Docker入门之安装Docker

曾经终败给现在 2023-06-23 14:23 3阅读 0赞

# **目录** #

目录 1

1. 前言 2

2. 基本概念 3

2.1. 仓库 3

2.2. 镜像ID和容器ID 3

3. 创建网桥 3

4. 安装Docker 4

4.1. 二进制安装 4

4.1.1. 下载安装 4

4.1.2. 配置服务 5

4.1.3. 启动服务 6

4.2. rpm安装 6

4.3. yum安装 6

4.3.1. 添加Docker仓库 7

4.3.2. 安装docker-ce 7

4.3.3. 启动服务 9

5. Docker基本操作 10

5.1. 查看帮助 10

5.2. 启动Docker服务 10

5.3. 查看有哪些镜像 10

5.4. 从仓库拉取镜像 10

5.5. 运行（启动）容器 11

5.6. 查看指定的镜像 12

5.7. 修改镜像存放目录 12

5.8. 查看容器日志 16

5.9. 查看容器列表 16

5.10. 优雅停止容器 16

5.11. 强制停止容器 17

5.12. 删除容器 17

5.13. 删除镜像 17

5.13.1. 按镜像ID删 17

5.13.2. 按“镜像名:TAG”删 17

5.14. 导出镜像 18

5.15. 导入镜像 18

5.16. 查找镜像 18

5.17. 进入容器 19

5.18. 复制文件到容器 19

5.19. 从容器复制文件 20

5.20. 保存容器 20

5.21. 标记镜像 21

5.22. 上传镜像 21

5.23. 登录仓库 21

6. Docker命令 21

6.1. 命令“docker build” 21

6.2. 命令“docker run” 23

6.3. 命令“docker update” 24

6.4. 命令“docker network” 24

7. 常见问题 25

7.1. failed to create NAT chain DOCKER 25

7.2. Failed to start firewalld - dynamic firewall daemon 26

7.3. can't initialize iptables table \`nat' 27

7.4. list bridge addresses failed 28

7.5. No module named yum 29

7.6. rpmdb open failed 30

7.7. start request repeated too quickly for docker.service 30

7.8. Module nf\_nat not found 31

7.9. applying cgroup configuration for process caused 31

7.10. Transaction check error: 31

7.11. Your kernel does not support swap limit capabilities or the cgroup is not mounted 32

7.12. Cannot connect to the Docker daemon at 32

7.13. Minimum memoryswap limit should be larger than memory limit 32

7.14. Value too large for defined data type 32

附1：rpm安装 34

附2：yum安装 34

附3：systemctl和systemd 36

附4：命令brctl 37

附5：命令ip 37

附6：内核模块 38

1.   **前言**

本文操作基于CentOS7，其它Linux发行版本可能存在差异，分基于yum的在线安装和基于二进制包的离线安装（实际还有基于rpm包的离线安装），离线安装可以更多地了解Docker及相关体系。

Docker要求Linux内核版本不低于**3.10**，并且必须为64位系统，执行命令“docker version”可查看Docker版本。

CentOS7防火墙默认采用的是firewalld管理netfilter子系统，底层调用的仍然是iptables命令，firewalld实际是iptables的一个封装。不同的防火墙相互间存在冲突，使用某其中一个时应禁用其他的。

**谨记：**容器运行在Linux内核之上，不包含位于内核之上的glibc等库，以及ls等命令。如果容器中的程序依赖glibc等库或者依赖ls等命令，则容器自身应当包含这些设施。另外，容器中的程序等必须和内核兼容，否则将会遇到“FATAL: kernel too old”错误，该错误和库文件**ld-linux.so**有关。

1.   **基本概念**
    
    1.   **仓库**

Docker仓库（Repository）是存储Docker镜像的地方。

1.  1.   **镜像ID和容器ID**

镜像（image）是静态的，容器（container）是运行中的镜像。如果说镜像是程序文件，则容器是进程。把镜像ID看作文件名，则容器ID可视为进程ID，因此每次启动的容器ID是不相同的。

同一镜像可以启动多个容器，容器间的ID不会相同：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> #&nbsp;docker ps CONTAINER ID IMAGE &nbsp;&nbsp;&nbsp;&nbsp;COMMAND &nbsp;&nbsp;&nbsp;&nbsp;CREATED &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;STATUS &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;PORTS &nbsp;NAMES 7518f632b6d0&nbsp;centos&nbsp;&nbsp;"/bin/bash" 4 seconds ago Up 2 seconds &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;focused_turing d97bd379589c&nbsp;centos&nbsp;&nbsp;"/bin/bash" 6 minutes ago Up 6 minutes &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;friendly_nightingale </td> 
 </tr> 
 </tbody> 
</table>

