[停止指定Docker容器的命令行方法]的搜索结果

... 快速参考 维护者：Docker 社区和 MySQL 团队 从哪里获得帮助：Docker 社区论坛、Docker 社区 Slack 或 Stack Overflow 2.2. 支持的标签和各自的 Dockerfile 链接 8.0.28, 8.0, 8, latest 5.7.37, 5.7, 5 2.3. 快速参考（续） 在哪里提交问题：https://github.com/docker-library/mysql/issues 支持的架构：（更多信息）amd64 发布的镜像工件详情：repo-info repo 的 repos/mysql/ 目录（历史）（镜像元数据、传输大小等） 镜像更新：official-images repo 的 library/mysql 标签 官方图像 repo 的库/mysql 文件（历史） 此描述的来源：docs repo 的 mysql/ 目录（历史） 2.4. 如何使用镜像 2.4.1. 启动一个mysql服务器实例 启动 MySQL 实例很简单： $ docker run --name some-mysql -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql:tag 其中 some-mysql 是您要分配给容器的名称， my-secret-pw 是要为 MySQL root 用户设置的密码，而 tag 是指定您想要的 MySQL 版本的标签。 有关相关标签，请参见上面的列表。 以下是示例（通常要设置时区），注意-v 这里是挂载磁盘，请提前创建目录/var/mysql/data，/var/lib/mysql是容器里的原持久化目录： docker run --name mysql202201 -e MYSQL_ROOT_PASSWORD=123456 -e TZ=Asia/Shanghai -v /var/mysql/data:/var/lib/mysql -d mysql:5.7 2.4.2. 从 MySQL 命令行客户端连接到 MySQL 以下命令启动另一个 mysql 容器实例并针对您的原始 mysql 容器运行 mysql 命令行客户端，允许您针对您的数据库实例执行 SQL 语句： $ docker run -it --network some-network --rm mysql mysql -hsome-mysql -uexample-user -p 其中 some-mysql 是原始 mysql 容器的名称（连接到 some-network Docker 网络）。 此镜像也可以用作非 Docker 或远程实例的客户端： $ docker run -it --rm mysql mysql -hsome.mysql.host -usome-mysql-user -p 有关 MySQL 命令行客户端的更多信息，请参阅 MySQL 文档。 2.4.3. 容器外访问和查看 MySQL 日志 docker exec 命令允许您在 Docker 容器内运行命令。 以下命令行将为您提供 mysql 容器内的 bash shell： $ docker exec -it some-mysql bash 第一次启动一个MySQL容器后，需要对账户进行授权，否则无法远程访问，请先使用上面的命令进入容器内，然后使用以下命令连接到mysql服务： mysql -uroot -p 输入密码回车，进入mysql命令界面mysql> 接着授权root远程访问权限： mysql> GRANT ALL PRIVILEGES ON . TO 'root'@'%' IDENTIFIED BY '123456'; 然后就可以远程用MySQL客户端连接到MySQL容器了。 日志可通过 Docker 的容器日志获得： $ docker logs some-mysql 2.4.4. 使用自定义 MySQL 配置文件 MySQL 的默认配置可以在 /etc/mysql/my.cnf 中找到，其中可能包含额外的目录，例如 /etc/mysql/conf.d 或 /etc/mysql/mysql.conf.d。 请检查 mysql 映像本身中的相关文件和目录以获取更多详细信息。 如果 /my/custom/config-file.cnf 是你的自定义配置文件的路径和名称，你可以这样启动你的 mysql 容器（注意这个命令只使用了自定义配置文件的目录路径）： $ docker run --name some-mysql -v /my/custom:/etc/mysql/conf.d -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql:tag 这将启动一个新容器 some-mysql，其中 MySQL 实例使用来自 /etc/mysql/my.cnf 和 /etc/mysql/conf.d/config-file.cnf 的组合启动设置，后者的设置优先 . 没有 cnf 文件的配置 许多配置选项可以作为标志传递给 mysqld。 这将使您可以灵活地自定义容器，而无需 cnf 文件。 例如，如果要将所有表的默认编码和排序规则更改为使用 UTF-8 (utf8mb4)，只需运行以下命令： $ docker run --name some-mysql -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql:tag --character-set-server=utf8mb4 --collation-server=utf8mb4_unicode_ci 如果您想查看可用选项的完整列表，只需运行： $ docker run -it --rm mysql:tag --verbose --help 2.4.5. 环境变量 启动 mysql 镜像时，可以通过在 docker run 命令行中传递一个或多个环境变量来调整 MySQL 实例的配置。 请注意，如果您使用已包含数据库的数据目录启动容器，则以下任何变量都不会产生任何影响：任何预先存在的数据库在容器启动时将始终保持不变。 另请参阅 https://dev.mysql.com/doc/refman/5.7/en/environment-variables.html 以获取 MySQL 的环境变量的文档（尤其是 MYSQL_HOST 等变量，已知与此镜像一起使用时会导致问题）。 MYSQL_ROOT_PASSWORD 此变量是必需的，并指定将为 MySQL root 超级用户帐户设置的密码。 在上面的示例中，它被设置为 my-secret-pw。 MYSQL_DATABASE 此变量是可选的，允许您指定要在映像启动时创建的数据库的名称。 如果提供了用户/密码（见下文），则该用户将被授予对此数据库的超级用户访问权限（对应于 GRANT ALL）。 MYSQL_USER、MYSQL_PASSWORD 这些变量是可选的，用于创建新用户和设置该用户的密码。 该用户将被授予对 MYSQL_DATABASE 变量指定的数据库的超级用户权限（见上文）。 要创建用户，这两个变量都是必需的。 请注意，不需要使用此机制来创建超级用户超级用户，默认情况下会使用 MYSQL_ROOT_PASSWORD 变量指定的密码创建该用户。 MYSQL_ALLOW_EMPTY_PASSWORD 这是一个可选变量。 设置为非空值，例如 yes，以允许使用 root 用户的空白密码启动容器。 注意：除非您真的知道自己在做什么，否则不建议将此变量设置为 yes，因为这将使您的 MySQL 实例完全不受保护，从而允许任何人获得完全的超级用户访问权限。 MYSQL_RANDOM_ROOT_PASSWORD 这是一个可选变量。 设置为非空值，如 yes，为 root 用户生成随机初始密码（使用 pwgen）。 生成的根密码将打印到标准输出（生成的根密码：…）。 MYSQL_ONETIME_PASSWORD 一旦初始化完成，将 root（不是 MYSQL_USER 中指定的用户！）用户设置为过期，强制在第一次登录时更改密码。 任何非空值都将激活此设置。 注意：此功能仅在 MySQL 5.6+ 上受支持。 在 MySQL 5.5 上使用此选项将在初始化期间引发适当的错误。 MYSQL_INITDB_SKIP_TZINFO 默认情况下，入口点脚本会自动加载 CONVERT_TZ() 函数所需的时区数据。 如果不需要，任何非空值都会禁用时区加载。 2.4.6. Docker Secrets 作为通过环境变量传递敏感信息的替代方法，_FILE 可以附加到先前列出的环境变量中，从而导致初始化脚本从容器中存在的文件中加载这些变量的值。 特别是，这可用于从存储在 /run/secrets/<secret_name> 文件中的 Docker 机密中加载密码。 例如： $ docker run --name some-mysql -e MYSQL_ROOT_PASSWORD_FILE=/run/secrets/mysql-root -d mysql:tag 目前，这仅支持 MYSQL_ROOT_PASSWORD、MYSQL_ROOT_HOST、MYSQL_DATABASE、MYSQL_USER和 MYSQL_PASSWORD。 2.4.7. 初始化一个新实例 首次启动容器时，将使用提供的配置变量创建并初始化具有指定名称的新数据库。 此外，它将执行 /docker-entrypoint-initdb.d 中的扩展名为 .sh、.sql 和 .sql.gz 的文件。 文件将按字母顺序执行。 您可以通过将 SQL 转储安装到该目录并提供带有贡献数据的自定义镜像来轻松填充您的 mysql 服务。 SQL 文件将默认导入到 MYSQL_DATABASE 变量指定的数据库中。 2.5. 注意事项 2.5.1. 在哪里存储数据 重要提示：有几种方法可以存储在 Docker 容器中运行的应用程序使用的数据。 我们鼓励 mysql 映像的用户熟悉可用的选项，包括： 让 Docker 通过使用自己的内部卷管理将数据库文件写入主机系统上的磁盘来管理数据库数据的存储。 这是默认设置，对用户来说简单且相当透明。 缺点是对于直接在主机系统（即外部容器）上运行的工具和应用程序，可能很难找到这些文件。 在主机系统（容器外部）上创建一个数据目录，并将其挂载到容器内部可见的目录。 这会将数据库文件放置在主机系统上的已知位置，并使主机系统上的工具和应用程序可以轻松访问这些文件。 缺点是用户需要确保目录存在，例如主机系统上的目录权限和其他安全机制设置正确。 Docker 文档是了解不同存储选项和变体的一个很好的起点，并且有多个博客和论坛帖子在该领域讨论和提供建议。 我们将在这里简单地展示上面后一个选项的基本过程： 在主机系统上的合适卷上创建数据目录，例如 /my/own/datadir。 像这样启动你的 mysql 容器： $ docker run --name some-mysql -v /my/own/datadir:/var/lib/mysql -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql:tag 命令的 -v /my/own/datadir:/var/lib/mysql 部分将底层主机系统中的 /my/own/datadir 目录挂载为容器内的 /var/lib/mysql ，默认情况下 MySQL 将 写入其数据文件。 2.5.2. 在 MySQL 初始化完成之前没有连接 如果容器启动时没有初始化数据库，则会创建一个默认数据库。 虽然这是预期的行为，但这意味着在初始化完成之前它不会接受传入的连接。 在使用同时启动多个容器的自动化工具（例如 docker-compose）时，这可能会导致问题。 如果您尝试连接到 MySQL 的应用程序没有处理 MySQL 停机时间或等待 MySQL 正常启动，那么在服务启动之前放置一个连接重试循环可能是必要的。 有关官方图像中此类实现的示例，请参阅 WordPress 或 Bonita。 2.5.3. 针对现有数据库的使用 如果您使用已经包含数据库的数据目录（特别是 mysql 子目录）启动 mysql 容器实例，则应该从运行命令行中省略 $MYSQL_ROOT_PASSWORD 变量； 在任何情况下都将被忽略，并且不会以任何方式更改预先存在的数据库。 2.5.4. 以任意用户身份运行 如果你知道你的目录的权限已经被适当地设置了（例如对一个现有的数据库运行，如上所述）或者你需要使用特定的 UID/GID 运行 mysqld，那么可以使用 --user 调用这个镜像设置为任何值（root/0 除外）以实现所需的访问/配置： $ mkdir data$ ls -lnd datadrwxr-xr-x 2 1000 1000 4096 Aug 27 15:54 data$ docker run -v "$PWD/data":/var/lib/mysql --user 1000:1000 --name some-mysql -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql:tag 2.5.5. 创建数据库转储 大多数普通工具都可以工作，尽管在某些情况下它们的使用可能有点复杂，以确保它们可以访问 mysqld 服务器。 确保这一点的一种简单方法是使用 docker exec 并从同一容器运行该工具，类似于以下内容： $ docker exec some-mysql sh -c 'exec mysqldump --all-databases -uroot -p"$MYSQL_ROOT_PASSWORD"' > /some/path/on/your/host/all-databases.sql 2.5.6. 从转储文件恢复数据 用于恢复数据。 您可以使用带有 -i 标志的 docker exec 命令，类似于以下内容： $ docker exec -i some-mysql sh -c 'exec mysql -uroot -p"$MYSQL_ROOT_PASSWORD"' < /some/path/on/your/host/all-databases.sql 备注 docker安装完MySQL，后面就是MySQL容器在跑，基本上就是当MySQL服务去操作，以前MySQL怎么做现在还是一样怎么做，只是个别操作因为docker包了一层，麻烦一点。 有需要的话，我们也可以基于MySQL官方镜像去定制我们自己的镜像，就比如主从镜像之类的。 本篇文章为转载内容。原文链接：https://blog.csdn.net/muluo7fen/article/details/122731852。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

