之为基础进行扩展。

所以,能称作 base 镜像的通常都是各种 Linux 发行版的 Docker 镜像,比如 Ubuntu, Debian, CentOS 等。

我们下载一个名字叫centos的base镜像:

1
docker pull centos

查看镜像信息:

1
docker images centos

镜像大小不到 200MB。

等一下!一个 CentOS 才 200MB ?平时我们安装一个 CentOS 至少都有几个 GB,怎么可能才 200MB !

Linux 操作系统由内核空间和用户空间组成。

内核空间是 kernel,Linux 刚启动时会加载 bootfs 文件系统,之后 bootfs 会被卸载掉。

用户空间的文件系统是 rootfs,包含我们熟悉的 /dev, /proc, /bin 等目录。

对于 base 镜像来说,底层直接用 Host 的 kernel,自己只需要提供 rootfs 就行了。

而对于一个精简的 OS,rootfs 可以很小,只需要包括最基本的命令、工具和程序库就可以了。 相比其他 Linux 发行版,CentOS 的 rootfs 已经算臃肿的了,alpine 还不到 10MB。

镜像的分层结构

Docker 支持通过扩展现有镜像,创建新的镜像。

实际上,Docker Hub 中 99% 的镜像都是通过在 base 镜像中安装和配置需要的软件构建出来的。 比如我们现在构建一个新的镜像,Dockerfile 如下:

  1. 新镜像不再是从 scratch 开始,而是直接在 Debian base 镜像上构建。
  2. 安装 emacs 编辑器。
  3. 安装 apache2。
  4. 容器启动时运行 bash。

构建过程如下图所示:

可以看到,新镜像是从 base 镜像一层一层叠加生成的。每安装一个软件,就在现有镜像的基础上增加一层。

可写的容器层

当容器启动时,一个新的可写层被加载到镜像的顶部。 这一层通常被称作“容器层”,“容器层”之下的都叫“镜像层”。

所有对容器的改动 - 无论添加、删除、还是修改文件都只会发生在容器层中。 只有容器层是可写的,容器层下面的所有镜像层都是只读的。

Dockerfile构建镜像

Dockerfile 是一个文本文件,记录了镜像构建的所有步骤。

我们就在上面下载的centos这个基础镜像上面构建一个安装vim软件的新的镜像。

先到/root目录下面,新增一个Dockerfile文件,内容如下:

1
2
FROM centos
RUN yum update -y && yum install -y vim

然后执行构建命令:

1
docker build -t centos-with-vim .

注意到最后一个”.”,表示构建的context为当前目录。我只截取最后的输出:

安装成功后,将容器保存为镜像,其 ID 为 23c68986bc8e。

通过 docker images 查看镜像信息:

镜像 ID 为 23c68986bc8e,与构建时的输出一致。

查看镜像分层结构

centos-with-vim这个镜像是在基础镜像centos的顶部添加了一层新的镜像而得到。 这一点我们可以通过 docker history 命令验证:

可以看到与 centos 镜像相比,确实只是多了顶部的一层23c68986bc8e

镜像的缓存特性

Docker 会缓存已有镜像的镜像层,构建新镜像时,如果某镜像层已经存在,就直接使用,无需重新创建。

Dockerfile调试

通过 Dockerfile 构建镜像的过程:

  1. 从 base 镜像运行一个容器。
  2. 执行一条指令,对容器做修改。
  3. 执行类似 docker commit 的操作,生成一个新的镜像层。
  4. Docker 再基于刚刚提交的镜像运行一个新容器。
  5. 重复 2-4 步,直到 Dockerfile 中的所有指令执行完毕。

从这个过程可以看出,如果 Dockerfile 由于某种原因执行到某个指令失败了, 我们也将能够得到前一个指令成功执行构建出的镜像,这对调试 Dockerfile 非常有帮助。 我们可以运行最新的这个镜像定位指令失败的原因。

比如,运行docker build总共3步,前面两步都成功了,第3步失败。第2步构建的docker id 为22d31cc52b3e。

Dockerfile 在执行第三步 RUN 指令时失败。我们可以利用第二步创建的镜像 22d31cc52b3e 进行调试, 方式是通过 docker run -it 启动镜像的一个容器。

1
docker run -it 22d31cc52b3e

然后就不用重复之前的正确构建步骤,直接找到问题所在了。