docker容器dockerfile详解

2023-12-04 17:25:22

docker公司在容器技术发展中提出了镜像分层的理念，可以说也是这个革命性的理念让原本只不过是整合linux内核特性的容器，开始野蛮生长。

docker通过UnionFS联合文件系统将镜像的分层实现合并,关于镜像相关知识有兴趣的同学可参考我们之前文章docker容器技术基础之联合文件系统OverlayFS

本文是对docker官方文档Dockerfile reference学习与实践，在学习docker容器相关技术的同学别光收藏，你要动起来！实践起来！

提示：没有人比docker公司更懂docker，本小作文含部分自己的理解，有英文阅读习惯的同学，建议直接阅读官方文档哈。

docker build

Dockerfile是一个镜像构建命令集合的文本文件，下面是我们最常见的Dockerfile构建,假如我们目录下有一个文件Dockerfile

[root@localhost nginx_project]# ls
Dockerfile
[root@localhost nginx_project]# docker build -t nginx:v1 .

通过build指定了目标镜像的标签为nginx:v1，以及Dockerfile的上下文context .

什么是docker上下文？

一个面向服务端的目录夹结构，除了Dockerfile，你的一切构建资源都应该在这个目录（指定的上下文）中。

上下文是递归处理的。因此，如果是PATH则包含任何子目录，如果是一个URL则包含存储库及其子模块。

关键点，构建是由 Docker 守护程序运行，而不是由 CLI 运行，所以docker会把上下文资源打包传输给守护进程进行构建，为了减少不必要的臃肿，最好从一个空目录作为上下文开始，并将 Dockerfile 保存在该目录中。仅添加构建 Dockerfile 所需的文件。

我们可以使用-f选项指定dockerfile

[root@localhost folder]# docker build -f ../Dockerfile -t nginx:v1 .

使用多个-t选项保持多个tag

[root@localhost folder]# docker build  -t nginx:v1 -t dockerhub.com/nginx:v2 .
Sending build context to Docker daemon  1.583kB
Step 1/2 : FROM nginx
 ---> 08b152afcfae
Step 2/2 : run echo 123
 ---> Using cache
 ---> 3b636c79fbfa
Successfully built 3b636c79fbfa
Successfully tagged nginx:v1
Successfully tagged dockerhub.com/nginx:v2

这样就构建两个不同tag的同一ID镜像

[root@localhost folder]# docker images
REPOSITORY            TAG       IMAGE ID       CREATED          SIZE
dockerhub.com/nginx   v2        3b636c79fbfa   23 minutes ago   133MB
nginx                 v1        3b636c79fbfa   23 minutes ago   133MB

BuildKit

buildkit将 Dockerfile 变成了 Docker 镜像。它不只是构建 Docker 镜像；它可以构建 OCI 图像和其他几种输出格式。

从版本18.09开始，Docker支持由moby / buildkit项目提供的用于执行构建的新后端。与旧的实现相比，BuildKit后端提供了许多好处。例如，BuildKit可以：

检测并跳过执行未使用的构建阶段。
平行构建独立的构建阶段。
在不同的构建过程中,只增加传输构建上下文中的更改文件。
在构建上下文中检测并跳过传输未使用的文件。
使用外部Dockerfile实现许多新功能。
避免与API的其他部分(中间镜像和容器)产生副作用。
优先处理您的构建缓存,以便自动修剪。

要使用BuildKit后端，只需要在调用 DOCKER_BUILDKIT=1 docker build 之前在CLI上设置环境变量DOCKER_BUILDKIT = 1。或者配置/etc/docker/daemon.json启用。