Docker Daemon , Docker Daemon是Docker系统的核心服务进程，它在后台运行并负责管理Docker容器的整个生命周期，包括创建、启动、停止和删除容器，以及与镜像仓库进行交互以下载或上传镜像。在本文中，Docker Daemon的配置文件路径根据不同运行模式（root模式和rootless模式）有所不同，默认位于\ /etc/docker/daemon.json\ 或用户主目录下的\ ~/.docker/daemon.json\ 。 TLS (Transport Layer Security) 模式 , TLS是一种用于网络通信加密的安全协议，确保在互联网上数据传输的安全性和私密性。在Docker环境中，启用TLS模式可以对Docker守护进程与客户端之间的通信进行加密，防止敏感信息被窃取或篡改。当Docker Daemon需要使用到TLS证书时，会按照特定顺序查找这些证书文件，例如优先检查命令行参数指定的证书路径，其次考虑环境变量DOCKER_CERT_PATH等。 containerd Socket (sock) , containerd是一个独立于Docker Daemon的高性能容器运行时，提供了容器的生命周期管理功能。在Docker生态系统中，containerd.sock是一个Unix Domain Socket，它作为containerd与Docker以及其他组件之间进行通信的重要接口。在文中提到的\ /run/containerd/containerd.sock\ 即为containerd服务监听的通信端点，Docker通过连接这个socket与containerd进行交互，执行如创建、启动和停止容器等操作。

... pull 2、启动容器 run 3、进入容器 exec 1、镜像： docker hub官网搜索nginx 下载：docker pull nginx 查看下载情况：docker images 2、容器： 创建容器命令：docker run [-d 后台启动] [–name nginx01 起别名] [-p 3344:80 端口:协议] [镜像(包含版本)] (创建)启动容器实例：docker run -d --name nginx01 -p 3344:80 nginx 查看容器运行状况：docker ps 本机访问测试一下：curl localhost:3344 ■ 端口暴露 -p 宿主机端口:容器内部端口 浏览器输入: http://服务器ip地址:3344/ 3344 是暴露的端口 ----接下来： 进入(正在运行的)容器内部：docker exec -it nginx01 /bin/bash [root@iZwz9535z41cmgcpkm7i81Z /] docker exec -it nginx01 /bin/bashroot@d1a29e4791e3:/ whereis nginxnginx: /usr/sbin/nginx /usr/lib/nginx /etc/nginx /usr/share/nginxroot@d1a29e4791e3:/ cd /etc/nginxroot@d1a29e4791e3:/etc/nginx lsconf.d fastcgi_params mime.types modules nginx.conf scgi_params uwsgi_paramsroot@d1a29e4791e3:/etc/nginx ■ /bin/bash 是Linux的一种常用shell脚本，用于解释执行Linux命令，根据镜像支持的shell的不同，可以使用不同的的shell脚本。 容器，也是和虚拟机一样是虚拟技术呀，通过脚本执行/bin/bash实现，创建并进入容器内部docker ● 思考问题：每次改动nginx配置文件，都需要进入容器内部，十分麻烦： 要是可以在容器外部提供一个映射路径，达到在容器修改文件名，容器内部就可以自动修改？-v 数据卷技术！ 二、部署tomcat docker run 可以不用pull，能自动下载 ctrl+c退出 docker pull tomcat:9.0 启动运行，应该加上版本号: docker run -d -p 3355:8080 --name tomcat01 tomcat:9.0 进入容器 docker exec -it tomcat01 /bin/bash ● 部署tomcat，发现问题: 1、linux命令少了 2、没有webapps 这是阿里云镜像的原因：默认使用最小镜像，所有不必要的都剔除了，保证最小可运行环境 可以通过拷贝的方式，解决没有webapps的问题： 在浏览器中输入：http://服务器ip地址:3355/ 进行访问 ● 思考问题：我们以后部署项目，如果每次都要进入容器很麻烦？ 要是可以在容器外部提供一个映射路径，webapps，我们在外部放置项目，容器内部就可以自动修改？-v 数据卷技术！ 三、部署es+kibana ● Elasticsearch 的问题： es 暴露的端口很多 es 十分耗内存 es 的数据一般需要放置到安全目录！挂载 1、问题1：es 十分耗内存 下载启动运行elastissearch 之后，Linux系统就变得特别卡 ＃ 启动了 linux就卡住了docker stats＃ 查看 cpu的状态 ＃es 是十分耗内存的，1．xG＃ 1核2G(学生机)！ ＃ 查看 docker stats 2、问题2：es 需要暴露的端口很多 -p (下载)启动 elasticsearch$ docker run -d --name elasticsearch01 -p 9200:9200 -p 9300:9300 -e "discovery.type=single-node" elasticsearch:7.6.2 查看内存占用情况docker stats 先感觉stop一下docker stop ba18713ca536 3、es 十分耗内存的解决：增加内存的限制，修改配置文件 -e 环境配置修改 通过 -e 限制内存docker run -d --name elasticsearch02 -p 9200:9200 -p 9300:9300 -e "discovery.type=single-node" -e ES_JAVA_OPTS="-Xms64m -Xmx512m" elasticsearch:7.6.2 [root@iZwz9535z41cmgcpkm7i81Z /] curl localhost:9200/{"name" : "14329968b00f","cluster_name" : "docker-cluster","cluster_uuid" : "0iDu-G_KTo-4X8KORDj1XQ","version" : {"number" : "7.6.2","build_flavor" : "default","build_type" : "docker","build_hash" : "ef48eb35cf30adf4db14086e8aabd07ef6fb113f","build_date" : "2020-03-26T06:34:37.794943Z","build_snapshot" : false,"lucene_version" : "8.4.0","minimum_wire_compatibility_version" : "6.8.0","minimum_index_compatibility_version" : "6.0.0-beta1"},"tagline" : "You Know, for Search"} 4、思考：用kibana连接elasticsearch? 思考(kibana连接elasticsearch)网络如何连接过去 ☺ 参考来源： 狂神的B站视频《【狂神说Java】Docker最新超详细版教程通俗易懂》 https://www.bilibili.com/video/BV1og4y1q7M4 如果本文对你有帮助的话记得给一乐点个赞哦，感谢！ 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_45630258/article/details/124785912。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...事实上，随着云计算和容器技术的发展，虚拟化问题的复杂性和多样性也在不断增加。近期，红帽公司发布了其最新版的KVM（Kernel-based Virtual Machine）虚拟化解决方案，强化了对最新硬件架构的支持，并优化了资源调度性能，为解决虚拟机启动难题提供了更为先进的工具。 同时，开源社区也在持续关注并改善虚拟化环境下的安全问题。例如，2021年的一个重大安全更新中，Libvirt项目修复了一系列可能影响虚拟机启动与运行的安全漏洞，提醒用户及时更新以保持系统的稳定与安全。 此外，对于希望深入研究虚拟化技术的读者来说，Docker和Kubernetes等容器技术已成为现代IT架构的重要组成部分，它们在轻量化、快速部署以及资源利用效率等方面的优势，也为解决传统虚拟机问题提供了新的思路。通过学习这些前沿技术，不仅能够有效应对虚拟机无法启动的问题，还能进一步提升对整体IT基础设施的理解与管理能力。

