docker blobs docker blobs 大小

转载

blueice 2023-09-25 13:31:40

文章标签 docker blobs 运维操作系统嵌入式 Docker 文章分类 Docker 云计算

base 镜像有两层含义：

不依赖其他镜像,从FROM构建

其他镜像可以之为基础进行扩展

hello-world 是Docker官方提供的一个镜像,通常用来验证Docker是否安装成功,不到2KB

在docker中centos镜像不到200MB，而官网镜像好几个G，因为

Linux 操作系统由内核空间和用户空间组成如下图

rootfs
内核空间是kernel,Linux刚启动时会加载bootfs文件系统,之后bootfs会被卸载掉;用户空间的文件系统是rootfs,包含我们熟悉的/dev, /proc, /bin等目录,对于base镜像来说,底层直接用Host的kernel,自己只需要提供rootfs就行了;而对于一个精简的OS,rootfs可以很小,只需要包括最基本的命令、工具和程序库就可以了;相比其他 Linux 发行版,CentOS的rootfs已经算臃肿的了,alpine还不到10MB;平时安装的CentOS除了rootfs还会选装很多软件、服务、图形桌面等,需要好几个GB就不足为奇了

base镜像提供的是最小安装的Linux发行版(内容如下)
FROM cbb
ADD centos7-docker.tar.bz2 /
CMD ["/bin/bash"]
第二行ADD指令添加到镜像的tar包就是CentOS 7的rootfs;在制作镜像时,这个tar包会自动解压到/目录下,生成/dev、/proc、/bin等目录

不同Linux发行版的区别主要就是rootfs;比如Ubuntu 14.04使用upstart管理服务,apt管理软件包;而CentOS 7使用systemd和yum;这些都是用户空间上的区别,Linux kernel差别不大,所以Docker可以同时支持多种Linux镜像,模拟出多种操作系统环境
Debian和BusyBox(一种嵌入式 Linux)上层提供各自的rootfs,底层共用Docker Host的kernel

base镜像只是在用户空间与发行版一致,kernel版本与发行版是不同的
所有容器都共用host的kernel,在容器中没办法对kernel升级、修改;如果容器对kernel版本有要求(比如应用只能在某个kernel版本下运行)则不建议用容器,这种场景虚拟机可能更合适

某镜像构建过程

    新镜像是从base镜像一层一层叠加生成的;每安装一个软件,就在现有镜像的基础上增加一层,最大的一个好处就是共享资源;有多个镜像都从相同的base镜像构建而来,那么DockerHost只需在磁盘上保存一份base镜像;同时内存中也只需加载一份base镜像,就可以为所有容器服务了;而且镜像的每一层都可以被共享,当容器启动时,一个新的可写层被加载到镜像的顶部;这一层通常被称作"容器层","容器层"之下的都叫"镜像层";所有对容器的改动,无论添加、删除、还是修改文件都只会发生在容器层中；只有容器层是可写的,容器层下面的所有镜像层都是只读的;镜像层数量可能会很多,所有镜像层会联合在一起组成一个统一的文件系统;如果不同层中有一个相同路径的文件,在容器层中,用户看到的就是一个叠加之后的文件系统

    1 添加文件
    2 在容器中创建文件时,新文件被添加到容器层中
    3 读取文件在容器中读取某个文件时,Docker会从上往下依次在各镜像层中查找此文件;一旦找到,立即将其复制到容器层,然后打开并读入内存
    4 修改文件在容器中修改已存在的文件时,Docker会从上往下依次在各镜像层中查找此文件;一旦找到,立即将其复制到容器层,然后修改
    5 删除文件在容器中删除文件时,Docker也是从上往下依次在镜像层中查找此文件;找到后,会在容器层中记录下此删除操作

    只有当需要修改时才复制一份数据,这种特性被称作Copy-on-Write;可见容器层保存的是镜像变化的部分,不会对镜像本身进行任何修改;容器层记录对镜像的修改,所有镜像层都是只读的,不会被容器修改,所以镜像可以被多个容器共享

Docker 提供了两种构建镜像的方法
   docker commit 命令
   Dockerfile 构建文件

docker commit命令是创建新镜像最直观的方法,其过程包含三个步骤：
    1 运行容器
    2 修改容器
    3 将容器保存为新的镜像
然而Docker并不建议用户通过这种方式构建镜像,因为：
    这是一种手工创建镜像的方式,容易出错,效率低且可重复性弱;比如要在debian base镜像中也加入vi,还得重复前面的所有步骤
    使用者并不知道镜像是如何创建出来的,里面是否有恶意程序;也就是说无法对镜像进行审计,存在安全隐患

Dockerfile创建镜像
docker层不要超过127层,超过报错,层越多查询越慢
第一行必须指定基础镜像(如果在同一个Dockerfile中创建多个镜像,可以指定多个FROM)
FROM 镜像
维护者信息
MAINTAINER 信息
镜像的操作指令(可以为多条,但尽量用&&来执行多条命令)
RUN 命令
启动容器时执行的命令(每个dockerfile只能有一条CMD命令,如果指定多条,只执行最后一条,如果启动容器时用户指定了运行命令,则覆盖CMD指定的命令)
CMD 指令
指定容器暴露的端口(可以指定多个以空格隔开)
EXPOSE 端口
指定一个环境变量,会被后续RUN指令使用
ENV 环境变量
复制本地指定的文件或目录到容器中,tar文件自动解压
ADD 源目标
复制本地指定文件到容器中,与ADD功能一样,但不会自动解压文件
COPY 源目标
容器启动后执行的命令(每个dockerfile中只能有一个,指定多个买最后一个生效)
ENTRYPOINT 命令
创建一个从本地或其他容器的挂载点(用来存放数据)
VOLUME 挂载点
指定运行容器的用户名或UID(后续的RUN也会使用指定的用户)
USER 用户
为后续的RUN、CMD、ENTRYPOINT指令配置工作目录(可以多个)
WORKDIR 路径
配置当所创建的镜像为其他新镜像的基础镜像是所执行的操作命令
ONBUILD ADD\RUN\……
Dockerfile编写完成后可以通过docker bulid命令来创建镜像

例如
FROM centos
MAINTAINER CBB
RUN yum -y install httpd
ADD start.sh /usr/local/bin/start.sh
ADD index.html /var/www/html/index.html
echo "/usr/sbin/httpd -DFOREGROUND" > start.sh (/usr/sbin/httpd -DFOREGROUND 相当于执行了 systemctl start httpd)
chmod a+x start.sh
echo "docker image build test" > index.html
docker build -t 镜像名:TAG .