Docker

docker-compose

docker-compose 概述

Docker Compose 是一个用于定义和运行多容器 Docker 应用程序的工具。通过 Docker Compose，您可以使用 YAML 文件来配置应用程序的服务、网络和卷，然后通过简单的命令就能够启动、停止和管理整个应用程序。

以下是 Docker Compose 的一些关键概念和特性：

YAML 文件: Docker Compose 使用一个 YAML 格式的文件来定义应用程序的服务、网络、卷以及其他配置。该文件通常称为 docker-compose.yml。
服务: 服务是应用程序的组成部分，通常由一个容器定义。服务可以包括容器镜像、端口映射、环境变量、卷挂载等配置信息。
多容器应用: Docker Compose 适用于多容器应用场景，其中不同的服务可以通过定义它们的配置和关系来协同工作。
命令行工具: Docker Compose 提供了一组命令行工具，允许用户轻松地构建、启动、停止和管理整个应用程序。一些常见的命令包括 docker-compose up（启动应用程序）、docker-compose down（停止和移除容器）等。
环境变量和扩展: 使用 Docker Compose，您可以轻松地通过环境变量来配置服务。这使得在不同环境中使用相同的 docker-compose.yml 文件变得更为灵活。此外，您还可以使用变量和扩展来简化配置文件。
网络和卷: Docker Compose 允许您定义应用程序中的网络和卷。这些可以用于在不同服务之间共享信息、数据以及确保容器之间的通信。

下面是一个简单的 docker-compose.yml 文件的例子：

version: '3'
services:
  web:
    image: nginx:latest
    ports:
      - "80:80"
  app:
    image: my-app:latest
    environment:
      - DEBUG=true
    volumes:
      - ./app:/app

上述例子定义了两个服务，一个是基于 Nginx 镜像的 web 服务，另一个是基于自定义镜像的 app 服务。web 服务映射主机的 80 端口到容器的 80 端口，而 app 服务通过环境变量和卷挂载进行配置。通过运行 docker-compose up 命令，可以启动这两个服务。

部署

Docker 安装

https://docs.docker.com/engine/install/

Ubuntu

https://docs.docker.com/engine/install/ubuntu/

# 更新仓库
apt-get update


# 安装相关依赖包
apt-get -y install \
apt-transport-https \
ca-certificates \
curl \
gnupg \
lsb-release


# 添加Docker官方的GPG密钥
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg


# 写入软件源信息，从阿里云获取，这样速度更快
echo \
  "deb [arch=amd64 signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://mirrors.aliyun.com/docker-ce/linux/ubuntu/ \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 更新仓库
apt-get update

# 查看可以安装的 docker-ce 和 docker-ce-cli 版本
apt-cache madison docker-ce docker-ce-cli

# 安装最新版本的 docker-ce 和 docker-ce-cli（不指定版本则默认安装的就是最新版本）
apt -y install \
docker-ce \
docker-ce-cli

# 或指定版本安装 docker-ce 和 docker-ce-cli
apt -y install \
docker-ce=5:20.10.7~3-0~ubuntu-focal \
docker-ce-cli=5:20.10.7~3-0~ubuntu-focal


# 通过运行镜像来验证 Docker 引擎是否已正确安装。
docker run hello-world

关闭 WARNING: No swap limit support

# docker info
...
WARNING: No swap limit support


# 修改grub配置文件，主要在以下行中添加swapaccount=1
# vim /etc/default/grub
...
GRUB_CMDLINE_LINUX="net.ifnames=0 biosdevname=0 swapaccount=1"
...