...此外，在当前云原生与容器化技术盛行的时代背景下，学习如何在Docker或Kubernetes环境中部署和管理MySQL也极为重要。MySQL官方已提供适用于多种容器平台的镜像，便于用户快速搭建高可用、弹性伸缩的数据库集群。 同时，随着数据安全问题日益凸显，MySQL数据库的安全加固措施同样值得重点关注。包括但不限于使用SSL加密传输数据、设置复杂的账户权限体系、定期审计与备份数据库，以及采用诸如防火墙规则限制访问来源等多种手段，确保数据库系统的安全稳定运行。 综上所述，无论是紧跟MySQL最新版本特性、深入钻研数据库内部原理，还是关注新技术环境下的部署实践与安全防护策略，都是每一位数据库管理人员持续进阶的必修课程。

Docker , Docker是一种开源的应用容器引擎，它通过将应用程序及其依赖项打包在可移植的容器中，实现了软件开发、打包和部署的一致性环境。在本文中，Docker作为一种容器化平台，使得用户能够在单一主机上运行多个相互隔离的应用程序，并能够方便地管理和优化服务器资源。 容器 , 在Docker环境下，容器是一种轻量级的虚拟化技术实现，每个容器包含一个应用程序及其所有依赖（如库、配置文件等），并在主机操作系统上以隔离的方式运行。容器与宿主机共享内核，但拥有独立的用户空间，从而实现高效、快速且资源占用少的应用部署和运行环境。 Docker run命令 , docker run是Docker CLI（命令行界面）中的一个核心命令，用于创建并启动一个新的Docker容器。当执行该命令时，用户可以指定容器使用的镜像、容器运行时的配置选项以及命名容器等信息。例如，在文中提到的docker run --name my-container docker-image命令，就是用来基于特定的docker-image创建并启动一个名为my-container的新容器。

Docker , Docker是一个开源的应用容器引擎，它通过容器化技术将应用程序及其依赖环境打包成一个可移植、自包含的镜像，能够在不同的Linux操作系统上以一致的方式运行。在本文中，用户通过手动输入Docker命令来管理（如创建、启动、停止和进入容器）这些容器。 Docker Hub , Docker Hub是Docker官方提供的镜像仓库服务，类似于软件应用商店，其中包含了大量由社区和官方发布的预构建Docker镜像。用户可以通过docker pull命令从Docker Hub下载所需的镜像，以便快速部署和运行各种应用程序或服务。 容器 , 在Docker环境下，容器是一种轻量级、独立运行的一组进程，它们与主机和其他容器共享内核，但每个容器拥有自己独立的文件系统、网络配置和资源限制。容器提供了隔离且一致的运行环境，使得应用程序可以在不同环境中实现无缝迁移和快速部署。 端口映射 , 端口映射是在Docker容器与宿主机之间建立的一种网络通信机制，通过-p选项在docker run命令中指定。例如，-p 80:80表示将宿主机的80端口与容器内部的80端口进行映射，这样外部客户端可以通过访问宿主机的80端口来与容器内的服务进行通信。 Docker Compose , 尽管文章没有直接提到，但它是Docker生态中的一个重要工具，用于定义和运行多容器应用程序。通过编写一个YAML格式的docker-compose.yml文件，可以轻松地定义一组相关联的服务以及它们之间的依赖关系，然后使用一条命令来启动和协调所有容器的生命周期。 Kubernetes（简称K8s） , 虽然在给出的文章摘要中未详细阐述，但在现代云原生架构中，Kubernetes是一个流行的开源容器编排系统，它可以自动化容器应用的部署、扩展和管理。在文中提及的新版Docker优化了与Kubernetes的集成体验，意味着用户能够更加便捷地将基于Docker的容器部署到Kubernetes集群中，实现大规模容器集群的高效管理和调度。

