1. Linux 容器与 Docker 的关系
1.1 容器化的核心概念
在 Linux 环境中，容器化通过命名空间、控制组等机制实现对进程的隔离与资源限制，形成独立的运行环境。与此同时，镜像作为可移植的应用打包单元，承载了应用及其依赖的全部信息，确保在不同主机上具备一致的运行效果。
通过对比传统虚拟机，容器的启动速度快、资源占用低成为其显著优势。Docker 将这些底层能力封装成易于使用的工具集，包括镜像管理、容器编排接口、CLI 与 API，从而提高开发与运维的协作效率。
# 获取当前主机的容器运行状态
ps aux | grep docker
# 查看当前运行的容器摘要信息
docker ps -a
1.2 为什么选择 Docker 作为入门工具
Docker 提供的 高层抽象（镜像、容器、网络、数据卷）使新手在不深入研究命名空间与 cgroups 的前提下就能上手容器化。与此同时，OCI 兼容镜像与庞大的开源镜像生态，使得“开箱即用”变得可行。
借助 Docker 的 社区支持与丰富文档，你可以在短时间内完成从本地环境到生产环境的迁移，并通过 命令行、Compose 配置、以及 镜像仓库实现可重复的部署流程。
# 显示 Docker 版本信息与组件
docker version
# 显示引擎细节
docker info
1.3 快速验证环境
初次接触时，可以通过运行一个简单的测试容器来验证 Linux 容器环境是否就绪。例如启动一个轻量级的帮助服务，观察其端口暴露与日志输出，确认网络与存储也能正常工作。
使用 hello-world 镜像是一种常见的快速验证方式，能帮助你确认镜像拉取、容器创建与运行流程是否正常。若不出错，则意味着基础环境可以进入正式的容器化工作流。
2. Docker 安装与初步使用
2.1 在 Linux 上安装 Docker 引擎
不同发行版的安装步骤略有差异，但核心思想是一致的：先安装依赖、再添加官方仓库、随后安装 docker-ce、docker-ce-cli 与 containerd。安全性与权限管理也应作为安装后的重点关注项，例如将当前用户加入 docker 组以避免频繁的 sudo。
在正式环境中，建议使用官方的安装脚本或仓库来确保版本与依赖的一致性，并结合系统更新策略维护镜像与引擎的安全性。
# 以 Debian/Ubuntu 为例，安装 Docker 引擎
sudo apt-get update
sudo apt-get install -y ca-certificates curl gnupg lsb-release
sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg
echo \"deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] \https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | \sudo tee /etc/apt/sources.list.d/docker.list >/dev/null
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io
完成后，验证 Docker 引擎是否启动、版本信息、以及当前用户权限是否正确生效。
sudo systemctl status docker
docker --version
docker run --rm hello-world
2.2 第一个容器的跑法
启动一个简单的 Web 服务容器可以帮助你理解端口映射、后台运行与日志的关联。常见做法是使用官方镜像，例如 Nginx，通过参数控制端口映射与后台运行。
示例命令让容器在后台运行，并将主机的 8080 端口映射到容器 80 端口，容器命名为 webserver，镜像选择 nginx。
docker run -d --name webserver -p 8080:80 nginx:latest
验证要点：通过浏览器访问 http://localhost:8080 应能看到 Nginx 欢迎页面，同时通过 docker ps 与 docker logs 可以确认容器状态与输出。
docker ps
docker logs webserver
2.3 记录与访问日志
容器产生的日志是运维的重要依据。默认情况下，Docker 将日志输出到宿主机或指定的日志驱动。通过 docker logs 可以直接查看容器日志，必要时可将日志驱动改为 json-file、syslog、journald 等。
对生产环境，建议结合集中日志方案，如将日志发送到 ELK/EFK、Prometheus+Grafana 的监控体系，从而实现跨主机的统一可观测性。
# 查看最近 100 行日志
docker logs --tail 100 webserver
# 以实时方式跟踪日志输出
docker logs -f webserver
3. 容器管理核心操作
3.1 镜像管理与 Docker Hub 仓库
镜像是容器化应用的基础单元，管理好镜像版本与来源对稳定性至关重要。你可以从公开的镜像仓库拉取信任的镜像，也可以构建自有镜像并推送到私有或公有仓库，以实现持续集成与部署的一致性。
拉取、查看与清理镜像是日常工作的一部分，确保磁盘空间可控并避免过时镜像混乱。
# 从 Docker Hub 拉取镜像
docker pull nginx:latest
# 查看本地镜像
docker images
# 删除不再需要的镜像
docker rmi nginx:old
3.2 数据持久化：卷与绑定挂载
无状态容器易于扩展，但大多数应用需要持久化数据。数据卷（volumes）和绑定挂载（bind mounts）为容器提供持久化存储能力，且卷管理通常独立于容器生命周期。
选择合适的挂载方式，可以实现数据在容器重建、重启或迁移时的稳定性。结合备份策略，可以确保关键数据不丢失。
