Docker系列之镜像基础操作（二）

1 获取镜像

之前提到过，​​Docker Hub​​ 上有大量的高质量的镜像可以用，这里我们就说一下怎么获取这些镜像。

从 Docker 镜像仓库获取镜像的命令是 ​​docker pull​​。其命令格式为：

docker pull [选项] [Docker Registry 地址[:端口号]/]仓库名[:标签]复制代码

具体的选项可以通过 ​​docker pull --help​​ 命令看到，这里我们说一下镜像名称的格式。

Docker 镜像仓库地址：地址的格式一般是​​<域名/IP>[:端口号]​​。默认地址是 Docker Hub。仓库名：如之前所说，这里的仓库名是两段式名称，即​​<用户名>/<软件名>​​​。对于 Docker Hub，如果不给出用户名，则默认为​​library​​，也就是官方镜像。

比如：

$ docker pull ubuntu:18.0418.04: Pulling from library/ubuntubf5d46315322: Pull complete9f13e0ac480c: Pull completee8988b5b3097: Pull complete40af181810e7: Pull completee6f7c7e5c03e: Pull completeDigest: sha256:147913621d9cdea08853f6ba9116c2e27a3ceffecf3b492983ae97c3d643fbbeStatus: Downloaded newer image for ubuntu:18.04复制代码

上面的命令中没有给出 Docker 镜像仓库地址，因此将会从 Docker Hub 获取镜像。而镜像名称是 ​​ubuntu:18.04​​​，因此将会获取官方镜像 ​​library/ubuntu​​​ 仓库中标签为 ​​18.04​​ 的镜像。

从下载过程中可以看到我们之前提及的分层存储的概念，镜像是由多层存储所构成。下载也是一层层的去下载，并非单一文件。下载过程中给出了每一层的 ID 的前 12 位。并且下载结束后，给出该镜像完整的 ​​sha256​​ 的摘要，以确保下载一致性。

在使用上面命令的时候，你可能会发现，你所看到的层 ID 以及 ​​sha256​​ 的摘要和这里的不一样。这是因为官方镜像是一直在维护的，有任何新的 bug，或者版本更新，都会进行修复再以原来的标签发布，这样可以确保任何使用这个标签的用户可以获得更安全、更稳定的镜像。

如果从 Docker Hub 下载镜像非常缓慢，可以参照 镜像加速器 一节配置加速器。

2 运行容器

有了镜像后，我们就能够以这个镜像为基础启动并运行一个容器。以上面的 ​​ubuntu:18.04​​​ 为例，如果我们打算启动里面的 ​​bash​​ 并且进行交互式操作的话，可以执行下面的命令。

$ docker run -it --rm \ ubuntu:18.04 \ bashroot@e7009c6ce357:/# cat /etc/os-releaseNAME="Ubuntu"VERSION="18.04.1 LTS (Bionic Beaver)"ID=ubuntuID_LIKE=debianPRETTY_NAME="Ubuntu 18.04.1 LTS"VERSION_ID="18.04"HOME_URL="run​​ 就是运行容器的命令，具体格式我们会在容器一节进行详细讲解，我们这里简要的说明一下上面用到的参数。

​​-it​​​：这是两个参数，一个是​​-i​​​：交互式操作，一个是​​-t​​​ 终端。我们这里打算进入​​bash​​ 执行一些命令并查看返回结果，因此我们需要交互式终端。​​--rm​​​：这个参数是说容器退出后随之将其删除。默认情况下，为了排障需求，退出的容器并不会立即删除，除非手动​​docker rm​​​。我们这里只是随便执行个命令，看看结果，不需要排障和保留结果，因此使用​​--rm​​ 可以避免浪费空间。​​ubuntu:18.04​​​：这是指用​​ubuntu:18.04​​ 镜像为基础来启动容器。​​bash​​：放在镜像名后的是命令，这里我们希望有个交互式 Shell，因此用的是​​bash​​。

进入容器后，我们可以在 Shell 下操作，执行任何所需的命令。这里，我们执行了 ​​cat /etc/os-release​​​，这是 Linux 常用的查看当前系统版本的命令，从返回的结果可以看到容器内是 ​​Ubuntu 18.04.1 LTS​​ 系统。

