[[143422]]

在TES GLOBAL，我們已經愛上Docker并從Docker的0.8版本開始就在生產環(huán)境中使用它。我們的很多開發(fā)者都參加了在DockerCon歐洲上的培訓。下面是我們總結的一些tips，希望可以幫到已經有Docker基礎的同學。

1. CLI

1.1 美化docker ps的輸出

將Docker ps的輸出通過管道到less -S，這樣表格式的行就不會被折疊。

docker ps - a | less -S 

1.2 刷新日志

docker的日志不會即時刷新，除非你使用了-F選項：

docker logs <containerid> -F 

1.3 從docker inspect中獲取一個單一的值

docker inspect默認會輸出大量的JSON格式的數(shù)據(jù)。你可以用jq，來得到某一特定鍵的值?；蛘吣憧梢允褂脙戎玫膅o模板功能：

最后一個docker容器現(xiàn)在運轉正常嗎？ 
docker inspect --format '{{.State.Running}}' $(docker ps -lq) 

1.4 使用docker exec而不是sshd 或者 nsenter

如果你查看過Docker的發(fā)行版你會你會很清楚這個小技巧。exec在是在1.3版本中添加的新功能，可以讓你在容器里面運行一個新的進程。這樣你就不必運行sshd或者在主機上安裝nscenter。

2. Dockerfiles

2.1 docker build支持git倉庫

你不但可以從本地的Dockerfile中創(chuàng)建Docker鏡像，你還可以簡單的給docker build指定一個倉庫的URL，然后docker build會為你做完余下的事情。

2.2 沒有軟件包列表

默認的鏡像（如Ubuntu）是不包含軟件包列表的，目的是讓鏡像體積更小。因此需要在任何的基礎的Dockerfile中需要使用apt-get update。

2.3 留意軟件包的版本

注意軟件包的安裝，因為這些命令也是會緩存起來的。意味著如果你清空了緩存，你可能會得到不同的版本；或者如果緩存長期不更新，你可能不會得到最新的安全更新。

2.4 小體積的基礎鏡像

在Docker Hub上有一個官方的真正零體積的Docker鏡像，它的名字叫做scratch。所以如果你有這種需求，可以讓你的鏡像從零開始。而大多數(shù)的情況下，你最好還是從busybox開始，其大小只有2.5M。

2.5 FROM默認會獲取最新的

如果在FROM關鍵字后你沒有指定一個版本的tag，那么默認就會獲取最新的。請注意這點，并確保盡可能的指定一個特定的版本。

2.6 shell或者是exec模式

在Dockerfile中可以通過兩種方式來指定命令（如CMD RUN等）。如果你僅僅寫下命令那么Docker會將其包裹在sh -c命令中執(zhí)行。你也可以寫成一個字符串數(shù)組的形式。數(shù)組的寫法不需要依賴容器中的shell，因為其會使用go的exec。Docker的開發(fā)者建議使用后一種方式。

2.7 ADD vs COPY

ADD和COPY都能在創(chuàng)建容器的時候添加本地的文件。但是ADD有一些額外的魔力，如添加遠程的文件、unzip或者untar一些文件包等。使用ADD之前請了解這種差別。

2.8 WORKDIR和ENV

每個命令都會創(chuàng)建一個新的臨時鏡像并在新的shell中運行，所以如果你在Dockerfile中不能 運行 cd <directory>或者export <var>=<value>。使用WORKDIR在多個命令中設置工作目錄并使用ENV來設置環(huán)境變量。

2.9 CMD和ENTRYPOINT

CMD是當一個鏡像在運行時默認會執(zhí)行的命令。默認的ENTRYPOINT是/bin/sh -c，然后CMD會以參數(shù)的形式被傳入。我們可以在Dockerfile中覆蓋ENTRYPOINT以讓我們的容器像在接受命令行參數(shù)（默認的參數(shù)在 Dockerfile中的CMD指定）。

Dockerfile中 
ENTRYPOINT /bin/ls 
CMD ["-a"] 
我們覆蓋了命令行但是netrypoint仍然是ls 
docker run training/ls -l 

2.10 將ADD置于末尾

如果文件發(fā)生改變，ADD會讓緩存失效。不要在Dockerfile中添加經常變化的東西，以避免讓緩存失 效。將你的代碼放在最后，將庫和依賴放在最前。對于Node.js的應用來說，這意味著將package.json放在前面，運行nmp install然后添加你的代碼。

#p#

3. Docker的網(wǎng)絡

Docker有一個內置的IP池，用來指定容器的ip地址。它對外是不可見的，通過橋接的網(wǎng)口可以訪問到。

3.1 查找端口的映射

docker run接收顯式的端口映射作為參數(shù)，或者你可以通過-P選項來映射所有的端口。第二種做法的好處是能防止沖突。可以通過以下命令查找指定的端口：

docker port containerID portNumber 
或者 
docker inspect --format '{{.NetworkSettings.Ports}}' 
containerID 

3.2 容器的IP地址

每一個容器都擁有自己屬于私有網(wǎng)段的IP地址（默認是172.17.0.0/16）。IP可能會在重啟的時候發(fā)生變化，如果你想知道其地址，可以用：

docker inspect --format '{{.NetworkSettings.IPAddress}}' containerID 

Docker會嘗試檢查沖突，在需要的情況下會使用不同的網(wǎng)段的地址。

3.3 接管主機的網(wǎng)絡

docker run --net=host能重用網(wǎng)絡。但是請不要這么做。

4. 卷（volume）

一個繞過目錄或者單一文件寫時復制（copy-on-write）的文件系統(tǒng)，接近零負載（綁定掛載）。

4.1 卷的內容在docker commit的時候不會被保存

在鏡像建立后寫入你的卷沒有太多的意義。

4.2 卷默認是可讀可寫的

但是有一個:ro的標志。

4.3 卷和容器是分開存在的

卷只要有一個容器使用他們就會存在。可以在容器之間通過--volumes-from選項共享。

4.4 掛載你的docker.sock

你可以僅僅掛載docker.sock就能讓你的容器訪問到Docker的API。然后你可以在該容器中運行Docker的命令。這樣容器甚至還可以殺死自己，在一個容器里面運行一個Docker的守護者進程是沒有必要的。

5. 安全

5.1 以root身份運行Docker

Docker API能給root的訪問權限，因為你可以將/映射成一個卷，然后讀或者寫?；蛘吣憧梢酝ㄟ^--net host接管宿主機的網(wǎng)絡。不要暴露Docker API如果你需要請使用TLS。

5.2 Dockerfile中的USER

默認下Docker可以以root的身份運行任何命令，但是你可以使用USER。Docker沒有用戶的命名空間，因此容器將用戶看作是宿主機上的用戶。但是僅僅是UID因而你需要在容器里面添加該用戶。

5.3 使用TLS操作Docker API

Docker 1.3版本添加了對TLS的支持。他們使用手動的驗證機制：客戶端和服務端都有一個Key。把Key看做是root用戶的密碼。從1.3版本開始，Boot2docker默認使用TLS并且會為你生成key。

另外生成Key需要OpenSSL 1.0.1以上版本的支持，然后Docker daemon進程需要加上--tls-verify選項運行，Docker會使用安全的端口（2376）。