[root@localhost folder]#  DOCKER_BUILDKIT=1 docker build -f ../Dockerfile -t nginx:v1 -t dockerhub.com/nginx:v2 .
[+] Building 5.2s (6/6) FINISHED                                                                           
 => [internal] load build definition from Dockerfile                                                  0.7s
 => => transferring dockerfile: 118B                                                                  0.0s
 => [internal] load .dockerignore                                                                     0.6s
 => => transferring context: 2B                                                                       0.0s
 => [internal] load metadata for docker.io/library/nginx:latest                                       0.0s
 => [1/2] FROM docker.io/library/nginx                                                                2.2s
 => [2/2] RUN echo 123                                                                                1.3s
 => exporting to image                                                                                0.5s 
 => => exporting layers                                                                               0.2s
 => => writing image sha256:813b09c58322dce98ee28e717baeb9f3593ce3e46a032488949250f761004495          0.0s
 => => naming to docker.io/library/nginx:v1                                                           0.0s
 => => naming to dockerhub.com/nginx:v2

dockerfile格式

1、注释

一个标准的dockerfile，注释是必须的。

#这是dockerfile注释,dockerfile中指令以"CMD args"格式出现
CMD args
CMD args
...

一个Dockerfile 第一个指令必须是FROM指令，用于指定基础镜像，那么基础镜像的父镜像从哪里来？答案是scratch带有该FROM scratch指令的 Dockerfile会创建一个基本映像。

2.解析器指令

解析器指令是可选的，会影响 aDockerfile中后续行的处理方式。解析器指令不会向构建添加层，也不会显示为构建步骤，单个指令只能使用一次。

dockerfile目前支持以下两个解析器指令：

syntax
escape

2.1syntax

此功能仅在使用BuildKit后端时可用，在使用经典构建器后端时会被忽略。

我们可以在dockerfile文件开头指定此dockerfile语法解析器，如下：

# syntax=docker/dockerfile:1
# syntax=docker.io/docker/dockerfile:1
# syntax=example.com/user/repo:tag@sha256:abcdef...

通过syntax自定义 Dockerfile 语法解析器可以实现如下：

在不更新 Docker 守护进程的情况下自动修复错误
确保所有用户都使用相同的解析器来构建您的 Dockerfile
无需更新 Docker 守护程序即可使用最新功能
在将新功能或第三方功能集成到 Docker 守护进程之前试用它们
使用替代的构建定义，或创建自己的定义

官方dockerfile解析器：

docker/dockerfile:1 不断更新最新的1.x.x次要和补丁版本
docker/dockerfile:1.2 保持更新最新的1.2.x补丁版本，一旦版本1.3.0发布就停止接收更新。
docker/dockerfile:1.2.1 不可变：从不更新1.2版本

比如我们使用1.2最新补丁版本，我们的Dockerfile如下：

#syntax=docker/dockerfile:1.2
FROM busybox
run echo 123

我们启用buildkit构建

# DOCKER_BUILDKIT=1 docker build -t busybox:v1 .
[+] Building 5.8s (8/8) FINISHED                                                                           
 => [internal] load build definition from Dockerfile                                                  0.3s
 => => transferring dockerfile: 150B                                                                  0.0s
 => [internal] load .dockerignore                                                                     0.4s
 => => transferring context: 2B                                                                       0.0s
 => resolve image config for docker.io/docker/dockerfile:1.2                                          2.6s
 => CACHED docker-image://docker.io/docker/dockerfile:1.2@sha256:e2a8561e419ab1ba6b2fe6cbdf49fd92b95  0.0s
 => [internal] load metadata for docker.io/library/busybox:latest                                     0.0s
 => [1/2] FROM docker.io/library/busybox                                                              0.3s
 => [2/2] RUN echo 123                                                                                1.1s
 => exporting to image                                                                                0.3s
 => => exporting layers                                                                               0.3s
 => => writing image sha256:bd66a3db9598d942b68450a7ac08117830b4d66b68180b6e9d63599d01bc8a04          0.0s
 => => naming to docker.io/library/busybox:v1

2.2 escape

通过escape定义dockerfile的换行拼接转义符

# escape=\

如果要构建一个window镜像就有大用处了，我们看下面dockerfile

FROM microsoft/nanoserver
COPY testfile.txt c:\RUN dir c:

由于默认转义符为\，则在构建的第二步step2会是这样COPY testfile.txt c:\RUN dir c:显然与我们的预期不符。

我们把转义符换成`号即可

# escape=`

FROM microsoft/nanoserver
COPY testfile.txt c:\ `
RUN dir c:

3.类bash的环境变量

FROM busybox
ENV FOO=/bar
WORKDIR ${FOO}   # WORKDIR /bar
ADD . $FOO       # ADD . /bar
COPY \$FOO /quux # COPY $FOO /quux

${variable_name}语法还支持bash 指定的一些标准修饰符：

${variable:-word}表示如果variable变量被设置（存在），则结果将是该值。如果variable未设置，word则将是结果。
${variable:+word}表示如果variable被设置则为word结果，否则为空字符串。

4. .dockerignore

.dockerignore用于忽略CLI发送到docker守护进程的文件或目录。以下是一个.dockerignore文件

#.dockeringre可以有注释
*.md
!README.md
temp?
*/temp*
*/*/temp*

规则	行为
`/temp`	排除名称以`temp`根目录的任何直接子目录开头的文件和目录。例如，纯文件`/somedir/temporary.txt`被排除在外，目录`/somedir/temp`.
`//temp*`	排除`temp`从根目录下两级的任何子目录开始的文件和目录。例如，`/somedir/subdir/temporary.txt`被排除在外。
`temp?`	排除根目录中名称为一个字符扩展名的文件和目录`temp`。例如，`/tempa`和`/tempb`被排除在外。
！	不排除到文件

dockerfile命令

1.FROM

指定基础镜像。一般格式如下，[]括号内容可省略：

FROM [--platform=<platform>] <image>[:<tag>] [AS <name>]

特别需要注意的是FROM在一个dockerfile中可以多次出现，以实现多阶段构建。并且可以和ARG 参数交互。如下：

ARG  CODE_VERSION=latest
FROM base:${CODE_VERSION}
CMD  /code/run-app

FROM extras:${CODE_VERSION}
CMD  /code/run-extras

我们加载了两个通过arg参数指定的不同版本基础镜像。

2.RUN

RUN的两种形式

RUN 首选， (命令在shell中运行,即默认为/bin/sh -c )
RUN ["exec",param1,param2]

RUN命令主要是在镜像构建时执行，形成新层。比如我们经常会看到在构建镜像时安装相关软件。

RUN yum install -y gcc

当我们不想使用默认shell是可以采用exec形式实现

RUN ["/bin/bash","-c","yum install -y gcc"]

当然，exec形式可以不使用shell

RUN ["yum","install","-y","gcc"]

EXEC形式被解析为一个JSON阵列，所以必须使用双引号

3.CMD

CMD指令有三种形式：

CMD ["executable","param1","param2"]（exec形式，这是首选形式）
CMD ["param1","param2"]（作为ENTRYPOINT 的默认参数）
CMD command param1 param2（shell形式）

一个dockerfile中，应该只写一个CMD，如果有多个只有最后一个生效。在实际编写dockerfie时CMD命令常常用于为ENTRYPOINT提供默认值，后面我们会讲到。

与RUN相比，CMD在构建时不会执行任何操作，主要用于指定镜像的启动命令。CMD的启动命令可以被docker run 参数代替。

我们在dockerfile中添加如下CMD命令

CMD echo hello

构建镜像后，docker run 不添加参数，启动容器

[root@localhost dockerfiles]# docker run centos:v1
hello

当我们在docker run 添加参数后

[root@localhost dockerfiles]# docker run centos_env:v1 echo container
container

显然我们CMD命令echo hello已被docker run中的参数echo container取代。

4. LABEL

label用于添加镜像的元数据，采用key-value的形式。

LABEL <key>=<value>

比如我们添加如下LABEL

LABEL "miantainer"="iqsing.github.io"
LABEL "version"="v1.2"
LABEL "author"="waterman&&iqsing"

为了防止创建三层，我们最好通过一个标签来写。

LABEL "miantainer"="iqsing.github.io"       "version"="v1.2"       "author"="waterman&&iqsing"