最后我们通过 ​​exit​​ 退出了这个容器。

3 列出镜像

要想列出已经下载下来的镜像，可以使用 ​​docker images​​ 命令。

$ docker imagesREPOSITORY TAG IMAGE ID CREATED SIZEnode latest 7354979df4ec 2 months ago 939MBredis 4.0 8280a2c45ce5 4 months ago 89.2MBcentos 7 5e35e350aded 4 months ago 203MBalpine latest 965ea09ff2eb 5 months ago 5.55MBcentos latest 0f3e07c0138f 5 months ago 220MBredis 3.2.12 87856cc39862 17 months ago 76MB 00285df0df87 5 days ago 342 MB复制代码

列表包含了 ​​仓库名​​​、​​标签​​​、​​镜像 ID​​​、​​创建时间​​​ 以及 ​​所占用的空间​​。

3.1 镜像体积

如果仔细观察，会注意到，这里标识的所占用空间和在 Docker Hub 上看到的镜像大小不同。比如，​​ubuntu:18.04​​​ 镜像大小，在这里是 ​​127 MB​​​，但是在 ​​Docker Hub​​​ 显示的却是 ​​50 MB​​​。这是因为 Docker Hub 中显示的体积是压缩后的体积。在镜像下载和上传过程中镜像是保持着压缩状态的，因此 Docker Hub 所显示的大小是网络传输中更关心的流量大小。而 ​​docker image ls​​ 显示的是镜像下载到本地后，展开的大小，准确说，是展开后的各层所占空间的总和，因为镜像到本地后，查看空间的时候，更关心的是本地磁盘空间占用的大小。

另外一个需要注意的问题是，​​docker images​​ 列表中的镜像体积总和并非是所有镜像实际硬盘消耗。由于 Docker 镜像是多层存储结构，并且可以继承、复用，因此不同镜像可能会因为使用相同的基础镜像，从而拥有共同的层。由于 Docker 使用 Union FS，相同的层只需要保存一份即可，因此实际镜像硬盘占用空间很可能要比这个列表镜像大小的总和要小的多。

你可以通过以下命令来便捷的查看镜像、容器、数据卷所占用的空间。

$ docker system dfTYPE TOTAL ACTIVE SIZE RECLAIMABLEImages 6 2 1.532GB 1.236GB (80%)Containers 4 2 1.116GB 673.6MB (60%)Local Volumes 2 1 10.27MB 93B (0%)Build Cache 0 0 0B 0B复制代码

3.2 虚悬镜像

上面的镜像列表中，还可以看到一个特殊的镜像，这个镜像既没有仓库名，也没有标签，均为 ​​​​。：

00285df0df87 5 days ago 342 MB复制代码

这个镜像原本是有镜像名和标签的，原来为 ​​mongo:3.2​​​，随着官方镜像维护，发布了新版本后，重新 ​​docker pull mongo:3.2​​​ 时，​​mongo:3.2​​​ 这个镜像名被转移到了新下载的镜像身上，而旧的镜像上的这个名称则被取消，从而成为了 ​​​​​。除了 ​​docker pull​​​ 可能导致这种情况，​​docker build​​​ 也同样可以导致这种现象。由于新旧镜像同名，旧镜像名称被取消，从而出现仓库名、标签均为 ​​​​ 的镜像。这类无标签镜像也被称为 虚悬镜像(dangling image) ，可以用下面的命令专门显示这类镜像：

$ docker image ls -f dangling=trueREPOSITORY TAG IMAGE ID CREATED SIZE 00285df0df87 5 days ago 342 MB复制代码

一般来说，虚悬镜像已经失去了存在的价值，是可以随意删除的，可以用下面的命令删除。

$ docker image prune复制代码

3.3 中间层镜像

为了加速镜像构建、重复利用资源，Docker 会利用 中间层镜像。所以在使用一段时间后，可能会看到一些依赖的中间层镜像。默认的 ​​docker image ls​​​ 列表中只会显示顶层镜像，如果希望显示包括中间层镜像在内的所有镜像的话，需要加 ​​-a​​ 参数。

