容器的常用操作命令：

• create:创建容器
• run:运行容器
• pause:暂停容器
• unpause:取消暂停继续运行容器
• stop:发送SIGTERM停止容器
• kill:发送SIGKILL快速停止容器
• start:启动容器
• restart:重启容器
• attach:attach到容器启动进程的终端
• exec:在容器中启动新进程，通常使用"-it"参数
• logs:显示容器启动进程的控制台输出，用"-f”持续打印
• rm:从磁盘中删除容器

运行容器

• docker run 命令来运行一个容器。

• -d :以后台的方式启动

• --name : 为启动的容器命名

• docker ps 查看 Docker host中当前运行的容器

• -a ：显示所有状态的容器

进入容器

docker attach

• 使用 docker attach <container>，可以 attach 到容器「启动命令的终端」
• 使用 Ctrl+p 然后 Ctrl+q 组合键退出 attach终端

docker exec

docker exec -it <container> bash|sh 进入容器

• -it : 以交互模式打开 pseudo-tty(虚拟终端机)，执行 bash，其实就是打开了一个 bash 终端。
• exit : 命令可以退出容器，回到 docker host。

attach VS exec

attach与exec主要区别如下：

• attach 直接进入「容器启动命令的终端」，不会启动新的进程。
• exec 则是在容器中「打开新的终端」，并且可以启动新的进程。
• 如果想直接在终端中查看启动命令的输出，用 attach 其他情况使用 exec。
• 如果只是为了查看启动命令的输出，可以使用docker logs -f命令。
• -f 作用与 tail -f 类似，能持续打印输出。

容器操作

1 . docker stop 可以停止运行的容器

容器在 docker host 中实际上是一个进程，docker stop 命令本质上是向该进程发送一个 SIGTERM 信号。如果想快速停止容器，可使用docker kill命令，其作用是向容器进程发送SIGKILL信号。

2 . docker start 重新启动

对于处于停止状态的容器，可以通过 docker start 命令重新启动。docker start 会保留容器的第一次启动时的所有参数。

3 . docker restart 重启容器

容器可能会因某种错误而停止运行。对于服务类容器，我们通常希望在这种情况下容器能够自动重启。启动容器时设置 --restart 就可以达到这个效果。

例如 :

docker run -d --restart=always httpd

--restart=always 意味着无论容器因何种原因退出（包括正常退出），都立即重启；该参数的形式还可以是 --restart=on-failure:3，意思是如果启动进程退出代码非0，则重启容器，最多重启3次。

4 . docker pause/unpause 暂停容器/恢复容器

当我们需要对容器的文件系统打个快照或者 docker host 需要使用 CPU 的时候，可以 docker pause 暂停容器，处于暂停状态的容器不会占用 CPU 资源，直到使用 docker unpause 恢复容器运行。

5 . docker rm 删除容器

对于一些已经退出了的容器，仍然会占用 host 的文件系统资源，对于这些确定不再重启的容器，可以使用 docker rm 进行删除。

docker rm 可以一次性指定多个容器，例如，删除所有已经停止的容器：

docker rm $(docker ps -a -q)

• -v :删除与容器关联的卷。

❝注意：docker rm 是删除容器，docker rmi 是删除镜像

❞

6 . docker create 创建容器

可以先创建容器（docker create），稍后再启动（docker start）

• docker create 创建的容器处于 Created 状态
• docker start 将以后台方式启动容器
• docker run 命令 = docker create + docker start