我们通过docker inspect 来查看镜像label信息

#docker inspect centos_labels:v1

"Labels": {
    "author": "waterman&&iqsing",
    "miantainer": "iqsing.github.io",
    "org.label-schema.build-date": "20201204",
    "org.label-schema.license": "GPLv2",
    "org.label-schema.name": "CentOS Base Image",
    "org.label-schema.schema-version": "1.0",
    "org.label-schema.vendor": "CentOS",
    "version": "v1.2"
}

5.EXPOSE

EXPOSE 80/tcp
EXPOSE 161/udp

注意，EXPOSE只是告诉dockerfile的阅读者，我们构建的镜像需要暴露哪些端口，只是一个信息。在容器中还是需要通过-p选项来暴露端口。

6.ENV

ENV <key>=<value> ... 首先方式
或
ENV <key>  <value>

通过ENV指定环境变量，将作用于在构建阶段的所有后续指令的环境中。

ENV username="iqsing"

这样当我们启动这个容器后可以查看到容器信息已经附带了ENV环境变量

"Env": [
"PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin",
"username=iqsing"
],

当然我们也可以在启动容器时添加环境变量

docker run --env <key>=<value>

另外如果只需要在镜像构建期间使用环境变量，更好的选择是使用ARG参数来处理

7.ADD && COPY

ADD和COPY格式相似，有两种形式,包含空格的路径需要后一种形式：

ADD [--chown=<user>:<group>] <src>... <dest>
ADD [--chown=<user>:<group>] ["<src>",... "<dest>"]

COPY [--chown=<user>:<group>] <src>... <dest>
COPY [--chown=<user>:<group>] ["<src>",... "<dest>"]

在linux平台中可以对添加到远程目录或文件设置所属用户和组。

<SRC> 指复制新文件、目录或远程文件 URL，每<src>可以包含通配符，如下：

ADD hom* /mydir/
ADD hom?.txt /mydir/

一般使用中，ADD、COPY都遵守以下规则：

<src>路径必须是内部语境的构建; 你不能COPY ../something /something，因为 docker build是将上下文目录（和子目录）发送到 docker 守护进程。
如果<src>是目录，则复制目录的全部内容，包括文件系统元数据。
如果<src>是任何其他类型的文件，则将其与其元数据一起单独复制。在这种情况下，如果<dest>以斜杠结尾/，它将被视为一个目录，其内容<src>将被写入<dest>/base(<src>)。
如果<src>直接指定了多个资源，或者由于使用了通配符，则<dest>必须是目录，并且必须以斜杠结尾/。
如果<dest>不以斜杠结尾，则将其视为常规文件，并将其内容<src>写入<dest>.
如果<dest>不存在，则在其路径中创建所有丢失的目录。

特别的，当是可识别的压缩包如gzip、bzip2等tar包时，首先会将包添加到镜像中，然后自动解压。这可以说是与COPY命令在使用中的最大的区别。

8.ENTRYPOINT

exec首选和shell形式:

ENTRYPOINT ["executable", "param1", "param2"]
ENTRYPOINT command param1 param2

ENTRYPOINT 和CMD很相似，都是指定启动命令，不同之处在于ENTRYPOINT 指定的命令无法被docker run 参数取代。

我们在dockerfile中添加ENTRYPOINT

ENTRYPOINT echo hello container

构建镜像并启动容器，可以看到docker run 中的参数并未取代ENTRYPOINT

[root@localhost dockerfiles]# docker run centos_entrtpoint:v1 echo hello docker
hello container

这指令优秀的另一个地方在于可以和CMD指令做交互。让容器以应用或者服务运行。

经典操作：ENTRYPOINT + CMD = 默认容器命令参数

ENTRYPOINT是dockerfile中非常重要的指令，有必要另写一篇小作文深入学习一下这东西。

9.VOLUME

VOLUME ["/data"]

volume指令可以用于创建存储卷，我来看一下实例：

FROM centos
RUN mkdir /volume
RUN echo "hello world" > /volume/greeting
VOLUME /volume

构建镜像后，创建一个容器

[root@localhost dockerfiles]# docker create   --name centos_volume  centos_volue:v1
[root@localhost dockerfiles]# docker inspect centos_volume 