$ docker image ls -a复制代码

这样会看到很多无标签的镜像，与之前的虚悬镜像不同，这些无标签的镜像很多都是中间层镜像，是其它镜像所依赖的镜像。这些无标签镜像不应该删除，否则会导致上层镜像因为依赖丢失而出错。实际上，这些镜像也没必要删除，因为之前说过，相同的层只会存一遍，而这些镜像是别的镜像的依赖，因此并不会因为它们被列出来而多存了一份，无论如何你也会需要它们。只要删除那些依赖它们的镜像后，这些依赖的中间层镜像也会被连带删除。

3.4 列出部分镜像

不加任何参数的情况下，​​docker images​​​ 会列出所有顶层镜像，但是有时候我们只希望列出部分镜像。​​docker images​​ 有好几个参数可以帮助做到这个事情。

根据仓库名列出镜像

$ docker images centosREPOSITORY TAG IMAGE ID CREATED SIZEcentos 7 5e35e350aded 4 months ago 203MBcentos latest 0f3e07c0138f 5 months ago 220MB复制代码

列出特定的某个镜像，也就是说指定仓库名和标签

docker images centos:7REPOSITORY TAG IMAGE ID CREATED SIZEcentos 7 5e35e350aded 4 months ago 203MB复制代码

3.5 以特定格式显示

默认情况下，​​docker images​​​ 会输出一个完整的表格，但是我们并非所有时候都会需要这些内容。比如，刚才删除虚悬镜像的时候，我们需要利用 ​​docker images​​​ 把所有的虚悬镜像的 ID 列出来，然后才可以交给 ​​docker image rm​​​ 命令作为参数来删除指定的这些镜像，这个时候就用到了 ​​-q​​ 参数。

$ docker images -q7354979df4ec8280a2c45ce55e35e350aded965ea09ff2eb0f3e07c0138f87856cc39862复制代码

​​--filter​​​ 配合 ​​-q​​​ 产生出指定范围的 ID 列表，然后送给另一个 ​​docker​​ 命令作为参数，从而针对这组实体成批的进行某种操作的做法在 Docker 命令行使用过程中非常常见，不仅仅是镜像，将来我们会在各个命令中看到这类搭配以完成很强大的功能。因此每次在文档看到过滤器后，可以多注意一下它们的用法。

另外一些时候，我们可能只是对表格的结构不满意，希望自己组织列；或者不希望有标题，这样方便其它程序解析结果等，这就用到了 ​​Go 的模板语法​​。

比如，下面的命令会直接列出镜像结果，并且只包含镜像ID和仓库名：

$ docker image ls --format "{{.ID}}: {{.Repository}}"7354979df4ec: node8280a2c45ce5: redis5e35e350aded: centos965ea09ff2eb: alpine0f3e07c0138f: centos87856cc39862: redis复制代码

或者打算以表格等距显示，并且有标题行，和默认一样，不过自己定义列：

$ docker image ls --format "table {{.ID}}\t{{.Repository}}\t{{.Tag}}"IMAGE ID REPOSITORY TAG7354979df4ec node latest8280a2c45ce5 redis 4.05e35e350aded centos 7965ea09ff2eb alpine latest0f3e07c0138f centos latest87856cc39862 redis 3.2.12复制代码

4 删除本地镜像

如果要删除本地的镜像，可以使用 ​​docker image rm​​ 命令，其格式为：

$ docker image rm [选项] <镜像1> [<镜像2> ...]复制代码

4.1 用 ID、镜像名、摘要删除镜像

其中，​​<镜像>​​​ 可以是 ​​镜像短 ID​​​、​​镜像长 ID​​​、​​镜像名​​​ 或者 ​​镜像摘要​​。

比如我们有这么一些镜像：

$ docker imagesREPOSITORY TAG IMAGE ID CREATED SIZEnode latest 7354979df4ec 2 months ago 939MBredis 4.0 8280a2c45ce5 4 months ago 89.2MBcentos 7 5e35e350aded 4 months ago 203MBalpine latest 965ea09ff2eb 5 months ago 5.55MBcentos latest 0f3e07c0138f 5 months ago 220MBredis 3.2.12 87856cc39862 17 months ago 76MB复制代码