1.   **创建网桥**

容器默认使用网桥网络模式，且默认桥接器名为docker0。在启动Docker之前（即执行命令“sytemctl start docker.service”前），需要先创建和启用好网桥，执行下例命令可创建和设置网桥。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ip&nbsp;link add name docker0&nbsp;type bridge&nbsp;# 创建网桥 # ip&nbsp;addr add dev docker0 172.17.0.1/16 # 设置网桥的IP和网关 # ip&nbsp;link set docker0 up # 启用网桥 # ip&nbsp;a # 查看创建好的网桥 1: lo: &lt;LOOPBACK,UP,LOWER_UP&gt; mtu 65536 qdisc noqueue state UNKNOWN &nbsp;&nbsp;&nbsp;&nbsp;link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 &nbsp;&nbsp;&nbsp;&nbsp;inet 127.0.0.1/8 scope host lo &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;valid_lft forever preferred_lft forever 2: eth0: &lt;BROADCAST,MULTICAST&gt; mtu 1500 qdisc noop state DOWN qlen 1000 &nbsp;&nbsp;&nbsp;&nbsp;link/ether 60:eb:69:fe:2e:20 brd ff:ff:ff:ff:ff:ff 3: eth1: &lt;BROADCAST,MULTICAST,UP,LOWER_UP&gt; mtu 1500 qdisc mq state UP qlen 1000 &nbsp;&nbsp;&nbsp;&nbsp;link/ether 60:eb:69:fe:2e:21 brd ff:ff:ff:ff:ff:ff &nbsp;&nbsp;&nbsp;&nbsp;inet 10.22.25.101/26 brd 10.223.25.127 scope global eth1 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;valid_lft forever preferred_lft forever 4: docker0: &lt;BROADCAST,MULTICAST,UP,LOWER_UP&gt; mtu 1500 qdisc noqueue state&nbsp;UNKNOWN &nbsp;&nbsp;&nbsp;&nbsp;link/ether 6e:3c:cb:3e:a7:44 brd ff:ff:ff:ff:ff:ff &nbsp;&nbsp;&nbsp;&nbsp;inet 172.17.0.1/16&nbsp;scope global docker0 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;valid_lft forever preferred_lft forever </td> 
 </tr> 
 </tbody> 
</table>

网桥状态为**up**，则表示没有起来。如果没有网桥或网桥没有起来，执行“systemctl start docker.service”启动Docker时将可能遇到错误“**list bridge addresses failed**”而启动失败。

1.   **安装Docker**

在能访问网络的环境或者有本地Docker仓库的环境，建议使用yum安装，简单省事。

在不能访问网络环境，可手工安装Docker。进入[https://download.docker.com/][https_download.docker.com]，下载对应的安装包，这里又分两种：一是下载通用的二进制安装包，二是下载RPM安装包。相对yum安装，手工安装（离线安装）可以了解更多细节，有助于深入了解Docker。

1.  1.   **二进制安装**

这个方法比较复杂，容易遇到各种问题。

1.  1.  1.   **下载安装**

通用的二进制安装包下载路径：[https://download.docker.com/linux/static/stable/x86\_64/][https_download.docker.com_linux_static_stable_x86_64]，截至2019/12/17可下载的最新版本为docker-**19.03.5**.tgz，就以它为安装对象。下载好后，将docker-**19.03.5**.tgz上传到目标Linux的任一目录，然后进入该目录解压docker-**19.03.5**.tgz，解压后的内容如下：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ls /usr/bin/docker containerd &nbsp;containerd-shim &nbsp;ctr &nbsp;docker &nbsp;dockerd &nbsp;docker-init &nbsp;docker-proxy &nbsp;runc </td> 
 </tr> 
 </tbody> 
</table>

解压生成的目录Docker下全是64位可执行程序文件，其中dockerd是运行在母机上的服务，dockerd负责加载镜像（image）拉起容器container。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ls -l /usr/bin/docker 总用量 204720 -rwxr-xr-x 1 root root 34625816 2019-11-13 15:30 containerd -rwxr-xr-x 1 root root &nbsp;6116160 2019-11-13 15:30 containerd-shim -rwxr-xr-x 1 root root 18850136 2019-11-13 15:30 ctr -rwxr-xr-x 1 root root 65641786 2019-11-13 15:30 docker -rwxr-xr-x 1 root root 72090824 2019-11-13 15:30 dockerd -rwxr-xr-x 1 root root &nbsp;&nbsp;764144 2019-11-13 15:30 docker-init -rwxr-xr-x 1 root root &nbsp;2877369 2019-11-13 15:30 docker-proxy -rwxr-xr-x 1 root root &nbsp;8649792 2019-11-13 15:30 runc </td> 
 </tr> 
 </tbody> 
</table>

将目录“/usr/bin/docker”加入到环境变量PATH中，如果不这么做，则可将目录/usr/bin/docker下的所有文件复制到目录“/usr/bin”。

1.  1.  1.   **配置服务**

新建和编辑文件**docker.service**，文件**docker.service**所在目录可有多种选择，实际为systemd查找目录，执行命令“**man 5 systemd.unit**”或“**man 5 systemd.service**”可看到所支持的目录包含如下一些：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:122.75pt;"> 目录 </td> 
 <td style="vertical-align:top;width:303.35pt;"> 说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:122.75pt;"> /etc/systemd/system </td> 
 <td style="vertical-align:top;width:303.35pt;"> Local configuration </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:122.75pt;"> /run/systemd/system </td> 
 <td style="vertical-align:top;width:303.35pt;"> Runtime units </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:122.75pt;"> /usr/lib/systemd/system </td> 
 <td style="vertical-align:top;width:303.35pt;"> Units of installed packages yum方式安装时，docker.service可能在此目录 </td> 
 </tr> 
 </tbody> 
</table>