资源限制

内存限额

容器可以使用的内存有 物理内存 和 swap。使用以下参数来控制容器对内存的使用量：

• -m 或 --memory：设置内存的使用限额
• --memory-swap：设置内存+swap的使用限额

例如：

docker run -m 200M --memory-swap=300M ubuntu

意思就是该容器最多使用 200MB 的内存和 100MB 的 swap。

默认 -m 和 --memory-swap 参数的值为 -1，即对容器使用内存和 swap 不进行限制。

CPU 限额

默认所有容器可以平等地使用 host CPU 资源并且没有限制。

Docker 可以通过-c或--cpu-shares设置容器使用CPU的权重。如果不指定，默认值为 1024。

也就是说，通过-c设置的cpu share 并不是CPU资源的绝对数量，而是一个相对的权重值。需要特别注意的是，这种按权重分配CPU只会发生在CPU资源紧张的情况下，若有容器处于空闲状态，为了充分利用CPU资源，其他容器也可以分配到全部可用的CPU。

Block IO 带宽限额

Block IO 指的是磁盘的读写，docker可通过设置权重、限制bps和iops的方式控制容器读写磁盘的带宽。

注：目前Block IO限额只对direct IO（不使用文件缓存）有效。

1 . block IO权重

默认所有容器能平等地读写磁盘，可以通过设置 --blkio-weight参数来改变容器block IO的优先级。

--blkio-weight 与 --cpu-shares类似，设置的是相对权重值，默认为500。

2 . 限制bps和iops

bps 是byte per second，每秒读写的数据量。 iops 是io per second，每秒IO的次数。

可通过以下参数控制容器的bps和iops:

• 「--device-read-bps」:限制读某个设备的bps。
• 「--device-write-bps」:限制写某个设备的bps。
• 「--device-read-iops」:限制读某个设备的iops。
• 「--device-write-iops」:限制写某个设备的iops。

例如：限制容器写 /dev/sha 的速率为 50 MB/s

docker run -it --device-write-bps /dev/sha:50MB ubuntu

cgroup 和 namespace

• cgroup 实现资源限额
• namespace 实现资源隔离

cgroup

cgroup 全称Control Group。Linux 操作系统通过 cgroup 可以设置进程使用CPU、内存和IO资源的限额。前面所介绍的--cpu-shares、-m、--device-write-bps 等实际上就是在配置 cgroup。

目录中，Linux会为每个容器创建一个cgroup目录，以容器长ID命名。

• /sys/fs/cgroup/cpu/docker/容器长ID : 保存的是与cpu相关的cgroup配置。
• /sys/fs/cgroup/memory/docker/容器长ID :n保存的是与内存的cgroup配置。
• /sys/fs/cgroup/blkio/docker/容器长ID : 保存的是与Block IO的cgroup配置。

namespace

在每个容器中，都可以看到文件系统、网卡等资源。拿网卡来说，每个容器都会认为自己有一块独立的网卡，即使host上只有一块物理网卡。这种方式使得容器更像一个独立的计算机。

Linux 实现这种方式的技术是 「namespace」。namespace 管理着 host 中全局唯一的资源，实现了容器间资源的隔离。

Linux使用了6种namespace,分别对应6种资源：Mount、UTS、IPC、PID、Network 和 User。

1 . Mount namespace

Mount namespace 让容器看上去拥有整个文件系统。容器有自己的/目录，可以执行mount和umount命令。这些操作只在当前容器中生效，不会影响到host和其他容器。

2 . UTS namespace

UTS namespace 让容器有自己的 hostname，默认情况下，容器的 hostname 是它的短D，可以通过 -h 或 --hostname 参数设置。例如：

docker run -h myhost -it ubuntu

3 . IPC namespace

IPC namespace 让容器拥有自己的共享内存和信号量(semaphore)来实现进程间通信，而不会与host和其他容器的IPC混在一起。

4 . PID namespace

容器在host中以进程的形式运行。而且进程的 PID 不同于 host 中对应进程的 PID，容器中 PID=1 的进程当然也不是 host 的 init 进程。

容器拥有自己独立的一套 PID，这就是PID namespace提供的功能。

5 . Network namespace

Network namespace 让容器拥有自己独立的网卡、IP、路由等资源。

6 . User namespace

User namespace 让容器能够管理自己的用户，host不能看到容器中创建的用户。