# 更新grub，此命令属于Ubuntu的命令，centos不支持
# update-grub
...
done


# 重启
# reboot

CentOS

官方文档：https://docs.docker.com/engine/install/centos/

使用存储库安装

官方文档：https://docs.docker.com/engine/install/centos/#install-using-the-repository

设置存储库

#设置存储库
[root@docker ~]# yum install -y yum-utils
[root@docker ~]# yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo

安装 Docker 引擎

安装最新版

$ yum install docker-ce docker-ce-cli containerd.io

指定安装版本

#列出可选的版本
$ yum list docker-ce --showduplicates | sort -r

#安装指定版本
$ yum install docker-ce-<VERSION_STRING> docker-ce-cli-<VERSION_STRING> containerd.io

#范例：安装指定版本
$ yum install docker-ce-20.10.10 docker-ce-cli-20.10.10 containerd.io

启动Docker

$ systemctl enable --now docker

基于阿里云安装

#创建仓库
# vim /etc/yum.repos.d/docker_aliyun.repo


#指定20.10.10版本进行安装
yum install -y docker-ce-20.10.10 docker-ce-cli-20.10.10 containerd.io


#配置镜像加速
# mkdir -p /etc/docker/
# vim /etc/docker/daemon.json
{
  "registry-mirrors": ["https://jqm0rnhf.mirror.aliyuncs.com"]
}

#启动docker服务
systemctl enable --now docker

docker_install.sh

#!/bin/bash

ubuntu_function() {
    local docker_version="5:20.10.24~3-0~ubuntu-focal"
    if command -v docker &>/dev/null; then
        echo "Docker is already installed."
    else
        apt-get update
        apt-get -y install apt-transport-https ca-certificates curl software-properties-common
        curl -fsSL https://mirrors.aliyun.com/docker-ce/linux/ubuntu/gpg | sudo apt-key add -
        add-apt-repository "deb [arch=amd64] https://mirrors.aliyun.com/docker-ce/linux/ubuntu $(lsb_release -cs) stable"
        apt-get -y update
        apt-get -y install docker-ce=${docker_version}
	configure_docker_accelerator
    fi

}

centos_function() {
    echo "This is CentOS!"
}

other_function() {
    echo "This is another distribution!"
}

configure_docker_accelerator() {
    if [ ! -f /etc/docker/daemon.json ]; then
        mkdir -p /etc/docker
        touch /etc/docker/daemon.json
    fi

    echo '{
      "registry-mirrors": ["https://jqm0rnhf.mirror.aliyuncs.com"]
    }' | sudo tee /etc/docker/daemon.json > /dev/null

    systemctl restart docker

    echo "Docker image accelerator configured successfully."
}

if [ -f /etc/os-release ]; then
    source /etc/os-release
    case "$ID" in
        ubuntu)
            ubuntu_function
            ;;
        centos)
            centos_function
            ;;
        *)
            other_function
            ;;
    esac
else
    echo "Unable to determine the Linux distribution."
fi

Docker 镜像加速配置

通过阿里云加速

官方地址：https://cr.console.aliyun.com/cn-hangzhou/instances/mirrors

容器管理

容器概述

镜像相当于虚拟机的模板，而容器就相当于虚拟机本身

容器启用流程

当执行 docker run 等命令启动容器后，会检查本地是否有相应的镜像；
- 如果有则会直接启动容器
- 如果没有则会去远程镜像仓库中搜寻并下载镜像到本地而后启动容器
  - 如果远程镜像仓库中也没有镜像则启动容器失败。

—

容器管理相关命令：

Usage:  docker container COMMAND

Manage containers

Commands:
  attach      Attach local standard input, output, and error streams to a running container
  commit      Create a new image from a container's changes
  cp          Copy files/folders between a container and the local filesystem
  create      Create a new container
  diff        Inspect changes to files or directories on a container's filesystem
  exec        Run a command in a running container
  export      Export a container's filesystem as a tar archive
  inspect     Display detailed information on one or more containers
  kill        Kill one or more running containers
  logs        Fetch the logs of a container
  ls          List containers
  pause       Pause all processes within one or more containers
  port        List port mappings or a specific mapping for the container
  prune       Remove all stopped containers
  rename      Rename a container
  restart     Restart one or more containers
  rm          Remove one or more containers
  run         Run a command in a new container
  start       Start one or more stopped containers
  stats       Display a live stream of container(s) resource usage statistics
  stop        Stop one or more running containers
  top         Display the running processes of a container
  unpause     Unpause all processes within one or more containers
  update      Update configuration of one or more containers
  wait        Block until one or more containers stop, then print their exit codes

Run 'docker container COMMAND --help' for more information on a command.