以“/etc/systemd/system/**docker.service**”为例：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # cat /etc/systemd/system/docker.service [Unit] Description=Docker Application Container Engine Documentation=http://docs.docker.com After=network.target rhel-push-plugin.socket Wants=docker-storage-setup.service &nbsp; [Service] Type=notify NotifyAccess=all EnvironmentFile=-/etc/sysconfig/docker EnvironmentFile=-/etc/sysconfig/docker-storage EnvironmentFile=-/etc/sysconfig/docker-network Environment=GOTRACEBACK=crash ExecStart=/usr/bin/dockerd&nbsp;daemon \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--graph&nbsp;/data/docker \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--exec-opt native.cgroupdriver=systemd \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$DOCKER_STORAGE_OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$DOCKER_NETWORK_OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$ADD_REGISTRY \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$BLOCK_REGISTRY \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$INSECURE_REGISTRY LimitNOFILE=1048576 LimitNPROC=1048576 LimitCORE=infinity TimeoutStartSec=0 MountFlags=slave Restart=on-abnormal &nbsp; [Install] WantedBy=multi-user.target </td> 
 </tr> 
 </tbody> 
</table>

其中“**--graph**”用于指定镜像（image）存放目录。

1.  1.  1.   **启动服务**

执行命令“systemctl start docker.service”启动Docker：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # systemctl start docker.service # ps aux|grep docker | grep -v grep root &nbsp;&nbsp;&nbsp;&nbsp;16052 &nbsp;0.3 &nbsp;0.1 600076 37332 ? &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Ssl &nbsp;16:46 &nbsp;&nbsp;0:00 /usr/bin/docker/dockerd&nbsp;--data-root&nbsp;/data/docker --exec-opt native.cgroupdriver=systemd root &nbsp;&nbsp;&nbsp;&nbsp;16060 &nbsp;0.1 &nbsp;0.0 571644 22196 ? &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Ssl &nbsp;16:46 &nbsp;&nbsp;0:00 containerd --config /var/run/docker/containerd/containerd.toml --log-level info </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **rpm安装**

从[https://download.docker.com/linux/centos/7/x86\_64/stable/Packages/][https_download.docker.com_linux_centos_7_x86_64_stable_Packages]下载RPM安装包，以下载docker-ce-19.03.5-3.el7.x86\_64.**rpm**、docker-ce-**cli**\-19.03.5-3.el7.x86\_64.rpm、**containerd**.io-1.2.6-3.3.el7.x86\_64.rpm、docker-ce-**selinux**\-17.03.3.ce-1.el7.noarch.rpm为例，其中docker-ce-19.03.5-3.el7.x86\_64.**rpm**依赖其它几个RPM包，而containerd.io-1.2.6-3.3.el7.x86\_64.rpm又依赖docker-ce-**selinux**。

基于RPM包安装涉及很多依赖，安装可能复杂（视实际的依赖程度），所以尽量避免这种安装方式。本文尝试时，因为太多的依赖需要安装或更新，导致未能完成。

1.  1.   **yum安装**

yum会将Docker安装到/usr/bin目录，可执行“ls /usr/bin/dock\*”查看有哪些文件，不同版本会有差异。

实际上可以用yum安装RPM包，但和直接使用RPM命令一样，有复杂的依赖问题，所以除非不得已，最好不要采用yum+RPM包方式安装。这节介绍可访问网络（能访问Docker仓库）时的yum安装。

需要安装的内容包括：

<table style="width:426.25pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:78.35pt;"> 包名 </td> 
 <td style="vertical-align:top;width:347.9pt;"> 说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:78.35pt;"> docker-ce </td> 
 <td style="vertical-align:top;width:347.9pt;"> 社区版（Community）容器引擎（Docker Engine），依赖containerd.io。包含了： /usr/bin/dockerd /usr/bin/docker-init /usr/bin/docker-proxy </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:78.35pt;"> docker-ce-cli </td> 
 <td style="vertical-align:top;width:347.9pt;"> docker-ce的命令行客户端工具，包含了命令行客户端工具/usr/bin/docker </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:78.35pt;"> containerd.io </td> 
 <td style="vertical-align:top;width:347.9pt;"> 隔离了Docker和OS（比如Linux容器LXC），有独立的官网：<a href="https://containerd.io/" rel="nofollow">https://containerd.io/</a>。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:78.35pt;"> docker </td> 
 <td style="vertical-align:top;width:347.9pt;"> 对社区版而言，就是docker-ce，有些非官方仓库需要使用这个名字安装，使用docker-ce报“No package docker-ce available”。 </td> 
 </tr> 
 </tbody> 
</table>

其中docker-ce为容器引擎，安装步骤：

1.  1.  1.   **添加Docker仓库**

这一步不一定是必须的，比如内网已配置好本地仓库而不需要访问Docker官方仓库，或者已添加好Docker官方仓库。

如果yum-config-manager不可用，则需执行“yum install -y yum-utils”先安装好yum-config-manager。

执行下列命令添加Docker仓库：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> yum-config-manager&nbsp;--add-repo https://download.docker.com/linux/centos/docker-ce.repo </td> 
 </tr> 
 </tbody> 
</table>