...删除相应内容。 随着容器技术越来越火热，各种大会上标杆企业分享容器化收益，带动其他还未实施容器的企业也在考虑实施容器化。不过真要在自己企业实践容器的时候，会认识到容器化不是一个简单工程，甚至会有一种茫然不知从何入手的感觉。 本文总结了通用的企业容器化实施线路图，主要针对企业有存量系统改造为容器，或者部分新开发的系统使用容器技术的场景。不包含企业系统从0开始全新构建的场景，这种场景相对简单。 容器实践路线图 企业着手实践容器的路线，建议从3个维度评估，然后根据评估结果落地实施。3个评估维度为：商业目标，技术选型，团队配合。 商业目标是重中之重，需要回答为何要容器化，这个也是牵引团队在容器实践路上不断前行的动力，是遇到问题是解决问题的方向指引，最重要的是让决策者认同商业目标，并能了解到支持商业目标的技术原理，上下目标对齐才好办事。 商业目标确定之后，需要确定容器相关的技术选型，容器是一种轻量化的虚拟化技术，与传统虚拟机比较有优点也有缺点，要找出这些差异点识别出对基础设施与应用的影响，提前识别风险并采取应对措施。 技术选型明确之后，在公司或部门内部推广与评审，让开发人员、架构师、测试人员、运维人员相关人员与团队理解与认同方案，听取他们意见，他们是直接使用容器的客户，不要让他们有抱怨。 最后是落地策略，一般是选取一些辅助业务先试点，在实践过程中不断总结经验。 商业目标 容器技术是以应用为中心的轻量级虚拟化技术，而传统的Xen与KVM是以资源为中心的虚拟化技术，这是两者的本质差异。以应用为中心是容器技术演进的指导原则，正是在这个原则指导下，容器技术相对于传统虚拟化有几个特点：打包既部署、镜像分层、应用资源调度。 打包即部署：打包即部署是指在容器镜像制作过程包含了传统软件包部署的过程（安装依赖的操作系统库或工具、创建用户、创建运行目录、解压、设置文件权限等等），这么做的好处是把应用及其依赖封装到了一个相对封闭的环境，减少了应用对外部环境的依赖，增强了应用在各种不同环境下的行为一致性，同时也减少了应用部署时间。 镜像分层：容器镜像包是分层结构，同一个主机上的镜像层是可以在多个容器之间共享的，这个机制可以极大减少镜像更新时候拉取镜像包的时间，通常应用程序更新升级都只是更新业务层（如Java程序的jar包），而镜像中的操作系统Lib层、运行时（如Jre）层等文件不会频繁更新。因此新版本镜像实质有变化的只有很小的一部分，在更新升级时候也只会从镜像仓库拉取很小的文件，所以速度很快。 应用资源调度：资源（计算/存储/网络）都是以应用为中心的，中心体现在资源分配是按照应用粒度分配资源、资源随应用迁移。 基于上述容器技术特点，可以推导出容器技术的3大使用场景：CI/CD、提升资源利用率、弹性伸缩。这3个使用场景自然推导出通用的商业层面收益：CI/CD提升研发效率、提升资源利用率降低成本、按需弹性伸缩在体验与成本之间达成平衡。 当然，除了商业目标之外，可能还有其他一些考虑因素，如基于容器技术实现计算任务调度平台、保持团队技术先进性等。 CI/CD提升研发效率 为什么容器技术适合CI/CD CI/CD是DevOps的关键组成部分，DevOps是一套软件工程的流程，用于持续提升软件开发效率与软件交付质量。DevOps流程来源于制造业的精益生产理念，在这个领域的领头羊是丰田公司，《丰田套路》这本书总结丰田公司如何通过PDCA(Plan-Do-Check-Act)方法实施持续改进。PDCA通常也称为PDCA循环，PDCA实施过程简要描述为：确定目标状态、分析当前状态、找出与目标状态的差距、制定实施计划、实施并总结、开始下一个PDCA过程。 DevOps基本也是这么一个PDCA流程循环，很容易认知到PDCA过程中效率是关键，同一时间段内，实施更多数量的PDCA过程，收益越高。在软件开发领域的DevOps流程中，各种等待（等待编译、等待打包、等待部署等）、各种中断（部署失败、机器故障）是影响DevOps流程效率的重要因素。 容器技术出来之后，将容器技术应用到DevOps场景下，可以从技术手段消除DevOps流程中的部分等待与中断，从而大幅度提升DevOps流程中CI/CD的效率。 容器的OCI标准定义了容器镜像规范，容器镜像包与传统的压缩包(zip/tgz等)相比有两个关键区别点：1）分层存储；2）打包即部署。 分层存储可以极大减少镜像更新时候拉取镜像包的时间，通常应用程序更新升级都只是更新业务层（如Java程序的jar包），而镜像中的操作系统Lib层、运行时（如Jre）层等文件不会频繁更新。因此新版本镜像实质有变化的只有很小的一部分，在更新升级时候也只会从镜像仓库拉取很小的文件，所以速度很快。 打包即部署是指在容器镜像制作过程包含了传统软件包部署的过程（安装依赖的操作系统库或工具、创建用户、创建运行目录、解压、设置文件权限等等），这么做的好处是把应用及其依赖封装到了一个相对封闭的环境，减少了应用对外部环境的依赖，增强了应用在各种不同环境下的行为一致性，同时也减少了应用部署时间。 基于容器镜像的这些优势，容器镜像用到CI/CD场景下，可以减少CI/CD过程中的等待时间，减少因环境差异而导致的部署中断，从而提升CI/CD的效率，提升整体研发效率。 CI/CD的关键诉求与挑战 快 开发人员本地开发调试完成后，提交代码，执行构建与部署，等待部署完成后验证功能。这个等待的过程尽可能短，否则开发人员工作容易被打断，造成后果就是效率降低。如果提交代码后几秒钟就能够完成部署，那么开发人员几乎不用等待，工作也不会被打断；如果需要好几分钟或十几分钟，那么可以想象，这十几分钟就是浪费了，这时候很容易做点别的事情，那么思路又被打断了。 所以构建CI/CD环境时候，快是第一个需要考虑的因素。要达到快，除了有足够的机器资源免除排队等待，引入并行编译技术也是常用做法，如Maven3支持多核并行构建。 自定义流程 不同行业存在不同的行业规范、监管要求，各个企业有一套内部质量规范，这些要求都对软件交付流程有定制需求，如要求使用商用的代码扫描工具做安全扫描，如构建结果与企业内部通信系统对接发送消息。 在团队协同方面，不同的公司，对DevOps流程在不同团队之间分工有差异，典型的有开发者负责代码编写构建出构建物（如jar包），而部署模板、配置由运维人员负责；有的企业开发人员负责构建并部署到测试环境；有的企业开发人员直接可以部署到生产环境。这些不同的场景，对CI/CD的流程、权限管控都有定制需求。 提升资源利用率 OCI标准包含容器镜像标准与容器运行时标准两部分，容器运行时标准聚焦在定义如何将镜像包从镜像仓库拉取到本地并更新、如何隔离运行时资源这些方面。得益于分层存储与打包即部署的特性，容器镜像从到镜像仓库拉取到本地运行速度非常快（通常小于30秒，依赖镜像本身大小等因素），基于此可以实现按需分配容器运行时资源（cpu与内存），并限定单个容器资源用量；然后根据容器进程资源使用率设定弹性伸缩规则，实现自动的弹性伸缩。 这种方式相对于传统的按峰值配置资源方式，可以提升资源利用率。 按需弹性伸缩在体验与成本之间达成平衡 联动弹性伸缩 应用运行到容器，按需分配资源之后，理想情况下，Kubernetes的池子里没有空闲的资源。这时候扩容应用实例数，新扩容的实例会因资源不足调度失败。这时候需要资源池能自动扩容，加入新的虚拟机，调度新扩容的应用。 由于应用对资源的配比与Flavor有要求，因此新加入的虚拟机，应当是与应用所需要的资源配比与Flavor一致的。缩容也是类似。 弹性伸缩还有一个诉求点是“平滑”，对业务做到不感知，也称为“优雅”扩容/缩容。 请求风暴 上面提到的弹性伸缩一般是有计划或缓慢增压的场景，存在另外一种无法预期的请求风暴场景，这种场景的特征是无法预测、突然请求量增大数倍或数十倍、持续时间短。典型的例子如行情交易系统，当行情突变的时候，用户访问量徒增，持续几十分钟或一个小时。 这种场景的弹性诉求，要求短时间内能将资源池扩大数倍，关键是速度要快（秒级），否则会来不及扩容，系统已经被冲垮（如果无限流的话）。 目前基于 Virtual Kubelet 与云厂家的 Serverless 容器，理论上可以提供应对请求风暴的方案。不过在具体实施时候，需要考虑传统托管式Kubernetes容器管理平台与Serverless容器之间互通的问题，需要基于具体厂家提供的能力来评估。 基于容器技术实现计算调度平台 计算（大数据/AI训练等）场景的特征是短时间内需要大量算力，算完即释放。容器的环境一致性以及调度便利性适合这种场景。 技术选型 容器技术是属于基础设施范围，但是与传统虚拟化技术（Xen/KVM）比较，容器技术是应用虚拟化，不是纯粹的资源虚拟化，与传统虚拟化存在差异。在容器技术选型时候，需要结合当前团队在应用管理与资源管理的现状，对照容器技术与虚拟化技术的差异，选择最合适的容器技术栈。 什么是容器技术 (1)容器是一种轻量化的应用虚拟化技术。 在讨论具体的容器技术栈的时候，先介绍目前几种常用的应用虚拟化技术，当前有3种主流的应用虚拟化技术: LXC，MicroVM，UniKernel（LibOS）。 LXC: Linux Container，通过 Linux的 namespace/cgroups/chroot 等技术隔离进程资源，目前应用最广的docker就是基于LXC实现应用虚拟化的。 MicroVM: MicroVM 介于 传统的VM 与 LXC之间，隔离性比LXC好，但是比传统的VM要轻量，轻量体现在体积小（几M到几十M）、启动快（小于1s）。 AWS Firecracker 就是一种MicroVM的实现，用于AWS的Serverless计算领域，Serverless要求启动快，租户之间隔离性好。 UniKernel: 是一种专用的（特定编程语言技术栈专用）、单地址空间、使用 library OS 构建出来的镜像。UniKernel要解决的问题是减少应用软件的技术栈层次，现代软件层次太多导致越来越臃肿：硬件+HostOS+虚拟化模拟+GuestOS+APP。UniKernel目标是：硬件+HostOS+虚拟化模拟+APP-with-libos。 三种技术对比表： 开销 体积 启动速度 隔离/安全 生态 LXC 低（几乎为0） 小 快（等同进程启动） 差（内核共享） 好 MicroVM 高 大 慢(小于1s) 好 中（Kata项目） UniKernel 中 中 中 好 差 根据上述对比来看，LXC是应用虚拟化首选的技术，如果LXC无法满足隔离性要，则可以考虑MicroVM这种技术。当前社区已经在着手融合LXC与MicroVM这两种技术，从应用打包/发布调度/运行层面统一规范，Kubernetes集成Kata支持混合应用调度特性可以了解一下。 UniKernel 在应用生态方面相对比较落后，目前在追赶中，目前通过 linuxkit 工具可以在UniKernel应用镜像中使用docker镜像。这种方式笔者还未验证过，另外docker镜像运行起来之后，如何监控目前还未知。 从上述三种应用虚拟化技术对比，可以得出结论: （2)容器技术与传统虚拟化技术不断融合中。 再从规范视角来看容器技术，可以将容器技术定义为: (3)容器=OCI+CRI+辅助工具。 OCI规范包含两部分，镜像规范与运行时规范。简要的说，要实现一个OCI的规范，需要能够下载镜像并解压镜像到文件系统上组成成一个文件目录结构，运行时工具能够理解这个目录结构并基于此目录结构管理（创建/启动/停止/删除）进程。 容器(container)的技术构成就是实现OCI规范的技术集合。 对于不同的操作系统（Linux/Windows），OCI规范的实现技术不同，当前docker的实现，支持Windows与Linux与MacOS操作系统。当前使用最广的是Linux系统，OCI的实现，在Linux上组成容器的主要技术： chroot: 通过分层文件系统堆叠出容器进程的rootfs，然后通过chroot设置容器进程的根文件系统为堆叠出的rootfs。 cgroups: 通过cgroups技术隔离容器进程的cpu/内存资源。 namesapce: 通过pid, uts, mount, network, user namesapce 分别隔离容器进程的进程ID，时间，文件系统挂载，网络，用户资源。 网络虚拟化: 容器进程被放置到独立的网络命名空间，通过Linux网络虚拟化veth, macvlan, bridge等技术连接主机网络与容器虚拟网络。 存储驱动: 本地文件系统，使用容器镜像分层文件堆叠的各种实现驱动，当前推荐的是overlay2。 广义的容器还包含容器编排，即当下很火热的Kubernetes。Kubernetes为了把控容器调度的生态，发布了CRI规范，通过CRI规范解耦Kubelet与容器，只要实现了CRI接口，都可以与Kubelet交互，从而被Kubernetes调度。OCI规范的容器实现与CRI标准接口对接的实现是CRI-O。 辅助工具用户构建镜像，验证镜像签名，管理存储卷等。 容器定义 容器是一种轻量化的应用虚拟化技术。 容器=OCI+CRI+辅助工具。 容器技术与传统虚拟化技术不断融合中。 什么是容器编排与调度 选择了应用虚拟化技术之后，还需要应用调度编排，当前Kubernetes是容器领域内编排的事实标准，不管使用何种应用虚拟化技术，都已经纳入到了Kubernetes治理框架中。 Kubernetes 通过 CRI 接口规范，将应用编排与应用虚拟化实现解耦：不管使用何种应用虚拟化技术（LXC, MicroVM, LibOS），都能够通过Kubernetes统一编排。 当前使用最多的是docker，其次是cri-o。docker与crio结合kata-runtime都能够支持多种应用虚拟化技术混合编排的场景，如LXC与MicroVM混合编排。 docker(now): Moby 公司贡献的 docker 相关部件，当前主流使用的模式。 docker(daemon) 提供对外访问的API与CLI(docker client) containerd 提供与 kubelet 对接的 CRI 接口实现 shim负责将Pod桥接到Host namespace。 cri-o: 由 RedHat/Intel/SUSE/IBM/Hyper 公司贡献的实现了CRI接口的符合OCI规范的运行时，当前包括 runc 与 kata-runtime ，也就是说使用 cir-o 可以同时运行LXC容器与MicroVM容器，具体在Kata介绍中有详细说明。 CRI-O: 实现了CRI接口的进程，与 kubelet 交互 crictl: 类似 docker 的命令行工具 conmon: Pod监控进程 other cri runtimes: 其他的一些cri实现，目前没有大规模应用到生产环境。 容器与传统虚拟化差异 容器(container)的技术构成 前面主要讲到的是容器与编排，包括CRI接口的各种实现，我们把容器领域的规范归纳为南向与北向两部分，CRI属于北向接口规范，对接编排系统，OCI就属于南向接口规范，实现应用虚拟化。 简单来讲，可以这么定义容器： 容器(container) ~= 应用打包(build) + 应用分发(ship) + 应用运行/资源隔离(run)。 build-ship-run 的内容都被定义到了OCI规范中，因此也可以这么定义容器： 容器(container) == OCI规范 OCI规范包含两部分，镜像规范与运行时规范。简要的说，要实现一个OCI的规范，需要能够下载镜像并解压镜像到文件系统上组成成一个文件目录结构，运行时工具能够理解这个目录结构并基于此目录结构管理（创建/启动/停止/删除）进程。 容器(container)的技术构成就是实现OCI规范的技术集合。 对于不同的操作系统（Linux/Windows），OCI规范的实现技术不同，当前docker的实现，支持Windows与Linux与MacOS操作系统。当前使用最广的是Linux系统，OCI的实现，在Linux上组成容器的主要技术： chroot: 通过分层文件系统堆叠出容器进程的rootfs，然后通过chroot设置容器进程的根文件系统为堆叠出的rootfs。 cgroups: 通过cgroups技术隔离容器进程的cpu/内存资源。 namesapce: 通过pid, uts, mount, network, user namesapce 分别隔离容器进程的进程ID，时间，文件系统挂载，网络，用户资源。 网络虚拟化: 容器进程被放置到独立的网络命名空间，通过Linux网络虚拟化veth, macvlan, bridge等技术连接主机网络与容器虚拟网络。 存储驱动: 本地文件系统，使用容器镜像分层文件堆叠的各种实现驱动，当前推荐的是overlay2。 广义的容器还包含容器编排，即当下很火热的Kubernetes。Kubernetes为了把控容器调度的生态，发布了CRI规范，通过CRI规范解耦Kubelet与容器，只要实现了CRI接口，都可以与Kubelet交互，从而被Kubernetes调度。OCI规范的容器实现与CRI标准接口对接的实现是CRI-O。 容器与虚拟机差异对比 容器与虚拟机的差异可以总结为2点：应用打包与分发的差异，应用资源隔离的差异。当然，导致这两点差异的根基是容器是以应用为中心来设计的，而虚拟化是以资源为中心来设计的，本文对比容器与虚拟机的差异，更多的是站在应用视角来对比。 从3个方面对比差异：资源隔离，应用打包与分发，延伸的日志/监控/DFX差异。 1.资源隔离 隔离机制差异 容器 虚拟化 mem/cpu cgroup, 使用时候设定 require 与 limit 值 QEMU, KVM network Linux网络虚拟化技术(veth,tap,bridge,macvlan,ipvlan), 跨虚拟机或出公网访问:SNAT/DNAT, service转发:iptables/ipvs, SR-IOV Linux网络虚拟化技术(veth,tap,bridge,macvlan,ipvlan), QEMU, SR-IOV storage 本地存储: 容器存储驱动 本地存储：virtio-blk 差异引入问题与实践建议 应用程序未适配 cgroup 的内存隔离导致问题: 典型的是 JVM 虚拟机，在 JVM 启动时候会根据系统内存自动设置 MaxHeapSize 值，通常是系统内存的1/4，但是 JVM 并未考虑 cgroup 场景，读系统内存时候任然读取主机的内存来设置 MaxHeapSize，这样会导致内存超过 cgroup 限制从而导致进程被 kill 。问题详细阐述与解决建议参考Java inside docker: What you must know to not FAIL。 多次网络虚拟化问题: 如果在虚拟机内使用容器，会多一层网络虚拟化，并加入了SNAT/DNAT技术, iptables/ipvs技术，对网络吞吐量与时延都有影响（具体依赖容器网络方案），对问题定位复杂度变高，同时还需要注意网络内核参数调优。 典型的网络调优参数有：转发表大小 /proc/sys/net/netfilter/nf_conntrack_max 使用iptables 作为service转发实现的时候，在转发规则较多的时候，iptables更新由于需要全量更新导致非常耗时，建议使用ipvs。详细参考[华为云在 K8S 大规模场景下的 Service 性能优化实践](https://zhuanlan.zhihu.com/p/37230013)。 容器IP地址频繁变化不固定，周边系统需要协调适配，包括基于IP地址的白名单或防火墙控制策略需要调整，CMDB记录的应用IP地址需要适配动态IP或者使用服务名替代IP地址。 存储驱动带来的性能损耗: 容器本地文件系统是通过联合文件系统方式堆叠出来的，当前主推与默认提供的是overlay2驱动，这种模式应用写本地文件系统文件或修改已有文件，使用Copy-On-Write方式，也就是会先拷贝源文件到可写层然后修改，如果这种操作非常频繁，建议使用 volume 方式。 2.应用打包与分发 应用打包/分发/调度差异 容器 虚拟化 打包 打包既部署 一般不会把应用程序与虚拟机打包在一起，通过部署系统部署应用 分发 使用镜像仓库存储与分发 使用文件存储 调度运行 使用K8S亲和/反亲和调度策略 使用部署系统的调度能力 差异引入问题与实践建议 部署提前到构建阶段，应用需要支持动态配置与静态程序分离；如果在传统部署脚本中依赖外部动态配置，这部分需要做一些调整。 打包格式发生变化，制作容器镜像需要注意安全/效率因素，可参考Dockerfile最佳实践 容器镜像存储与分发是按layer来组织的，镜像在传输过程中放篡改的方式是传统软件包有差异。 3.监控/日志/DFX 差异 容器 虚拟化 监控 cpu/mem的资源上限是cgroup定义的；containerd/shim/docker-daemon等进程的监控 传统进程监控 日志采集 stdout/stderr日志采集方式变化；日志持久化需要挂载到volume；进程会被随机调度到其他节点导致日志需要实时采集否则分散很难定位 传统日志采集 问题定位 进程down之后自动拉起会导致问题定位现场丢失；无法停止进程来定位问题因为停止即删除实例 传统问题定位手段 差异引入问题实践与建议 使用成熟的监控工具，运行在docker中的应用使用cadvisor+prometheus实现采集与警报，cadvisor中预置了常用的监控指标项 对于docker管理进程（containerd/shim/docker-daemon）也需要一并监控 使用成熟的日志采集工具，如果已有日志采集Agent，则可以考虑将日志文件挂载到volume后由Agent采集；需要注意的是stderr/stdout输出也要一并采集 如果希望容器内应用进程退出后保留现场定位问题，则可以将Pod的restartPolicy设置为never，进程退出后进程文件都还保留着(/var/lib/docker/containers)。但是这么做的话需要进程没有及时恢复，会影响业务，需要自己实现进程重拉起。 团队配合 与周边的开发团队、架构团队、测试团队、运维团队评审并交流方案，与周边团队达成一致。 落地策略与注意事项 逐步演进过程中网络互通 根据当前已经存在的基础实施情况，选择容器化落地策略。通常使用逐步演进的方式，由于容器化引入了独立的网络namespace导致容器与传统虚拟机进程网络隔离，逐步演进过程中如何打通隔离的网络是最大的挑战。 分两种场景讨论： 不同服务集群之间使用VIP模式互通: 这种模式相对简单，基于VIP做灰度发布。 不同服务集群之间使用微服务点对点模式互通(SpringCloud/ServiceComb/Dubbo都是这一类): 这种模式相对复杂，在逐步容器化过程中，要求容器网络与传统虚拟机网络能够互通（难点是在虚拟机进程内能够直接访问到容器网络的IP地址），当前解决这个问题有几种方法。 自建Kubernetes场景，可使用开源的kube-router，kube-router 使用BGP协议实现容器网络与传统虚拟机网络之间互通，要求网络交换机支持BGP协议。 使用云厂商托管Kubernetes场景，选择云厂商提供的VPC-Router互通的网络插件，如阿里云的Terway网络插件, 华为云的Underlay网络模式。 选择物理机还是虚拟机 选择物理机运行容器还是虚拟机运行容器，需要结合基础设施与业务隔离性要求综合考虑。分两种场景：自建IDC、租用公有云。 自建IDC: 理想情况是使用物理机组成一个大集群，根据业务诉求，对资源保障与安全性要求高的应用，使用MicorVM方式隔离；普通应用使用LXC方式隔离。所有物理机在一个大集群内，方便削峰填谷提升资源利用率。 租用公有云：当前公有云厂家提供的裸金属服务价格较贵且只能包周期，使用裸金属性价比并不高，使用虚拟机更合适。 集群规模与划分 选择集群时候，是多个应用共用一个大集群，还是按应用分组分成多个小集群呢？我们把节点规模数量>=1000的定义为大集群，节点数<1000的定义为小集群。 大集群的优点是资源池共享容器，方便资源调度（削峰填谷）；缺点是随着节点数量与负载数量的增多，会引入管理性能问题（需要量化）: DNS 解析表变大，增加/删除 Service 或 增加/删除 Endpoint 导致DNS表刷新慢 K8S Service 转发表变大，导致工作负载增加/删除刷新iptables/ipvs记录变慢 etcd 存储空间变大，如果加上ConfigMap，可能导致 etcd 访问时延增加 小集群的优点是不会有管理性能问题，缺点是会导致资源碎片化，不容易共享。共享分两种情况: 应用之间削峰填谷：目前无法实现 计算任务与应用之间削峰填谷：由于计算任务是短时任务，可以通过上层的任务调度软件，在多个集群之间分发计算任务，从而达到集群之间资源共享的目的。 选择集群规模的时候，可以参考上述分析，结合实际情况选择适合的集群划分。 Helm? Helm是为了解决K8S管理对象散碎的问题，在K8S中并没有"应用"的概念，只有一个个散的对象(Deployment, ConfigMap, Service, etc)，而一个"应用"是多个对象组合起来的，且这些对象之间还可能存在一定的版本配套关系。 Helm 通过将K8S多个对象打包为一个包并标注版本号形成一个"应用"，通过 Helm 管理进程部署/升级这个"应用"。这种方式解决了一些问题（应用分发更方便）同时也引入了一些问题（引入Helm增加应用发布/管理复杂度、在K8S修改了对象后如何同步到Helm）。对于是否需要使用Helm，建议如下： 在自运维模式下不使用Helm: 自运维模式下，很多场景是开发团队交付一个运行包，运维团队负责部署与配置下发，内部通过兼容性或软件包与配置版本配套清单、管理软件包与配置的配套关系。 在交付软件包模式下使用Helm: 交付软件包模式下，Helm 这种把散碎组件组装为一个应用的模式比较适合，使用Helm实现软件包分发/部署/升级场比较简单。 Reference DOCKER vs LXC vs VIRTUAL MACHINES Cgroup与LXC简介 Introducing Container Runtime Interface (CRI) in Kubernetes frakti rkt appc-spec OCI 和 runc：容器标准化和 docker Linux 容器技术史话：从 chroot 到未来 Linux Namespace和Cgroup Java inside docker: What you must know to not FAIL QEMU,KVM及QEMU-KVM介绍 kvm libvirt qemu实践系列(一)-kvm介绍 KVM 介绍（4）：I/O 设备直接分配和 SR-IOV [KVM PCI/PCIe Pass-Through SR-IOV] prometheus-book 到底什么是Unikernel？ The Rise and Fall of the Operating System The Design and Implementation of the Anykernel and Rump Kernels UniKernel Unikernel：从不入门到入门 OSv 京东如何打造K8s全球最大集群支撑万亿电商交易 Cloud Native App Hub 更多云最佳实践 https://best.practices.cloud 本篇文章为转载内容。原文链接：https://blog.csdn.net/sinat_33155975/article/details/118013855。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