 "Mounts": [
            {
                "Type": "volume",
                "Name": "494cdb193984680045c36a16bbc2b759cf568b55c7e9b0852ccf6dff8bf79c46",
                "Source": "/var/lib/docker/volumes/494cdb193984680045c36a16bbc2b759cf568b55c7e9b0852ccf6dff8bf79c46/_data",
                "Destination": "/volume",
                "Driver": "local",
                "Mode": "",
                "RW": true,
                "Propagation": ""
            }
        ],

这样我们就通过VOLUME指令创建一个存储卷，你可以通过--volumes-from共享这个容器，可参考我之前的小作文《docker容器存储》

10.USER

指定指令集所属用户和组。组默认为root。可以作用于RUN，CMD和 ENTRYPOINT它们后面的指令。

USER <user>[:<group>]
或
USER <UID>[:<GID>]

11.WORKDIR

指定指令集所在的工作目录，若目录不存在将会自动创建。可作用于RUN，CMD， ENTRYPOINT，COPY和ADD

WORKDIR /path/to/workdir

12.ARG

ARG <name>[=<default value>]

ARG指令定义了一个变量，我们可以在docker build通过使用--build-arg <varname>=<value> 标志的命令将其传递给构建器。

如果ARG指令具有默认值并且在构建时没有传递任何值，则构建器使用默认值。
在多阶段构建应该添加多个ARG
ENV变量会覆盖ARG变量
与ENV变量相比，ARG变量多用于构建，无法驻留在镜像中。

13.STOPSIGNAL

配置容器退出时的系统调用

STOPSIGNAL signal

14.HEALTHCHECK

HEALTHCHECK指令有两种形式：

HEALTHCHECK [OPTIONS] CMD command （通过在容器内运行命令来检查容器健康状况）
HEALTHCHECK NONE （禁用从基础镜像继承的任何健康检查）

OPTIONS支持如下参数：

--interval=DURATION（默认值：30s）
--timeout=DURATION（默认值：30s）
--start-period=DURATION（默认值：0s）
--retries=N（默认值：3）

比如我们可以添加如下参数用于检查web服务：

HEALTHCHECK --interval=5m --timeout=3s   CMD curl -f http://localhost/ || exit 1

每五分钟左右检查一次web服务器能否在3s内响应。如果失败则返回状态码1

命令的退出状态指示容器的健康状态。可能的值为：

0：成功 - 容器运行良好，可以使用
1：不健康 - 容器无法正常工作
2：reserved - 不要使用这个退出代码

编写一个优质的Dockerfile并不容易，你需要考虑所构建镜像的迭代、服务稳定运行、启动与停止、安全等等问题，希望这篇小作文可以帮助你对Dockerfile有多一点了解。

您可以随意转载、修改、发布本文章，无需经过本人同意。 个人blog：iqsing.github.io

Dockerfile 理解ENTRYPOINT与CMD结合
Dockerfile 多阶段构建实践
Dockerfile 与docker容器安全实践

docker容器dockerfile详解

码农公寓

docker容器dockerfile详解

docker build

BuildKit

dockerfile格式

1、注释

2.解析器指令

2.1syntax

2.2 escape

3.类bash的环境变量

4. .dockerignore

dockerfile命令

1.FROM

2.RUN

3.CMD

4. LABEL

5.EXPOSE

6.ENV

7.ADD && COPY

8.ENTRYPOINT

9.VOLUME

10.USER

11.WORKDIR

12.ARG

13.STOPSIGNAL

14.HEALTHCHECK

NEXT

码农公寓

docker build

BuildKit

dockerfile格式

1、注释

2.解析器指令

2.1syntax

2.2 escape

3.类bash的环境变量

4. .dockerignore

dockerfile命令

1.FROM

2.RUN

3.CMD

4. LABEL

5.EXPOSE

6.ENV

7.ADD && COPY

8.ENTRYPOINT

9.VOLUME

10.USER

11.WORKDIR

12.ARG

13.STOPSIGNAL

14.HEALTHCHECK

NEXT

相关文章