完成后，可以目录/etc/yum.repos.d下看到文件docker-ce.repo。如果执行失败，则文件docker-ce.repo为空文件。

1.  1.  1.   **安装docker-ce**

执行下列命令安装：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # yum -y install docker-ce </td> 
 </tr> 
 </tbody> 
</table>

上述实际相当于：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # yum -y install docker.io/docker-ce </td> 
 </tr> 
 </tbody> 
</table>

如果报“No package docker-ce available”，可改成下列试试：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # yum -y install docker </td> 
 </tr> 
 </tbody> 
</table>

安装成功后，会产生新文件：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> #&nbsp;file /usr/lib/systemd/system/docker.service /usr/lib/systemd/system/docker.service: cannot open (No such file or directory) # ls /usr/bin/dock* &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ls: cannot access /usr/bin/dock*: No such file or directory &nbsp; # yum -y install&nbsp;docker-ce &nbsp; # file /usr/lib/systemd/system/docker.service /usr/lib/systemd/system/docker.service: ASCII text # ls /usr/bin/dock* &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; /usr/bin/docker &nbsp;/usr/bin/docker-fetch &nbsp;/usr/bin/dockertarsum </td> 
 </tr> 
 </tbody> 
</table>

其中docker.service供systemd使用，当执行“systemctl start docker.service”时依赖文件docker.service定义的信息。文件docker.service不一定要位于目录/usr/lib/systemd/system/，systemd支持搜索多个目录查找docker.service，比如二进制安装时将docker.service放在目录/etc/systemd/system。

默认的文件docker.service内容如下：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # cat /usr/lib/systemd/system/docker.service [Unit] Description=Docker Application Container Engine Documentation=http://docs.docker.com After=network.target &nbsp; [Service] Type=notify EnvironmentFile=-/etc/sysconfig/docker EnvironmentFile=-/etc/sysconfig/docker-storage EnvironmentFile=-/etc/sysconfig/docker-network ExecStart=/usr/bin/docker&nbsp;-d&nbsp;$OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$DOCKER_STORAGE_OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$DOCKER_NETWORK_OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$ADD_REGISTRY \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$BLOCK_REGISTRY \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$INSECURE_REGISTRY LimitNOFILE=1048576 LimitNPROC=1048576 LimitCORE=infinity MountFlags=slave TimeoutSec=0 &nbsp; [Install] WantedBy=multi-user.target </td> 
 </tr> 
 </tbody> 
</table>

其中参数“-d”表示以后台守护进程方式启动，配置项“WantedBy”用于指定随系统启动时docker.service发布的子目录为“multi-user.target”。注意“multi-user.target”的名不能随便取，这是systemd约定的名之一，对应系统启动级别3，可通过命令“systemctl set-default”修改默认级别，multi-user.target的完整目录路径为/etc/systemd/system/multi-user.target。

官方最新的docker.service如下：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # cat /usr/lib/systemd/system/docker.service [Unit] Description=Docker Application Container Engine Documentation=https://docs.docker.com BindsTo=containerd.service After=network-online.target firewalld.service containerd.service Wants=network-online.target Requires=docker.socket &nbsp; [Service] Type=notify # the default is not to use systemd for cgroups because the delegate issues still # exists and systemd currently does not support the cgroup feature set required # for containers run by docker ExecStart=/usr/bin/dockerd&nbsp;-H fd:// --containerd=/run/containerd/containerd.sock ExecReload=/bin/kill -s HUP $MAINPID TimeoutSec=0 RestartSec=2 Restart=always &nbsp; # Note that StartLimit* options were moved from "Service" to "Unit" in systemd 229. # Both the old, and new location are accepted by systemd 229 and up, so using the old location # to make them work for either version of systemd. StartLimitBurst=3 &nbsp; # Note that StartLimitInterval was renamed to StartLimitIntervalSec in systemd 230. # Both the old, and new name are accepted by systemd 230 and up, so using the old name to make # this option work for either version of systemd. StartLimitInterval=60s &nbsp; # Having non-zero Limit*s causes performance problems due to accounting overhead # in the kernel. We recommend using cgroups to do container-local accounting. LimitNOFILE=infinity LimitNPROC=infinity LimitCORE=infinity &nbsp; # Comment TasksMax if your systemd version does not support it. # Only systemd 226 and above support this option. TasksMax=infinity &nbsp; # set delegate yes so that systemd does not reset the cgroups of docker containers Delegate=yes &nbsp; # kill only the docker process, not all processes in the cgroup KillMode=process &nbsp; [Install] WantedBy=multi-user.target </td> 
 </tr> 
 </tbody> 
</table>

1.  1.  1.   **启动服务**

执行命令“systemctl start docker.service”启动Docker：

1.   **Docker基本操作**
    
    1.   **查看帮助**

Docker的各程序或命令基本都支持“--help”参数查看帮助，比如：docker --help、dockerd --help、docker images --help。

1.  1.   **启动Docker服务**

和其它服务一样启动即可，停止和重启方法也相同。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # systemctl&nbsp;start&nbsp;docker.service </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **查看有哪些镜像**

执行命令“docker images”，可查看有哪些镜像（image）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker&nbsp;images REPOSITORY &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;TAG &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;IMAGE ID &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CREATED &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SIZE docker.io/hello-world &nbsp;&nbsp;latest &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fce289e99eb9 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;11 months ago &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1.84 kB </td> 
 </tr> 
 </tbody> 
</table>