Docker 是一个非常普及的容器化技术，它能够让程序员在不同的环境中创建和执行应用程序。但是，有时候在使用 Docker 的过程中，我们也许会碰到一个非常奇怪的问题：时钟不正确。 在 Docker 容器中，时钟通常会在启动容器时自动与主机时钟同步化。但是，当我们在容器中执行持续执行的程序或者服务时，时钟也许会出现偏移或者不同步化的情况，这会导致程序产生异常或者错误。 这种情况的原因通常是容器内部的时钟与主机系统的时钟存在差异。当容器内的时钟发生偏移时，我们可以使用 Docker 提供的命令行工具来手动进行时钟同步化，例如： docker run --rm -it --privileged alpine /bin/sh hwclock -s 上述命令将登录 Alpine 容器，并使用 hwclock 命令将内部时钟与主机时钟同步化。在其它容器中，您可以使用相同的方法处理时钟不同步化的问题。 另外，如果您需要在容器中执行数据库或其它需要精确时间的应用程序时，您可以考虑使用特定的 Docker 镜像来处理时钟同步化问题，例如： docker run --rm -it --privileged centos /bin/sh yum -y install ntp ntpdate pool.ntp.org 上述命令将在 CentOS 容器中安装 NTP 服务，并使用 ntpdate 命令从 pool.ntp.org 同步化时钟。在其它镜像中，您也可以使用类似的方法来处理时钟同步化问题。 总而言之，时钟不正确是 Docker 容器中常见的问题，但是我们可以使用 Docker 提供的命令行工具或者特定镜像来手动同步化时钟，从而处理这个问题。