我们可以用镜像的完整 ID，也称为 ​​长 ID​​​，来删除镜像。使用脚本的时候可能会用长 ID，但是人工输入就太累了，所以更多的时候是用 ​​短 ID​​​ 来删除镜像。​​docker image ls​​ 默认列出的就已经是短 ID 了，一般取前3个字符以上，只要足够区分于别的镜像就可以了。

比如这里，如果我们要删除 ​​redis:alpine​​ 镜像，可以执行：

$ docker image rm alpineUntagged: alpine:latestUntagged: alpine@sha256:c19173c5ada610a5989151111163d28a67368362762534d8a8121ce95cf2bd5aDeleted: sha256:965ea09ff2ebd2b9eeec88cd822ce156f6674c7e99be082c7efac3c62f3ff652Deleted: sha256:77cae8ab23bf486355d1b3191259705374f4a11d483b24964d2f729dd8c076a0复制代码

我们也可以用​​镜像名​​​，也就是 ​​<仓库名>:<标签>​​，来删除镜像。

$ docker image rm centosUntagged: centos:latestUntagged: centos@sha256:b2f9d1c0ff5f87a4743104d099a3d561002ac500db1b9bfa02a783a46e0d366cDeleted: sha256:0584b3d2cf6d235ee310cf14b54667d889887b838d3f3d3033acd70fc3c48b8aDeleted: sha256:97ca462ad9eeae25941546209454496e1d66749d53dfa2ee32bf1faabd239d38复制代码

当然，更精确的是使用 ​​镜像摘要​​ 删除镜像。

$ docker image ls --digestsREPOSITORY TAG DIGEST IMAGE ID CREATED SIZEnode slim sha256:b4f0e0bdeb578043c1ea6862f0d40cc4afe32a4a582f3be235a3b164422be228 6e0c4c8e3913 3 weeks ago 214 MB$ docker image rm node@sha256:b4f0e0bdeb578043c1ea6862f0d40cc4afe32a4a582f3be235a3b164422be228Untagged: node@sha256:b4f0e0bdeb578043c1ea6862f0d40cc4afe32a4a582f3be235a3b164422be228复制代码

4.2 Untagged 和 Deleted

如果观察上面这几个命令的运行输出信息的话，你会注意到删除行为分为两类，一类是 ​​Untagged​​​，另一类是 ​​Deleted​​。我们之前介绍过，镜像的唯一标识是其 ID 和摘要，而一个镜像可以有多个标签。

因此当我们使用上面命令删除镜像的时候，实际上是在要求删除某个标签的镜像。所以首先需要做的是将满足我们要求的所有镜像标签都取消，这就是我们看到的 ​​Untagged​​​ 的信息。因为一个镜像可以对应多个标签，因此当我们删除了所指定的标签后，可能还有别的标签指向了这个镜像，如果是这种情况，那么 ​​Delete​​​ 行为就不会发生。所以并非所有的 ​​docker image rm​​ 都会产生删除镜像的行为，有可能仅仅是取消了某个标签而已。

当该镜像所有的标签都被取消了，该镜像很可能会失去了存在的意义，因此会触发删除行为。镜像是多层存储结构，因此在删除的时候也是从上层向基础层方向依次进行判断删除。镜像的多层结构让镜像复用变得非常容易，因此很有可能某个其它镜像正依赖于当前镜像的某一层。这种情况，依旧不会触发删除该层的行为。直到没有任何层依赖当前层时，才会真实的删除当前层。这就是为什么，有时候会奇怪，为什么明明没有别的标签指向这个镜像，但是它还是存在的原因，也是为什么有时候会发现所删除的层数和自己 ​​docker pull​​ 看到的层数不一样的原因。

除了镜像依赖以外，还需要注意的是容器对镜像的依赖。如果有用这个镜像启动的容器存在（即使容器没有运行），那么同样不可以删除这个镜像。之前讲过，容器是以镜像为基础，再加一层容器存储层，组成这样的多层存储结构去运行的。因此该镜像如果被这个容器所依赖的，那么删除必然会导致故障。如果这些容器是不需要的，应该先将它们删除，然后再来删除镜像。