如果Docker服务没有起来，执行“docker images”将报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker images Cannot connect to the Docker&nbsp;daemon. Is the docker daemon running on this host? </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **从仓库拉取镜像**

默认拉取到的是latest镜像（image）。

如果执行命令“docker images”看不到拉取的镜像（image），则可重拉取后再看看。如果从非Docker官方（docker.io）拉取image，则需要指定仓库地址：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker pull myrep.io/public/hello-world </td> 
 </tr> 
 </tbody> 
</table>

如不确定hello-world所在路径，则可先执行“docker search **myrep**.io/hello”查找：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker search myrep.io/hello-world </td> 
 </tr> 
 </tbody> 
</table>

如果没有latest版镜像，则可指定版本：

从从Docker官方拉取[centos7][]为例（其中7实为镜像的tag）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker pull centos:7 </td> 
 </tr> 
 </tbody> 
</table>

拉取tag为“centos7.2.1511”的镜像：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker pull centos:centos7.2.1511 </td> 
 </tr> 
 </tbody> 
</table>

注意，这里并不是“docker pull **http://**myrep.io/public/hello-world”，没有“http://”或“https://”前缀，否则报错“is not a valid repository/tag: invalid reference format”。

拉取下来的images存放在哪？请参见《指定Docker的images存放目录》一节的内容。官方的“hello-world”镜像长这样子：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # cat&nbsp;/data/docker/image/aufs/imagedb/content/sha256/fce289e99eb9bca977dae136fbe2a82b6b7d4c372474c9235adc1741675f587e {"architecture":"amd64","config":{"Hostname":"","Domainname":"","User":"","AttachStdin":false,"AttachStdout":false,"AttachStderr":false,"Tty":false,"OpenStdin":false,"StdinOnce":false,"Env":["PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"],"Cmd":["/hello"],"ArgsEscaped":true,"Image":"sha256:a6d1aaad8ca65655449a26146699fe9d61240071f6992975be7e720f1cd42440","Volumes":null,"WorkingDir":"","Entrypoint":null,"OnBuild":null,"Labels":null},"container":"8e2caa5a514bb6d8b4f2a2553e9067498d261a0fd83a96aeaaf303943dff6ff9","container_config":{"Hostname":"8e2caa5a514b","Domainname":"","User":"","AttachStdin":false,"AttachStdout":false,"AttachStderr":false,"Tty":false,"OpenStdin":false,"StdinOnce":false,"Env":["PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"],"Cmd":["/bin/sh","-c","#(nop) ","CMD [\"/hello\"]"],"ArgsEscaped":true,"Image":"sha256:a6d1aaad8ca65655449a26146699fe9d61240071f6992975be7e720f1cd42440","Volumes":null,"WorkingDir":"","Entrypoint":null,"OnBuild":null,"Labels":{}},"created":"2019-01-01T01:29:27.650294696Z","docker_version":"18.06.1-ce","history":[{"created":"2019-01-01T01:29:27.416803627Z","created_by":"/bin/sh -c #(nop) COPY file:f77490f70ce51da25bd21bfc30cb5e1a24b2b65eb37d4af0c327ddc24f0986a6 in / "},{"created":"2019-01-01T01:29:27.650294696Z","created_by":"/bin/sh -c #(nop) &nbsp;CMD [\"/hello\"]","empty_layer":true}],"os":"linux","rootfs":{"type":"layers","diff_ids":["sha256:af0b15c8625bb1938f1d7b17081031f649fd14e6b233688eea3c5483994a66a3"]}} </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **运行（启动）容器**

以“hello-world”为例（如果不带参数“--rm”运行，则窗口退出后不会自动删除）：

可为“docker run”指定资源控制参数，比如限定内存等。执行“docker run --help”可以看到相关参数说明。

1.  1.   **查看指定的镜像**

还可用命令“docker inspect”查看容器的IP地址：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker inspect&nbsp;1fb1e1ad7356|grep '"IPAddress"' | head -n 1 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"IPAddress": "172.17.0.2", </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **修改镜像存放目录**

这根Docker版本有关，有些版本的叫/usr/bin/dockerd，有些叫/usr/bin/docker，有些叫/usr/bin/docker-current，而且参数会有差异。启动遇到错误时，可只带参数“--help”查看帮助，比如执行“dockerd --help”。

但如果是yum方式安装的，Docker服务启动配置文件一般均是/usr/lib/systemd/system/**docker.service**。

注意文件docker.service是供系统的systemd使用的，通过命令systemctl来操控。并不是Docker自己的配置文件，实为一个Docker启动配置，下面分两种分别介绍。

1.  带“**--graph**”参数

这个实际是老版本的参数名，新版本（如“Docker version 19.03.1”）已改叫--data-root，新版本的参数命名更为具体好理解和记忆。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ExecStart=/usr/bin/docker-current&nbsp;daemon&nbsp;\ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--graph&nbsp;/data/docker \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--exec-opt native.cgroupdriver=systemd \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$DOCKER_STORAGE_OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$DOCKER_NETWORK_OPTIONS \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$ADD_REGISTRY \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$BLOCK_REGISTRY \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;$INSECURE_REGISTRY </td> 
 </tr> 
 </tbody> 
</table>