...深入理解了如何启动和停止MySQL服务后，我们还可以进一步探究数据库管理的更多实用技巧与最新动态。近日，MySQL 8.0版本推出了多项重大更新，包括增强安全性、性能优化以及对JSON数据类型支持的改进。对于企业级用户而言，掌握新版本特性并进行升级迁移，能够有效提升数据处理效率和安全性。 与此同时，随着云计算和容器化技术的发展，越来越多的企业选择将MySQL部署在如Docker或云服务器上。例如，AWS RDS（Amazon Relational Database Service）提供了一键式部署MySQL服务的功能，并集成了自动备份、故障切换等高级特性，大大简化了数据库运维工作。 另外，针对数据库优化及安全防护方面，定期审计MySQL日志、合理设置索引策略、采用SSL加密通信协议以保护数据传输安全等也是现代数据库管理员必备的知识点。近期，业界还提出了通过机器学习算法预测数据库性能瓶颈，提前进行资源调度的新方法，这一创新研究为MySQL数据库的高效稳定运行提供了新的可能。 综上所述，在实际操作MySQL服务的基础上，关注其最新版本特性、云端部署趋势以及数据库优化和安全领域的前沿动态，将有助于我们在日常工作中更高效地利用MySQL这一强大而灵活的关系型数据库管理系统。

Docker是一种容器技术，可以将应用程序和它们的依赖资源封装在一个容器中，使它们可以在任何系统上运行。但是，有时候Docker容器或许会崩溃，这时需要重启容器。 docker ps -a // 查看现有全部容器以及运行情况 docker start<容器ID>// 开启已暂停的容器 docker attach<容器ID>// 登陆容器 ctrl + p + q // 离开并将容器暂停 docker exec -it<容器ID>/bin/bash // 以命令行交互模式方式登陆容器 docker top<容器ID>// 显示容器内运行的进程 docker logs<容器ID>// 查看容器的日志 docker stats<容器ID>// 查看容器的资源占用情况 如果以上命令无法解决问题，可以考虑删除容器重新构建并运行： docker stop<容器ID>// 停止当前崩溃的容器 docker rm<容器ID>// 删除容器 docker images // 查看所有镜像 docker rmi<镜像ID>// 删除相关的镜像 docker build -t<新容器名称>. // 构建新容器 docker run -d<新容器名称>// 运行新容器 重启Docker容器的方法有许多，需要依据具体问题具体分析，选择最佳方案进行重启。