启动容器

docker run [OPTIONS] IMAGE [COMMAND] [ARG...]

# OPTIONS:
-i # interactive，进入交互模式
-t # tty，分配一个伪TTY
-d # detach，后台运行，默认前台
-e # 设置环境变量
-h # 设置容器内的主机名
--rm # 退出容器后立刻删除（通常用于测试，以避免产生大量exit状态的容器）
--privileged # 以宿主机root的身份运行容器
--restart string # 指定容器的重启策略。重启策略控制 Docker 守护进程是否在退出后重启容器。string可以为以下值：
                 # no #容器退出时不要自动重启。这是默认设置
                 # on-failure[:max-retries] #仅当容器以非零退出状态退出时才重新启动。（可选）限制 Docker 守护程序尝试重新启动的次数。
                 # unless-stopped #除非明确停止或 Docker 本身停止或重新启动，否则重新启动容器。
                 # always #无论退出状态如何，始终重新启动容器。当您指定 always 时，Docker 守护程序将尝试无限期地重新启动容器。无论容器的当前状态如何，容器也将始终在守护程序启动时启动。

注意事项

容器启动后，如果容器内没有前台运行的进程将自动停止容器

范例

启动容器

数据管理

参考文档

Docker之数据卷(Data Volumes)操作 - 沦陷 - 博客园 (cnblogs.com)

容器数据的目录分层

**Lower Dir：**镜像层，即镜像本身，只读层
**Upper Dir：**容器的上层，容器中变化的文件存放于此处，读写层
**Merged Dir：**容器的文件系统，使用的是联合文件系统(Union FS) 将 lowerdir 和 upperdir 合并完成后给容器使用，最终呈现给用户的统一视图
**WorkDir：**容器在宿主机的工作目录，在使用过程中其内容用户不可见，挂载后内容会被清空

查看容器的数据分层

docker inspect name （GraphDriver 字段）

范例一

未有数据修改前

# docker history busybox:stable 
IMAGE          CREATED       CREATED BY                                      SIZE      COMMENT
334e4a014c81   10 days ago   /bin/sh -c #(nop)  CMD ["sh"]                   0B        
<missing>      10 days ago   /bin/sh -c #(nop) ADD file:ac7a70cec126c0804…   4.86MB    


# docker run -d --name busybox -d busybox:stable tail -f /etc/hosts
# docker inspect busybox
...
        "GraphDriver": {
            "Data": {
                "LowerDir": "/var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1-init/diff:/var/lib/docker/overlay2/08c35ade32977f0f78381997288ef5b0842432a283cdb2e2a3acfddd3d98874c/diff",
                "MergedDir": "/var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/merged",
                "UpperDir": "/var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/diff",
                "WorkDir": "/var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/work"
            },
            "Name": "overlay2"
        },

...


# LowerDir，因为镜像分了两层，所以产生了两个LowerDir。
# ls /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1-init/diff
dev  etc  proc  sys
# ls /var/lib/docker/overlay2/08c35ade32977f0f78381997288ef5b0842432a283cdb2e2a3acfddd3d98874c/diff
bin  dev  etc  home  lib  lib64  root  tmp  usr  var
# cat /var/lib/docker/overlay2/08c35ade32977f0f78381997288ef5b0842432a283cdb2e2a3acfddd3d98874c/diff/etc/localtime 
TZif2UTCTZif2UTC
UTC0


# UpperDir，读写层没有数据修改，因此没有数据。
# ls /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/diff


# MergedDir，将所有LowerDir和UpperDir合并到一起
# ls /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/merged
bin  dev  etc  home  lib  lib64  proc  root  sys  tmp  usr  var


# WorkDir，没有数据，即使有数据，在容器中也是不可见的
# tree /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/work
/var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/work
└── work

有数据修改后

# docker exec -it busybox sh
/ # dd if=/dev/zero of=/root/test.img bs=1M count=10
/ # ls -l /root/test.img -h
-rw-r--r--    1 root     root       10.0M Dec 17 15:32 /root/test.img
/ # echo 'UTC+8' >> /etc/localtime