# 使用数据卷挂载
docker volume create app_data
docker run -d --name app --mount source=app_data,target=/var/lib/app nginx:latest
# 使用宿主机目录绑定挂载
docker run -d --name app2 -v /srv/appdata:/var/lib/app nginx:latest
3.3 网络与服务发现
容器之间的通信通过网络来实现。Docker 提供多种网络模式（bridge、host、overlay 等），并支持容器名解析的简易服务发现机制。
桥接网络（bridge）是最常用的初始场景，它让容器在同一主机上通过虚拟网桥互联。对于多主机场景，可以使用 Overlay 网络 或者弹性编排平台实现跨宿主机通信。
# 查看当前网络
docker network ls
# 在同一桥接网络上启动两个容器以实现互联
docker run -d --name web1 --network bridge nginx:latest
docker run -d --name web2 --network bridge nginx:latest
4. 进阶与高效管理
4.1 使用 Docker Compose 进行多容器编排
对于具有多个服务的应用，单容器的方式难以维护。Docker Compose 提供一个 YAML 配置文件来描述多容器部署、网络、卷和环境变量等，极大简化了本地开发与测试环境的一致性。
Compose 文件的可读性与版本控制使得团队协作更高效，且便于在流水线中实现自动化部署。
# docker-compose.yml 示例
version: '3.8'
services:frontend:image: nginx:latestports:- "8080:80"backend:image: httpd:latestvolumes:- app_data:/usr/local/apache2/htdocs
volumes:app_data:
4.2 镜像构建与优化
自建镜像可以确保运行环境的一致性，但需要关注镜像大小、分层结构与安全性。多阶段构建、最小化基础镜像、以及对敏感文件的 清理 是常见实践。
从 Dockerfile 的角度出发，合理安排 缓存利用、分阶段构建，可以显著降低镜像体积并提升构建速度。
# 多阶段构建示例
FROM golang:1.20-alpine AS builder
WORKDIR /app
COPY . .
RUN go build -o myappFROM alpine:3.18
WORKDIR /app
COPY --from=builder /app/myapp .
ENTRYPOINT ["./myapp"]
4.3 私有镜像仓库与 CI/CD 集成
在企业场景中，私有镜像仓库有助于实现镜像版本控制、访问控制与快速分发。结合 CI/CD 流水线，可以在提交代码后自动构建、测试并发布镜像。
访问控制、镜像签名与仓库安全策略是落地的关键要素。通过与 CI/CD 工具（如 Jenkins、GitLab CI、GitHub Actions）对接，可以实现端到端的自动化部署。
# GitHub Actions 示例片段，触发镜像构建
name: Build and Push Docker Image
on:push:branches: [ main ]
jobs:build:runs-on: ubuntu-lateststeps:- uses: actions/checkout@v3- name: Build and Pushrun: |docker build -t my-registry.example.com/app:latest .docker push my-registry.example.com/app:latest
5. 安全与最佳实践
5.1 容器安全基线
在 Linux 容器环境中，最重要的安全实践包括最小化运行权限、避免以 root 用户在容器内直接执行应用、使用只读文件系统、以及对网络访问进行严格控制。
定期更新镜像、漏洞扫描和最小化镜像体积是长期维护的核心。通过合规的镜像来源与签名机制，可以降低被篡改的风险。
# 使用镜像漏洞扫描工具示例（假设已安装工具）
trivy image nginx:latest
5.2 备份与灾难恢复
对数据卷进行定期备份，并制定灾难恢复流程，是生产环境的必备能力。将数据卷备份导出、压缩并存放在独立存储中，能够在意外情况下快速还原。
备份计划、版本控与自动化触发有助于降低数据丢失风险，同时结合监控实现对备份状态的可观测性。
# 将卷内容备份到宿主机目录
docker run --rm -v app_data:/data -v $(pwd)/backup:/backup alpine tar czf /backup/app_data.tar.gz -C /data .
5.3 监控、日志与可观测性
对容器与集群的监控包括资源使用、健康检测、日志聚合等方面。通过 Prometheus、Grafana、cAdvisor 等工具，可以实现对容器的全景可观测。
端到端的监控与告警策略有助于在性能瓶颈、资源紧张或异常行为发生时做出及时响应。
# 安装并暴露 cAdvisor 进行容器级指标采集
docker run -d --name cadvisor -p cadvisor:8080 --volume=/:/rootfs:ro --volume=/var/run:/var/run:ro --volume=/var/lib/docker/:/var/lib/docker:ro --volume=/sys:/sys:ro --volume=/var/lib/kubelet/:/var/lib/kubelet:ro google/cadvisor:latest