...动。我们可以使用以下命令检查： bash sudo systemctl status mysql 如果输出显示为active (running)，那么MySQL服务器已经启动。如果看到提示说inactive (dead)或者其他一些错误消息，那很可能意味着我们需要亲自动手启动MySQL服务器了。 解决方法是使用sudo systemctl start mysql命令来启动MySQL服务器。 二、问题二 MySQL数据库配置文件存在问题 MySQL数据库的配置文件通常位于/etc/mysql/my.cnf或者/etc/my.cnf。这个文件里头记录了一些MySQL的基础配置内容，就像端口号啊、日志存放的路径啥的，都是些重要的小细节。 如果配置文件存在错误，那么可能会导致无法正常连接到MySQL服务器。我们可以尝试修改这个文件，并重启MySQL服务器来解决问题。 下面是一个简单的配置文件示例： ini [mysqld] port=3306 log-error=/var/log/mysql/error.log datadir=/var/lib/mysql 在这个配置文件中，我们设置了MySQL服务器监听的端口号为3306，日志文件路径为/var/log/mysql/error.log，数据目录为/var/lib/mysql。 三、问题三 MySQL数据库账户权限不足 在连接MySQL数据库时，我们通常需要提供一个数据库用户名和密码。如果我们提供的账号没有足够的权限，那么可能会导致连接失败。 解决方法是登录到MySQL服务器，然后使用GRANT命令来给指定的账号赋予相应的权限。 例如，我们可以使用以下命令来给用户testuser赋予对所有数据库的所有操作权限： sql GRANT ALL PRIVILEGES ON . TO 'testuser'@'localhost' IDENTIFIED BY 'password'; 在这个命令中，ALL PRIVILEGES表示赋予所有的权限，.表示所有数据库的所有表，'localhost'表示从本地主机连接，'password'是用户的密码。 四、问题四 防火墙设置阻止了连接 如果我们的Linux系统的防火墙设置阻止了外部连接，那么我们也无法连接到MySQL服务器。 解决方法是检查防火墙的规则，确保它允许MySQL服务器监听的端口（通常是3306）对外部连接。 我们可以通过以下命令来查看防火墙的规则： bash sudo iptables -L -n -t filter --line-numbers 如果输出中没有包含3306端口，那么我们可以使用以下命令来添加规则： bash sudo iptables -A INPUT -p tcp --dport 3306 -j ACCEPT 在这个命令中，-p tcp表示只处理TCP协议的连接请求，--dport 3306表示目标端口号为3306，-j ACCEPT表示接受该连接请求。 总结一下，虽然在Linux系统上连接MySQL数据库可能会遇到一些问题，但只要我们了解并熟悉这些问题的原因，就很容易找到解决方案。希望这篇文章能够帮助你更好地理解和解决Linux下连接MySQL数据库的问题。

...领域中关于应用部署与容器优化的最新趋势与实践。近期，Apache Tomcat 10.x版本的发布引入了对Jakarta EE 9的支持，这意味着开发者在部署WAR文件时需要考虑兼容性问题以及新的配置标准。例如，一些依赖项的命名空间已从 javax. 更改为 jakarta. ，因此在打包WAR文件前应确保所有相关库和框架都进行了相应的更新。 同时，云原生时代的到来也影响着应用程序部署的方式。随着Kubernetes等容器编排系统的广泛应用，WAR文件可以在Docker容器中运行，并通过Kubernetes进行自动化部署和管理。这种情况下，除了检查WAR文件本身完整性及依赖关系外，还需关注Dockerfile构建、镜像推送以及Kubernetes YAML配置文件编写等方面的正确性。 此外，为了提升应用性能和运维效率，微服务架构下的轻量级Web容器如Jetty、Undertow等也越来越受到青睐。这些容器对于WAR文件的处理方式与Tomcat有所不同，开发者在迁移或选择容器时，应当参考官方文档并结合实际业务需求，以避免部署过程中可能出现的问题。 综上所述， WAR文件部署虽是基础操作，但在不断发展的技术背景下，我们仍需紧跟时代步伐，关注新技术、新工具对部署流程的影响，从而提高部署成功率和应用运行效率。

...或虚拟机，它负责运行容器化应用。节点由Master组件管理，并通过kubelet代理与Master通信。节点包含运行Pod所需的环境和服务，如Docker、kube-proxy和kubelet等。 Taint 和 Label , 在Kubernetes中，Label是用于对对象（如节点、Pods、服务等）进行分类和组织的关键字/值对，使得用户可以根据标签来选择和操作资源。而Taint则是节点的一个属性，带有特定taint的节点只能调度接受相应toleration（即能容忍该taint）的Pod，用以实现节点的亲和性和反亲和性策略。 Pod , 在Kubernetes中，Pod是最小的部署单元，它是容器的逻辑分组，代表集群上运行的一个进程及其存储资源。一个Pod中可以包含一个或多个紧密相关的容器，这些容器共享网络命名空间、IP地址以及存储卷，从而形成一个协同工作的应用程序单元。 kubectl , kubectl是Kubernetes提供的命令行工具，用于与集群进行交互，执行各种操作，例如创建、修改、删除资源对象，检查集群状态，以及获取日志和监控信息等。在处理Pod不在预期节点上运行的问题时，运维人员会频繁使用kubectl执行诸如查看节点状态、编辑DaemonSet配置、调整Pod数量等相关操作。

... 此外，随着云计算和容器化技术的发展，Docker已经成为部署应用的标准方式之一。许多开发者发现，通过Dockerfile将Maven项目打包成Docker镜像，不仅可以简化部署流程，还能提高应用的一致性和可移植性。最近，一篇名为《使用Docker和Maven构建可移植的应用程序》的文章，详细介绍了这一过程，对于希望通过容器化提升应用交付效率的开发者来说，非常值得一看。 另外，Maven社区也在不断更新和改进，以适应新的开发需求。例如，Maven 4版本引入了一些新特性，如更强大的插件系统和更加灵活的配置选项，这些更新使得Maven在处理大型复杂项目时变得更加高效。近期，一篇名为《Maven 4新特性解析》的技术文章，详细解读了这些新特性的优势及其应用场景，对于希望利用最新技术提升项目管理水平的开发者来说，是一份不可多得的参考资料。 最后，随着DevOps理念的深入人心，越来越多的开发者开始重视代码质量和团队协作。SonarQube作为一个流行的静态代码分析工具，能够帮助开发者及时发现代码中的潜在问题，从而提高代码质量。近期，一篇名为《SonarQube与Maven集成的最佳实践》的文章，详细介绍了如何将SonarQube集成到Maven项目中，以实现自动化代码审查，这对希望提升代码质量和团队协作效率的开发者来说，具有很高的实用价值。

...源代码编译与main方法的关系后，我们进一步探索现代Java开发中的相关实践和最新趋势。近期，随着模块化编程的发展以及JDK 17的发布，对类加载机制和程序入口点有了更灵活的处理方式。例如，Java平台模块系统（JPMS）允许开发者定义模块化的组件，并通过明确指定模块间的依赖关系实现自动编译和加载，这使得即使没有传统意义上的main方法，也能构建可运行的Java应用程序。 同时，对于微服务架构和容器化部署场景，通常采用框架或容器（如Spring Boot、Docker等）来管理应用的生命周期，它们提供了自定义启动器和引导过程，不再强制要求每个服务包含一个main方法。在这种情况下，业务逻辑被封装在服务类中，由框架统一调度执行。 此外，随着函数式编程思想在Java领域的普及，Java开发者开始更多地利用Lambda表达式和函数接口，甚至借助第三方库（如JavaFX、Quarkus、Vert.x等）提供的无main方法运行模式，简化了小型脚本和事件驱动型应用的编写和执行流程。 总而言之，在当今Java开发领域中，虽然main方法仍然是独立Java应用程序的标准入口点，但随着技术进步和编程范式的演变，Java代码的执行和编译机制正变得日益丰富和多元化。为了紧跟这一发展步伐，开发者需要不断学习和掌握新的工具、框架及编程模式，以应对日益复杂的应用场景需求。

...赖于JUnit，并且指定了编译器版本为Java 8。这样一来，不管是你在自己的电脑上搞开发，还是把东西搬到服务器上去跑，我们都能确保整个项目稳稳当当，每次都能得到一样的结果。 3. npm之旅 Node.js的魔法盒 与Maven类似，npm（Node Package Manager）是Node.js生态系统中的一个核心组件，它负责管理JavaScript库和模块。npm通过package.json文件来记录项目的依赖和配置信息。下面是一个基本的package.json示例： json { "name": "my-app", "version": "1.0.0", "description": "A simple Node.js application", "main": "index.js", "scripts": { "start": "node index.js" }, "author": "Your Name", "license": "ISC", "dependencies": { "express": "^4.17.1" } } 在这个例子中，我们创建了一个使用Express框架的简单Node.js应用。用npm，我们就能超级方便地装和管这些依赖，让项目的维护变得简单多了。 4. 跨平台部署的挑战与解决方案 尽管Maven和npm各自在其领域内表现出色，但在跨平台部署时，我们仍然会遇到一些挑战。例如，不同操作系统之间的差异可能会导致构建失败。为了应对这些问题，我们可以采取以下几种策略： - 标准化构建环境：确保所有开发和生产环境都使用相同的工具版本和配置。 - 容器化技术：利用Docker等容器技术来封装整个应用及其依赖，从而实现真正的跨平台一致性。 - 持续集成/持续部署(CI/CD)：通过Jenkins、GitLab CI等工具实现自动化的构建和部署流程，减少人为错误。 5. 结语 拥抱变化，享受技术带来的乐趣 在这次旅程中，我们不仅了解了Maven和npm的基本概念和使用方法，还探讨了如何利用它们进行跨平台部署。技术这东西啊，变化莫测，但只要你保持好奇心，愿意不断学习，就能一步步往前走，还能从中找到不少乐子呢！不管是搞Java的小伙伴还是喜欢Node.js的朋友，都能用上这些给力的工具，让你的项目管理技能更上一层楼！希望这篇分享能够激发你对技术的好奇心，让我们一起在编程的海洋中畅游吧！ --- 通过这样的结构和内容安排，我们不仅介绍了Maven和npm的基本知识，还穿插了个人思考和实际操作的例子，力求让文章更加生动有趣。希望这样的方式能让你感受到技术背后的温度和乐趣！