# LowerDir，因为是只读层，所以无变化
# ls /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1-init/diff
dev  etc  proc  sys
# ls /var/lib/docker/overlay2/08c35ade32977f0f78381997288ef5b0842432a283cdb2e2a3acfddd3d98874c/diff
bin  dev  etc  home  lib  lib64  root  tmp  usr  var
# cat /var/lib/docker/overlay2/08c35ade32977f0f78381997288ef5b0842432a283cdb2e2a3acfddd3d98874c/diff/etc/localtime 
TZif2UTCTZif2UTC
UTC0


# UpperDir，读写层发生了数据修改
# tree /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/diff
/var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/diff
├── etc
│   └── localtime # 从只读层复制过来并进行了数据添加(修改)
└── root
    └── test.img # 直接写入到了读写层
# cat /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/diff/etc/localtime
TZif2UTCTZif2UTC
UTC0
UTC+8



# MergedDir，因为有了Union FS的存在，所以看起来还是一个整体
# ls /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/merged
bin  dev  etc  home  lib  lib64  proc  root  sys  tmp  usr  var
# cat /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/merged/etc/localtime 
TZif2UTCTZif2UTC
UTC0
UTC+8


# WorkDir，没有数据，即使有数据，在容器中也是不可见的
# tree /var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/work
/var/lib/docker/overlay2/6f416501797d99899f520c77774448afe0c7ed20de23e968c927eb665b566be1/work
└── work

范例二

# docker history nginx:1.23 
IMAGE          CREATED       CREATED BY                                      SIZE      COMMENT
3964ce7b8458   3 days ago    /bin/sh -c #(nop)  CMD ["nginx" "-g" "daemon…   0B        
<missing>      3 days ago    /bin/sh -c #(nop)  STOPSIGNAL SIGQUIT           0B        
<missing>      3 days ago    /bin/sh -c #(nop)  EXPOSE 80                    0B        
<missing>      3 days ago    /bin/sh -c #(nop)  ENTRYPOINT ["/docker-entr…   0B        
<missing>      3 days ago    /bin/sh -c #(nop) COPY file:e57eef017a414ca7…   4.62kB    
<missing>      3 days ago    /bin/sh -c #(nop) COPY file:abbcbf84dc17ee44…   1.27kB    
<missing>      3 days ago    /bin/sh -c #(nop) COPY file:5c18272734349488…   2.12kB    
<missing>      3 days ago    /bin/sh -c #(nop) COPY file:7b307b62e82255f0…   1.62kB    
<missing>      3 days ago    /bin/sh -c set -x     && addgroup --system -…   61.3MB    
<missing>      3 days ago    /bin/sh -c #(nop)  ENV PKG_RELEASE=1~bullseye   0B        
<missing>      3 days ago    /bin/sh -c #(nop)  ENV NJS_VERSION=0.7.9        0B        
<missing>      3 days ago    /bin/sh -c #(nop)  ENV NGINX_VERSION=1.23.3     0B        
<missing>      11 days ago   /bin/sh -c #(nop)  LABEL maintainer=NGINX Do…   0B        
<missing>      11 days ago   /bin/sh -c #(nop)  CMD ["bash"]                 0B        
<missing>      11 days ago   /bin/sh -c #(nop) ADD file:1f1efd56601ebc26a…   80.5MB  