4.3 用 docker image ls 命令来配合

像其它可以承接多个实体的命令一样，可以使用 ​​docker image ls -q​​​ 来配合使用 ​​docker image rm​​，这样可以成批的删除希望删除的镜像。我们在“镜像列表”章节介绍过很多过滤镜像列表的方式都可以拿过来使用。

比如，我们需要删除所有仓库名为 ​​redis​​ 的镜像：

$ docker image rm $(docker image ls -q redis)复制代码

或者删除所有在 ​​mongo:3.2​​ 之前的镜像：

$ docker image rm $(docker image ls -q -f before=mongo:3.2)复制代码

充分利用你的想象力和 Linux 命令行的强大，你可以完成很多非常赞的功能。

5 修改镜像

镜像是容器的基础，每次执行 ​​docker run​​ 的时候都会指定哪个镜像作为容器运行的基础。在之前的例子中，我们所使用的都是来自于 Docker Hub 的镜像。直接使用这些镜像是可以满足一定的需求，而当这些镜像无法直接满足需求时，我们就需要定制这些镜像。接下来的几节就将讲解如何定制镜像。

回顾一下之前我们学到的知识，镜像是多层存储，每一层是在前一层的基础上进行的修改；而容器同样也是多层存储，是在以镜像为基础层，在其基础上加一层作为容器运行时的存储层。

现在让我们以定制一个 Web 服务器为例子，来讲解镜像是如何构建的。

$ docker run --name webserver -d -p 80:80 nginx复制代码

这条命令会用 ​​nginx​​​ 镜像启动一个容器，命名为 ​​webserver​​​，并且映射了 80 端口，这样我们可以用浏览器去访问这个 ​​nginx​​ 服务器。

如果是在 Linux 本机运行的 Docker，或者如果使用的是 Docker Desktop for Mac/Windows，那么可以直接访问：​​Docker Toolbox，或者是在虚拟机、云服务器上安装的 Docker，则需要将 ​​localhost​​ 换为虚拟机地址或者实际云服务器地址。

直接用浏览器访问的话，我们会看到默认的 Nginx 欢迎页面。

现在，假设我们非常不喜欢这个欢迎页面，我们希望改成欢迎 Docker 的文字，我们可以使用 ​​docker exec​​ 命令进入容器，修改其内容。

$ docker exec -it webserver bashroot@3729b97e8226:/# echo '

Hello, Docker!

' > /usr/share/nginx/html/index.htmlroot@3729b97e8226:/# exitexit复制代码

我们以交互式终端方式进入 ​​webserver​​​ 容器，并执行了 ​​bash​​ 命令，也就是获得一个可操作的 Shell。

然后，我们用 ​​

Hello, Docker!

​​​ 覆盖了 ​​/usr/share/nginx/html/index.html​​ 的内容。

现在我们再刷新浏览器的话，会发现内容被改变了。

我们修改了容器的文件，也就是改动了容器的存储层。我们可以通过 ​​docker diff​​ 命令看到具体的改动。

$ docker diff webserverC /rootA /root/.bash_historyC /runC /usrC /usr/shareC /usr/share/nginxC /usr/share/nginx/htmlC /usr/share/nginx/html/index.htmlC /varC /var/cacheC /var/cache/nginxA /var/cache/nginx/client_tempA /var/cache/nginx/fastcgi_tempA /var/cache/nginx/proxy_tempA /var/cache/nginx/scgi_tempA /var/cache/nginx/uwsgi_temp复制代码

现在我们定制好了变化，我们希望能将其保存下来形成镜像。

要知道，当运行一个容器的时候（如果不使用卷的话），做的任何文件修改都会被记录于容器存储层里。而 Docker 提供了一个 ​​docker commit​​ 命令，可以将容器的存储层保存下来成为镜像。换句话说，就是在原有镜像的基础上，再叠加上容器的存储层，并构成新的镜像。以后运行这个新镜像的时候，就会拥有原有容器最后的文件变化。

​​docker commit​​ 的语法格式为：

docker commit [选项] <容器ID或容器名> [<仓库名>[:<标签>]]复制代码

可以用下面的命令将容器保存为镜像：

$ docker commit \ --author "Tao Wang " \ --message "修改了默认网页" \ webserver \ nginx:v2sha256:07e33465974800ce65751acc279adc6ed2dc5ed4e0838f8b86f0c87aa1795214复制代码