... 4. 跨平台开发与容器化趋势：随着云原生理念的普及，嵌入式开发开始关注容器化技术在边缘计算场景的应用。Docker和Kubernetes等工具正在帮助开发者更便捷地构建和部署跨平台的嵌入式应用，通过统一的容器环境简化了不同处理器架构间的移植难题。 5. 用户权限管理与安全实践：针对Linux系统安全问题，近年来有许多关于如何强化用户权限管理的研究报告和技术文章发表。例如，SELinux策略的深入解读，以及如何结合最小权限原则进行服务账户设置，避免因权限过高导致的安全风险，这些内容都是嵌入式系统安全运维的重要参考。

Docker已经成为了当前最普遍的容器引擎之一，其让应用程序的运行环境更加轻量化和可移植。在Docker中，我们可以通过记录来了解正在运行的容器的状况，以便进行问题定位和效能提升。下面是一些在Docker中查看记录的方式。 1. Docker logs命令： $ docker logs [OPTIONS] CONTAINER 这个命令可以将容器的常规输出和异常输出作为记录输出。默认情况下，记录输出相当于使用stderr和stdout常规输出，如果希望验证输出的记录个体，可以使用以下选项： $ docker logs --tail [num] CONTAINER 此命令将仅输出num条最近的记录。此命令不仅可以查看正在运行的容器的记录，也可以查看已停止容器的记录。 2. Docker API： https://docs.docker.com/engine/api/v1.40/operation/ContainerLogs 通过Docker API，可以接收容器的记录流。可以使用以下请求方法： GET /containers/{id}/logs 使用此方式，可以通过curl来接收所有容器的记录，例如： $ curl -i \ -H 'Content-Type: application/json' \ -H 'Authorization: Bearer [token]' \ -H 'Accept: application/vnd.docker.raw-stream' \ "http://localhost:2375/containers/63b5470f6a15/logs?stream=1" 3. 在Docker Compose中： $ docker-compose logs 如果使用Docker Compose来控制应用程序（例如通过docker-compose.yml来定义应用程序），则可以使用以下命令来接收应用程序的所有容器的记录： $ docker-compose logs [SERVICE] 通过以上方式，我们可以获得容器的所有输出记录。通过查看容器的记录，我们可以做到快速排除错误或识别容器中的性能问题。

Docker , Docker是一种开源的应用容器引擎，它通过将应用程序及其依赖打包到可移植的容器中，实现了软件的标准化部署和运行。在本文语境下，用户使用Docker来拉取、管理和运行官方提供的镜像，但在国内网络环境下遇到了访问不稳定的问题。 镜像（Image） , 在Docker环境下，镜像是一个轻量级、可执行的独立软件包，包含运行某个软件所需的所有内容，包括代码、运行时环境、系统工具库等。当用户执行docker pull命令拉取镜像时，实际上是下载这个包含了应用运行环境及应用本身的文件集合。 国内镜像源 , 由于网络原因，直接从国外的Docker Hub获取镜像可能会遇到速度慢或无法连接的问题。国内镜像源是针对这一问题提供的一种解决方案，它通常是托管在国内服务器上的Docker Registry服务，用于同步或缓存Docker Hub上的官方镜像。用户通过配置Docker以使用这些国内镜像源，可以提高镜像拉取的速度和稳定性。 daemon.json , 在Docker中，daemon.json是一个重要的配置文件，用于存储Docker守护进程的全局配置选项。当需要更改Docker的默认行为，如添加镜像加速器（registry mirror）、设置日志级别等时，就需要编辑这个文件。在本文中，作者通过修改daemon.json文件中的\ registry-mirrors\ 字段，指定使用国内的镜像源。 systemctl , systemctl是Systemd系统和服务管理器的一部分，用于管理系统级别的服务，例如启动、停止、重启服务以及查看服务状态等。在本文中，作者使用systemctl命令来重新加载Docker服务的配置并重启Docker服务，以便新的镜像源配置生效。

Docker , Docker是一款开源的应用容器引擎，它使用容器化技术将应用程序及其依赖项打包在一起，形成一个可移植、自包含的软件单元。在不同的操作系统和环境下，Docker容器可以确保应用的一致性运行，极大地提高了开发、测试和部署的效率与灵活性。 Docker镜像 , Docker镜像是创建Docker容器的基础，是一个只读模板，包含了运行某个软件服务所需的所有文件系统结构、环境变量以及配置信息。在本文中，“liumiaocn/thunder-linux”就是一个迅雷的Docker镜像，通过docker pull命令从Docker Hub仓库下载到本地，然后基于此镜像启动迅雷的Docker容器。 数据卷挂载（-v 参数） , 在Docker中，数据卷是宿主机和容器之间共享数据的一种方式。通过 -v 参数可以在启动容器时指定宿主机目录与容器内部目录的映射关系，使得容器内产生的数据能够持久化存储在宿主机上。在本文的具体场景下，使用 -v $ HOME /Downloads:/root/Downloads 将主机用户的下载目录挂载到容器的根用户下载目录，这样迅雷在容器内下载的文件就可以直接保存在主机的 ~/Downloads 目录下，方便用户在宿主机层面访问和管理这些文件。 X11服务器 (DISPLAY) , X11是一个用于Unix和类Unix系统图形界面显示的网络协议。在Docker容器中运行需要图形界面的应用程序时，通常需要将容器连接到宿主机的X11服务器，以便在宿主机上显示应用程序窗口。在文章中，通过 -e DISPLAY=$DISPLAY 和 -v /tmp/.X11-unix:/tmp/.X11-unix 参数设置，实现了迅雷这个图形界面应用在Docker容器内运行时，其界面能正确显示在宿主机桌面上的功能。

Docker日志等级输出：深入理解与实战查看最后100行 一、Docker日志概览 在我们日常的开发运维工作中，Docker作为容器化技术的领军者，极大地简化了应用部署和管理的过程。而Docker容器产生的日志，则是我们洞察程序运行状态、排查问题的重要依据。这篇东西，咱们要聊的就是怎么让Docker日志等级输出变得灵活可控，再就是怎么轻轻松松看透最后那100行日志的高效秘籍。 二、Docker日志级别设置 在Docker中，日志级别的调整通常是在容器启动时通过--log-driver和--log-opt参数指定。比如，我们可以设定日志级别为info，以便只输出信息级别及以上的日志： bash docker run -it --log-driver=json-file --log-opt max-size=10m --log-opt max-file=3 --log-opt labels=info your-image-name 上述命令设置了日志驱动为json-file（这是Docker默认的日志驱动），同时限制了单个日志文件最大10M，最多保存3个文件，并且只记录info及以上级别的日志。 三、查看Docker容器日志的几种方式 1. 使用docker logs命令 Docker提供了一个内置命令docker logs来查看容器的日志，默认情况下，它会显示容器的所有输出。 bash docker logs -f --tail 100 your-container-id-or-name 上述命令中的-f表示实时（follow）输出日志，--tail 100则表示仅显示最后100行日志内容。这就是咱们今天讨论主题的重点操作环节，说白了，就是用来快速瞅一眼某个容器最近都干了啥。 2. 结合journalctl查看systemd驱动的日志 若你配置了Docker使用journald日志驱动，可以借助journalctl工具查看： bash journalctl -u docker.service --since "1 hour ago" _COMM=docker 这里并没有直接实现查看容器最后100行日志，但你可以根据实际需要调整journalctl的查询条件以达到类似效果。 四、深入思考 为什么我们需要查看日志最后100行？ 当我们面对复杂的系统环境或突发的问题时，快速定位到问题发生的时间窗口至关重要。瞧瞧Docker容器日志最后的100条信息，就像是翻看最近发生的故事一样，能让我们闪电般地抓住最新的动态，更快地寻找到解决问题的关键线索。这就好比侦探破案，总是先从最新的线索入手，逐步揭开谜团。 五、实践探索 自定义日志输出格式与存储 除了基础的日志查看功能外，Docker还支持丰富的自定义日志处理选项。例如，我们可以将日志发送至syslog服务器，或者对接第三方日志服务如Logstash等。对于资深用户来说，这种灵活性简直就是个宝藏，它意味着无限多的可能性。你可以根据自家业务的具体需求，随心所欲地打造一套最适合自己的日志管理系统，就像私人订制一般，让一切都变得恰到好处。 总结来说，理解和熟练掌握Docker日志管理，尤其是如何便捷地查看日志最后100行，是每个Docker使用者必备技能之一。经过不断动手尝试和摸爬滚打，我们定能把Docker这玩意儿玩得溜起来，让它在咱们的开发运维工作中大显身手，发挥出更大的价值。下次当你面对茫茫日志海洋时，希望这篇指南能助你快速锁定目标，犹如海上的灯塔照亮前行的方向。