# docker run -d --name nginx nginx:1.23
# docker inspect nginx
...
        "GraphDriver": {
            "Data": {
                # 因为镜像有很多分层，所以会产生很多的LowerDir（每个目录以":"为分隔符显示）
                "LowerDir": "/var/lib/docker/overlay2/94d22d89b8fa020dbb17290f5c5684000202ac1b58f634a0f0f70877ec16ad9c-init/diff:/var/lib/docker/overlay2/98d2ab81673615b7cf8aeb797dd146d518eb0bfde0d09df27c1b20e9f33cf8c0/diff:/var/lib/docker/overlay2/44a0f9233d0165e521c43c32cc08d747a2becfc0efbfcfe6ecd44ee7b4aac09c/diff:/var/lib/docker/overlay2/431b57061d42f526085599cee1e2e0d3a469d67679410ea0c2a3d7f1960f3b36/diff:/var/lib/docker/overlay2/a5370a8bc35cb3eea7a9f8f61f7288a55b57b01d4dcb37c3d855dd2a81a606ed/diff:/var/lib/docker/overlay2/58740eec574cd2e7ab620df0cccfa7a1c94cf0b2d5de8182547787712c8551d0/diff:/var/lib/docker/overlay2/5a6d1455634f092cede6488935884d64276fe8f7aeff2e73d8c8d8e18005a1ef/diff",
                "MergedDir": "/var/lib/docker/overlay2/94d22d89b8fa020dbb17290f5c5684000202ac1b58f634a0f0f70877ec16ad9c/merged",
                "UpperDir": "/var/lib/docker/overlay2/94d22d89b8fa020dbb17290f5c5684000202ac1b58f634a0f0f70877ec16ad9c/diff",
                "WorkDir": "/var/lib/docker/overlay2/94d22d89b8fa020dbb17290f5c5684000202ac1b58f634a0f0f70877ec16ad9c/work"
            },
            "Name": "overlay2"
        },
...

容器数据存放过程

docker 镜像是由多个只读层叠加而成，启动容器时，docker 会在只读层的基础上添加一个读写层(就是添加一个可读可写的文件系统)，进而生成容器，用户写入的数据都保存在读写层中
如果运行中的容器修改了一个现有已存在的文件：
- 那该文件将会从读写层下面的只读层复制到读写层，该文件的只读版本仍然存在，只是已经被读写层中该文件的副本所隐藏
- 本质上就是利用写时复制机制（COW copy on write）
如果运行中的容器生成了新的数据：
- 那么新产生的数据将会被复制到读写层，进行持久化保存，这个读写层就是容器的工作目录
- 本质上就是利用写时复制机制（COW copy on write）

容器数据持久保存方式

数据卷(Data Volume)
- 直接将宿主机目录挂载至容器的指定目录，推荐使用此种方式
- 常用
数据卷容器(Data Volume Container)
- 间接使用宿主机空间，将宿主机的目录挂载至一个专门的数据卷容器，然后让其他容器通过数据卷容器读写宿主机的数据
- 不常用

数据卷

相当于k8s中的hostPath？

数据卷的特点

数据卷实际上就是宿主机上的目录或者是文件，可以被直接mount到容器当中使用

网络管理

Docker 网络模式

Docker 提供了几种不同的网络模式，用于容器与容器、主机以及外部网络之间的通信。主要的 Docker 网络模式包括：

Bridge（默认）

默认网络模式。Docker 在主机上创建一个虚拟的网桥（例如 docker0），并将容器连接到该桥。容器之间可以通过桥接网络相互通信，也可以通过主机的 NAT 与外部网络通信。
使用场景：适用于容器需要互相通信且不直接暴露给外部网络的情况。

docker run --network bridge ...

Host

容器将使用主机的网络堆栈，不创建虚拟网桥。容器的网络直接与主机的网络共享，容器会使用主机的 IP 地址。
使用场景：对网络性能要求较高或容器需要使用主机网络接口的场景。

docker run --network host ...

None

禁用所有网络功能。容器将无法与外界通信，也无法与其他容器通信。
使用场景：容器不需要网络的情况，或需要手动配置网络的情况。

docker run --network none ...

Container

让一个容器共享另一个容器的网络堆栈。这样两个容器就像是在同一台主机上运行的进程一样共享 IP 地址和端口。
使用场景：多个容器需要共享相同的网络环境。

docker run --network container:<other_container> ...