“--graph /data/docker”也可写成“--graph=/data/docker”，效果是一样的。另外，还可通过docker-current的命令行参数“--registry-mirror=”指定images仓库。

**在文件docker.service发生变化后**，需要执行一次“**systemctl daemon-****reload**”通知systemd重新加载，否则使用的仍然是老的配置。

执行“systemctl **restart** docker.service”重启启动，然后执行ps命令可看到相关的变化：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ps aux|grep docker root &nbsp;&nbsp;&nbsp;&nbsp;21757 &nbsp;0.0 &nbsp;0.0 358584 21060 ? &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Ssl &nbsp;09:45 &nbsp;&nbsp;0:00 /usr/bin/docker-current daemon --graph&nbsp;/data/docker&nbsp;--exec-opt native.cgroupdriver=systemd --selinux-enabled --log-driver=journald -b=none --iptables=false </td> 
 </tr> 
 </tbody> 
</table>

以镜像“hello-world”为例，它的路径为（注：新版本已使用文件系统overlay2替代**aufs**）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> /data/docker/image/aufs/imagedb/content/sha256/fce289e99eb9bca977dae136fbe2a82b6b7d4c372474c9235adc1741675f587e </td> 
 </tr> 
 </tbody> 
</table>

其中“sha256”后面为镜像“hello-world”内容的sha256值：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # cat&nbsp;/data/docker/image/aufs/imagedb/content/sha256/fce289e99eb9bca977dae136fbe2a82b6b7d4c372474c9235adc1741675f587e | openssl dgst -sha256 -hex (stdin)= fce289e99eb9bca977dae136fbe2a82b6b7d4c372474c9235adc1741675f587e </td> 
 </tr> 
 </tbody> 
</table>

1.  带“**--data-root**”参数

这个是新版本的参数名，命名更为具体好理解和记忆，镜像（image）存放在data目录。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # cat /usr/lib/systemd/system/docker.service [Unit] Description=Docker Application Container Engine Documentation=https://docs.docker.com BindsTo=containerd.service After=network-online.target firewalld.service containerd.service Wants=network-online.target Requires=docker.socket &nbsp; [Service] Type=notify # the default is not to use systemd for cgroups because the delegate issues still # exists and systemd currently does not support the cgroup feature set required # for containers run by docker ExecStart=/usr/bin/dockerd&nbsp;-H fd:// --containerd=/run/containerd/containerd.sock ExecReload=/bin/kill -s HUP $MAINPID TimeoutSec=0 RestartSec=2 Restart=always &nbsp; # Note that StartLimit* options were moved from "Service" to "Unit" in systemd 229. # Both the old, and new location are accepted by systemd 229 and up, so using the old location # to make them work for either version of systemd. StartLimitBurst=3 &nbsp; # Note that StartLimitInterval was renamed to StartLimitIntervalSec in systemd 230. # Both the old, and new name are accepted by systemd 230 and up, so using the old name to make # this option work for either version of systemd. StartLimitInterval=60s &nbsp; # Having non-zero Limit*s causes performance problems due to accounting overhead # in the kernel. We recommend using cgroups to do container-local accounting. LimitNOFILE=infinity LimitNPROC=infinity LimitCORE=infinity &nbsp; # Comment TasksMax if your systemd version does not support it. # Only systemd 226 and above support this option. TasksMax=infinity &nbsp; # set delegate yes so that systemd does not reset the cgroups of docker containers Delegate=yes &nbsp; # kill only the docker process, not all processes in the cgroup KillMode=process &nbsp; [Install] WantedBy=multi-user.target </td> 
 </tr> 
 </tbody> 
</table>

找到docker.service中“ExecStart”所在行，修改为（镜像存放在**data**目录）：。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ExecStart=/usr/bin/dockerd -H fd:// \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--containerd=/run/containerd/containerd.sock \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--data-root=/data/docker/data \ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--exec-root=/data/docker/run </td> 
 </tr> 
 </tbody> 
</table>

Docker在启动时会自动创建这两个目录，但注意需有创建目录权限。并需记得每次修改docker.service后，需要先执行一次“systemctl daemon-reload”，然后才可执行“systemctl start docker.service”启动，否则报“Warning: docker.service changed on disk. Run 'systemctl daemon-reload' to reload units.”。

启动后可看到如下：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ps aux|grep docker root &nbsp;&nbsp;&nbsp;&nbsp;22564 &nbsp;0.6 &nbsp;0.1 593460 63488 ? &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Ssl &nbsp;11:04 &nbsp;&nbsp;0:00 /usr/bin/dockerd&nbsp;-H fd:// --containerd=/run/containerd/containerd.sock&nbsp;--data-root=/data/docker/data --exec-root=/data/docker/run </td> 
 </tr> 
 </tbody> 
</table>