其中 ​​--author​​​ 是指定修改的作者，而 ​​--message​​​ 则是记录本次修改的内容。这点和 ​​git​​ 版本控制相似，不过这里这些信息可以省略留空。

可以在 ​​docker image ls​​ 中看到这个新定制的镜像：

$ docker image ls nginxREPOSITORY TAG IMAGE ID CREATED SIZEnginx v2 07e334659748 9 seconds ago 181.5 MBnginx 1.11 05a60462f8ba 12 days ago 181.5 MBnginx latest e43d811ce2f4 4 weeks ago 181.5 MB复制代码

还可以用 ​​docker history​​​ 具体查看镜像内的历史记录，如果比较 ​​nginx:latest​​ 的历史记录，我们会发现新增了我们刚刚提交的这一层。

$ docker history nginx:v2IMAGE CREATED CREATED BY SIZE COMMENT07e334659748 54 seconds ago nginx -g daemon off; 95 B 修改了默认网页e43d811ce2f4 4 weeks ago /bin/sh -c #(nop) CMD ["nginx" "-g" "daemon 0 B 4 weeks ago /bin/sh -c #(nop) EXPOSE 443/tcp 80/tcp 0 B 4 weeks ago /bin/sh -c ln -sf /dev/stdout /var/log/nginx/ 22 B 4 weeks ago /bin/sh -c apt-key adv --keyserver hkp://pgp. 58.46 MB 4 weeks ago /bin/sh -c #(nop) ENV NGINX_VERSION=1.11.5-1 0 B 4 weeks ago /bin/sh -c #(nop) MAINTAINER NGINX Docker Ma 0 B 4 weeks ago /bin/sh -c #(nop) CMD ["/bin/bash"] 0 B 4 weeks ago /bin/sh -c #(nop) ADD file:23aa4f893e3288698c 123 MB复制代码

新的镜像定制好后，我们可以来运行这个镜像。

docker run --name web2 -d -p 81:80 nginx:v2复制代码

这里我们命名为新的服务为 ​​web2​​​，并且映射到 ​​81​​​ 端口。如果是 Docker Desktop for Mac/Windows 或 Linux 桌面的话，我们就可以直接访问 ​​看到结果，其内容应该和之前修改后的 ​​webserver​​ 一样。

至此，我们第一次完成了定制镜像，使用的是 ​​docker commit​​ 命令，手动操作给旧的镜像添加了新的一层，形成新的镜像，对镜像多层存储应该有了更直观的感觉。

慎用 docker commit

使用 ​​docker commit​​ 命令虽然可以比较直观的帮助理解镜像分层存储的概念，但是实际环境中并不会这样使用。

首先，如果仔细观察之前的 ​​docker diff webserver​​​ 的结果，你会发现除了真正想要修改的 ​​/usr/share/nginx/html/index.html​​ 文件外，由于命令的执行，还有很多文件被改动或添加了。这还仅仅是最简单的操作，如果是安装软件包、编译构建，那会有大量的无关内容被添加进来，如果不小心清理，将会导致镜像极为臃肿。

此外，使用 ​​docker commit​​ 意味着所有对镜像的操作都是黑箱操作，生成的镜像也被称为 黑箱镜像，换句话说，就是除了制作镜像的人知道执行过什么命令、怎么生成的镜像，别人根本无从得知。而且，即使是这个制作镜像的人，过一段时间后也无法记清具体的操作。这种黑箱镜像的维护工作是非常痛苦的。

而且，回顾之前提及的镜像所使用的分层存储的概念，除当前层外，之前的每一层都是不会发生改变的，换句话说，任何修改的结果仅仅是在当前层进行标记、添加、修改，而不会改动上一层。如果使用 ​​docker commit​​ 制作镜像，以及后期修改的话，每一次修改都会让镜像更加臃肿一次，所删除的上一层的东西并不会丢失，会一直如影随形的跟着这个镜像，即使根本无法访问到。这会让镜像更加臃肿。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。