Overlay

用于 Docker Swarm 或 Kubernetes 集群中，让不同主机上的容器可以通过虚拟网络进行通信。Overlay 网络可以跨主机创建虚拟网络，允许不同主机上的容器进行安全通信。
使用场景：集群环境中跨主机的容器通信。

docker network create -d overlay my-overlay-network

Macvlan

允许给每个容器分配一个独立的 MAC 地址，并将其作为主机网络的一部分。这使容器可以像物理主机一样直接连接到局域网中。
使用场景：容器需要直接暴露在物理网络中，或需要与网络设备进行直接通信时。

docker network create -d macvlan --subnet=192.168.1.0/24 --gateway=192.168.1.1 -o parent=eth0 my-macvlan-network

—

前言

docker容器创建后，必不可少的要和其他主机或容器进行网络通信

资源限制

容器资源限制概述

官方文档：https://docs.docker.com/config/containers/resource_constraints/
默认情况下，容器没有对资源的使用限制，即在某些情况下，可以将宿主机的资源耗尽
Docker 提供了控制容器使用资源的方法，可以限制容器对内存、cpu等资源的使用量，可以在运行docker run 命令时配合特定的参数加以限制

前期准备

容器中资源限制的很多功能都要求宿主机的内核支持
要检查是否支持这些功能，可以使用docker info命令查看是否有警告信息
官方文档：https://docs.docker.com/engine/install/linux-postinstall/#your-kernel-does-not-support-cgroup-swap-limit-capabilities

范例：

root@Ubuntu2004:~# docker info
Client:
 Context:    default
 Debug Mode: false
 Plugins:
  app: Docker App (Docker Inc., v0.9.1-beta3)
  buildx: Build with BuildKit (Docker Inc., v0.6.3-docker)
  scan: Docker Scan (Docker Inc., v0.17.0)

Server:
 Containers: 0
  Running: 0
  Paused: 0
  Stopped: 0
 Images: 77
 Server Version: 20.10.10
 Storage Driver: overlay2
  Backing Filesystem: xfs
  Supports d_type: true
  Native Overlay Diff: true
  userxattr: false
 Logging Driver: json-file
 Cgroup Driver: cgroupfs
 Cgroup Version: 1
 Plugins:
  Volume: local
  Network: bridge host ipvlan macvlan null overlay
  Log: awslogs fluentd gcplogs gelf journald json-file local logentries splunk syslog
 Swarm: inactive
 Runtimes: io.containerd.runc.v2 io.containerd.runtime.v1.linux runc
 Default Runtime: runc
 Init Binary: docker-init
 containerd version: 2a1d4dbdb2a1030dc5b01e96fb110a9d9f150ecc
 runc version: v1.0.3-0-gf46b6ba
 init version: de40ad0
 Security Options:
  seccomp
   Profile: default
 Kernel Version: 4.18.0-240.el8.x86_64
 Operating System: CentOS Linux 8
 OSType: linux
 Architecture: x86_64
 CPUs: 4
 Total Memory: 3.81GiB
 Name: docker
 ID: RWES:NEXJ:23MD:CYNE:RAHI:45N2:NEJZ:RY42:SHA7:MI4F:XNLL:TUZF
 Docker Root Dir: /var/lib/docker
 Debug Mode: false
 Registry: https://index.docker.io/v1/
 Labels:
 Experimental: false
 Insecure Registries:
  10.0.0.100
  10.0.0.101
  127.0.0.0/8
 Registry Mirrors:
  https://jqm0rnhf.mirror.aliyuncs.com/
 Live Restore Enabled: false
 
 WARNING: No swap limit support #无交换限制支持，这样会影响容器运行的性能

解决办法

修改内核参数来消除以上警告

root@Ubuntu2004:~# vim /etc/default/grub
...
#添加或编辑该GRUB_CMDLINE_LINUX行以添加 cgroup_enable=memory swapaccount=1 这两个键值对：
GRUB_CMDLINE_LINUX="net.ifnames=0 cgroup_enable=memory swapaccount=1 biosdevname=0;"
...

#更新GRUB
root@Ubuntu2004:~# update-grub

#禁用swap挂载
root@Ubuntu2004:~# vim /etc/fstab
...
#/swap.img   none    swap    sw  0   0
...

