docker最底端是一个引导文件系统，即bootfs。

第二层是root文件系统rootfs，位于引导文件系统之上。

在传统的Linux引导过程中，root文件系统会最先以只读的方式加载，当引导结束并完成了完整性检查之后，它才会被切换为读写模式。但是在docker里，root文件系统永远只能是只读状态，并且docker利用联合加载技术又会在root文件系统层上加载更多的只读文件系统。联合加载指的是一次同时加载多个文件系统，但是在外面看起来只能看到一个文件系统。联合加载将各层文件系统叠加到一起，这样最终文件系统会包含所有底层的文件和目录。

docker将这样的文件系统成为镜像。一个镜像可以放到另一个镜像的顶部。位于下面的镜像成为父镜像，最底部的叫做基础镜像。

当docker第一次启动一个容器时，初始的读写层是空的。当文件系统变化时，这些变化都会引用到这一层上。比如，如果想修改一个文件，这个文件会从该读写层下面的只读层复制到读写层。该文件的只读版本依然存在，但是已经被读写层中的该文件副本所隐藏。这种机制被成为写时复制。

docker images #查看所有的docker镜像

本地镜像都保存在/var/lib/docker下，所有的容器都保存在/var/lib/docker/containers

docker pull ubuntu #拉去镜像

docker run -it --name 容器名称 ubuntu:12.04 /bin/bash #可以给镜像加上版本

镜像分用户镜像和顶层镜像。

docker images fedora #查看指定的镜像列表

docker search puppet #查找指定的镜像

构建镜像

docker login #登录（国内访问docker hub好慢啊）

docker commit 本地容器ID 用户名/容器名 #提交

commit 还可以附带一些别的参数。

这本书里并不推荐使用docker commit的方法构建镜像。

使用Dockerfile

Docker 大体按照如下流程执行Dockerfile中的指令。

• Docker 从镜像运行一个容器。
• 执行一条指令，对容器做出修改。
• 执行类似docker commit 的操作，提交一个新的镜像层。
• Docker再基于刚提交的镜像运行一个新容器
• 执行Dockerfile的下一条指令，知道所有的指令都执行完毕。

docker build -t="用户名/镜像名" #基于Dockerfile构建容器

也可以通过git仓库源地址指定Dockerfile的位置。

如果构建出错，可以通过docker run 命令来基于这次构建到目前为止已经成功的最后一步创建一个容器。

--no-cache 避免使用缓存

docker history 镜像ID #获取镜像的构建历史

Docker 可以在宿主机上随机选择一个49000-49900的一个比较大的端口号来映射到80端口上。

可以通过docker port 容器ID 新的端口号 命令来设置端口映射

也可以在运行docker run 时指定 -p 宿主端口:容器端口

docker run -d -p 8080:80 --name static_web username/image \
nginx -g "daemon off" #这一句不是太懂，对nginx不是太了解

-p 也可以将端口绑定到特定的IP地址上，如 -p 127.0.0.1:8080:80

-P 可以将容器中EXPOSE的端口全部公开