以官方的镜像alpine为例，它的存放位置如下（注：新版本已使用文件系统overlay2替代**aufs**）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ls -l /data/docker/data/overlay2/c1b9aec275a2cdf832c9f079389aa63577be6f8371dec164af8cc3e8c7fa77f8/diff 总用量 68 drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 bin drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 dev drwxr-xr-x 15 root root 4096 12月 19 23:20 etc drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 home drwxr-xr-x &nbsp;5 root root 4096 12月 19 23:20 lib drwxr-xr-x &nbsp;5 root root 4096 12月 19 23:20 media drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 mnt drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 opt dr-xr-xr-x &nbsp;2 root root 4096 12月 19 23:20 proc drwx------ &nbsp;2 root root 4096 12月 19 23:20 root drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 run drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 sbin drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 srv drwxr-xr-x &nbsp;2 root root 4096 12月 19 23:20 sys drwxrwxrwt &nbsp;2 root root 4096 12月 19 23:20 tmp drwxr-xr-x &nbsp;7 root root 4096 12月 19 23:20 usr drwxr-xr-x 12 root root 4096 12月 19 23:20 var </td> 
 </tr> 
 </tbody> 
</table>

其中“c1b9aec275a2cdf832c9f079389aa63577be6f8371dec164af8cc3e8c7fa77f8”为diffID，是一个SHA256值，基于镜像层（layer）文件包的内容计算得到。如果该镜像层是最底层（即没有父镜像层），则该层的diffID便是chainID。镜像层元数据存储在目录/data/docker/data/image/overlay2/layerdb下。

1.  1.   **查看容器日志**

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker logs -f -t --tail=100 container-id </td> 
 </tr> 
 </tbody> 
</table>

命令“docker logs”参数说明：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> 参数名 </td> 
 <td style="vertical-align:top;width:365.15pt;"> 参数说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> -f </td> 
 <td style="vertical-align:top;width:365.15pt;"> 跟踪（follow）实时日志 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> -t </td> 
 <td style="vertical-align:top;width:365.15pt;"> 显示时间戳（timestamps） </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> --tail=N </td> 
 <td style="vertical-align:top;width:365.15pt;"> 显示最后N条，如果不指定tail则默认是所有 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> --details </td> 
 <td style="vertical-align:top;width:365.15pt;"> 显示详细信息 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> --since= </td> 
 <td style="vertical-align:top;width:365.15pt;"> 显示某个时间后的日志，或者最近多长时间的日志： 
 <ol> 
 <li>--since=10m 查看最近10分钟的日志</li> 
 <li>--since="2019-12-19" 查看2019-12-19后的日志</li> 
 </ol></td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> --until </td> 
 <td style="vertical-align:top;width:365.15pt;"> 查看截止到指定时间的日志 </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **查看容器列表**
2.  查看所有容器

包括已停止的和运行中的容器：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker ps&nbsp;-a </td> 
 </tr> 
 </tbody> 
</table>

命令“docker ps”可选参数：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> 参数名 </td> 
 <td style="vertical-align:top;width:365.15pt;"> 参数说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> -a </td> 
 <td style="vertical-align:top;width:365.15pt;"> 列出当前所有正在运行的容器和历史上运行过的容器，如果运行容器时没有指定参数“--rm”，则容器退出后“docker ps -a”仍然看得到。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> -l </td> 
 <td style="vertical-align:top;width:365.15pt;"> 显示最新创建的容器，包括已停止的容器 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> -n </td> 
 <td style="vertical-align:top;width:365.15pt;"> 显示最近n个创建的容器，包括已停止的容器 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> -q </td> 
 <td style="vertical-align:top;width:365.15pt;"> 安静模式，只显示容器编号 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:60.95pt;"> --no-trunc </td> 
 <td style="vertical-align:top;width:365.15pt;"> 不截断输出 </td> 
 </tr> 
 </tbody> 
</table>

1.  只查看运行中的容器

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker ps </td> 
 </tr> 
 </tbody> 
</table>

1.  只查看已停止的容器

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker ps -a -f status=exited </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **优雅停止容器**

先向容器进程发送信号SIGTERM，10秒后再发送SIGKILL。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker stop </td> 
 </tr> 
 </tbody> 
</table>

优雅停止所有容器：

1.  1.   **强制停止容器**

直接向容器进程发信号SIGKILL。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker kill </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **删除容器**
2.  删除一个或多个容器：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker rm&nbsp;[OPTIONS] CONTAINER [CONTAINER...] </td> 
 </tr> 
 </tbody> 
</table>

1.  删除所有的容器：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker rm&nbsp;$(docker ps -a -q) </td> 
 </tr> 
 </tbody> 
</table>

1.  删除所有已停止的容器：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker rm&nbsp;$(docker ps -a -f status=exited -q) </td> 
 </tr> 
 </tbody> 
</table>

OPTIONS可取值：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:59.15pt;"> 取值 </td> 
 <td style="vertical-align:top;width:366.95pt;"> 作用 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:59.15pt;"> -f </td> 
 <td style="vertical-align:top;width:366.95pt;"> 通过SIGKILL信号强制删除一个运行中的容器 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:59.15pt;"> -l </td> 
 <td style="vertical-align:top;width:366.95pt;"> 移除容器间的网络连接，而非容器本身 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:59.15pt;"> -v </td> 
 <td style="vertical-align:top;width:366.95pt;"> 删除与容器关联的卷 </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **删除镜像**

命令“docker rmi”的作用是用来删除本地镜像，可按镜像ID，也可按“镜像名:TAG”方式删。

1.  1.  1.   **按镜像ID删**

删除指定ID的镜像：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker rmi&nbsp;&lt;image id&gt; </td> 
 </tr> 
 </tbody> 
</table>