#重启使其生效
root@Ubuntu2004:~# reboot

#再次查看，可以看到无WARNING了

OOM

Out Of Memory（内存溢出、内存泄漏、内存异常）
对于Linux主机，如果没有足够的内存，则系统则会抛出OOM，从而kill掉内存量使用最大的进程，而内存使用量较大的进程通常都是生产中重要进程，如Java、MySQL等…
产生 OOM 异常时，dockerd会尝试通过调整docker守护进程上的OOM优先级来减轻这些风险，以便它比系统上的其他进程更不可能被杀死，但是容器的OOM优先级未调整，这使得单个容器被杀死的可能性比docker守护程序或其他系统进程被杀死的可能性更大
不推荐通过在守护进程或容器上手动设置–oom-sorce-adj为极端负数，或通过在容器上设置–oom-kill-disable来绕过这些安全措施

OOM 优先级机制

linux会为每个进程算一个分数，在内存不足的时候会将分数最高的kill掉

/proc/PID/oom_score_adj
#范围为 -1000 到 1000，值越高越容易被宿主机kill掉，如果将该值设置为 -1000，则进程永远不会被宿主机 kernel kill

/proc/PID/oom_adj
#范围为 -17 到 15 ，取值越高越容易被干掉，如果是-17，则表示不能被kill
#该参数的存在是为了和旧版本的Linux内核兼容

/proc/PID/oom_score 
#这个值是系统综合进程的内存消耗量、CPU时间（utime+存活时间(uptime - start time)）和 oom_adj 计算出来的进程得分，消耗内存越多得分越高，则越容易被宿主机内核kill掉

OOM 优先级范例：

# pidof vim
3310
# pidof dockerd 
953

# cat /proc/3310/oom_score_adj 
0
# cat /proc/953/oom_score_adj 
-500

# cat /proc/3310/oom_adj 
0
# cat /proc/953/oom_adj 
-8

# cat /proc/3310/oom_score 
669
# cat /proc/953/oom_score 
366

容器的内存限制

docker内存限制分为两种：
- 硬性内存限制，即只允许容器使用给定的内存大小
- 非硬性内存限制，即容器可以使用尽可能多的内存，除非内核检测到主机上的内存不够用了

内存限制相关选项

官方文档：https://docs.docker.com/config/containers/resource_constraints/
这些选项中的大多数采用正整数，后跟b, k, m, g, 后缀来表示字节、千字节、兆字节或千兆字节。
常用选项：

选项	说明
-m 或 –memory=	容器可以使用的最大内存量。如果设置此选项，则允许的最小值为`6m`（6 兆字节）。也就是说，您必须将该值设置为至少 6 兆字节。
–oom-kill-disable	默认情况下，如果发生内存不足 (OOM) 错误，内核会终止容器中的进程。要更改此行为，请使用该`--oom-kill-disable`选项。仅在您还设置了该`-m/--memory`选项的容器上禁用 OOM kill。如果`-m`未设置该标志，主机可能会耗尽内存，内核可能需要终止主机系统的进程以释放内存。
…	…

范例：

未做限制前

显示的是宿主机的内存和使用量

[root@docker ~]# docker run --name test -it --rm ubuntu:20.04

root@1162cadbad75:/# free  -h
              total        used        free      shared  buff/cache   available
Mem:          3.8Gi       378Mi       2.9Gi       9.0Mi       512Mi       3.2Gi
Swap:            0B          0B          0B

[root@docker ~]# docker stats --no-stream test 
CONTAINER ID   NAME      CPU %     MEM USAGE / LIMIT    MEM %     NET I/O     BLOCK I/O   PIDS
d9463c55ffa2   test      0.00%     2.059MiB / 3.81GiB   0.05%     976B / 0B   0B / 0B     1

做限制后

-m 100m，限制使用量为100m

[root@docker ~]# docker run --name test -it --rm -m 100m ubuntu:20.04

[root@docker ~]# docker stats --no-stream test 
CONTAINER ID   NAME      CPU %     MEM USAGE / LIMIT   MEM %     NET I/O     BLOCK I/O   PIDS
f81449e7ee62   test      0.00%     2.445MiB / 100MiB   2.45%     766B / 0B   0B / 0B     1

容器的cpu限制

一个核心的CPU可以通过调度(上下文切换)而运行多个进程，但是同一个单位时间内只能有一个进程在CPU上运行。