删除全部镜像：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker rmi&nbsp;$(docker images -q) </td> 
 </tr> 
 </tbody> 
</table>

1.  1.  1.   **按“镜像名:TAG”删**

删除指定镜像名和TAG的镜像：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> $ docker images REPOSITORY &nbsp;&nbsp;TAG &nbsp;&nbsp;IMAGE ID &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;REATED &nbsp;&nbsp;&nbsp;SIZE a/redis &nbsp;&nbsp;&nbsp;&nbsp;6.0.6 &nbsp;1319b1eaa0b7 &nbsp;3 weeks ago &nbsp;104MB b/redis &nbsp;&nbsp;&nbsp;&nbsp;6.0.6 &nbsp;1319b1eaa0b7 &nbsp;3 weeks ago &nbsp;104MB redis &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;6.0.6 &nbsp;1319b1eaa0b7 &nbsp;3 weeks ago &nbsp;104MB </td> 
 </tr> 
 </tbody> 
</table>

删除第一条，即“a/redis:6.0.6”：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> $ docker rmi&nbsp;a/redis:6.0.6 </td> 
 </tr> 
 </tbody> 
</table>

可指定参数“-f”，强制删除：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> $ docker rmi -f&nbsp;a/redis:6.0.6 </td> 
 </tr> 
 </tbody> 
</table>

如果不指定TAG，默认是删除TAG为latest的，如果没有TAG为latest的，则报错“Error: No such image: a/redis”，如：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> $ docker rmi -f&nbsp;a/redis </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **导出镜像**

导出镜像到文件，导出后可以文件复制到其它机器再导入：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker save&nbsp;-o 文件名.tar 镜像名称 </td> 
 </tr> 
 </tbody> 
</table>

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker save -o tinycore.tar tatsushid/tinycore </td> 
 </tr> 
 </tbody> 
</table>

如果不是Docker的官方仓库，还得指定仓库地址，如：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker save -o tinycore.tar docker.io/tatsushid/tinycore </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **导入镜像**

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker load &lt; 文件名.tar 或 docker load -i 文件名.tar </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **查找镜像**

只知道镜像名或部分名，不知道完整的路径时，可以使用Docker提供的查找（search）功能，比如搜索镜像**alpine**，其中列**OFFICIAL**指定该镜像是否为Docker官方提供。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker search&nbsp;alpine INDEX &nbsp;&nbsp;&nbsp;&nbsp;NAME &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;DESCRIPTION &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;STARS OFFICIAL&nbsp;AUTOMATED docker.io docker.io/alpine&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;A minimal Docker image based on Alpine Lin... 5927 &nbsp;[OK] &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; docker.io docker.io/frolvlad/alpine-glibc&nbsp;Alpine Docker image with glibc (~12MB) &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;223 &nbsp;&nbsp;[OK] docker.io docker.io/mhart/alpine-node &nbsp;&nbsp;&nbsp;&nbsp;Minimal Node.js built on Alpine Linux &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;448 &nbsp;&nbsp; docker.io docker.io/anapsix/alpine-java &nbsp;&nbsp;Oracle Java 8 (and 7) with GLIBC 2.28 over... 434 &nbsp;&nbsp;[OK] docker.io docker.io/gliderlabs/alpine &nbsp;&nbsp;&nbsp;&nbsp;Image based on Alpine Linux will help you ... 180 &nbsp;&nbsp; docker.io docker.io/alpine/git &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;A &nbsp;simple git container running in alpine ... 109 &nbsp;&nbsp;[OK] docker.io docker.io/mvertes/alpine-mongo &nbsp;light MongoDB container &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;106 &nbsp;&nbsp;[OK] docker.io docker.io/alpine/socat &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Run socat command in alpine container &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;43 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/zzrot/alpine-caddy &nbsp;&nbsp;&nbsp;Caddy Server Docker Container running on A... 35 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/easypi/alpine-arm &nbsp;&nbsp;&nbsp;&nbsp;AlpineLinux for RaspberryPi &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;32 &nbsp;&nbsp;&nbsp; docker.io docker.io/jfloff/alpine-python &nbsp;A small, more complete, Python Docker imag... 32 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/byrnedo/alpine-curl &nbsp;&nbsp;Alpine linux with curl installed and set a... 28 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/hermsi/alpine-sshd &nbsp;&nbsp;&nbsp;Dockerize your OpenSSH-server with rsync a... 26 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/hermsi/alpine-fpm-php Dockerize your FPM PHP 7.4 upon a lightwei... 21 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/zenika/alpine-chrome &nbsp;Chrome running in headless mode in a tiny ... 16 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/bashell/alpine-bash &nbsp;&nbsp;Alpine Linux with /bin/bash as a default s... 14 &nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/spotify/alpine &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Alpine image with `bash` and `curl`. &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;9 &nbsp;&nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/tenstartups/alpine &nbsp;&nbsp;&nbsp;Alpine linux base docker image with useful... 9 &nbsp;&nbsp;&nbsp;&nbsp;[OK] docker.io docker.io/roribio16/alpine-sqs &nbsp;Dockerized ElasticMQ server + web UI over ... 7 &nbsp;&nbsp;&nbsp;&nbsp;[OK] </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **进入容器**

容器是运行中的镜像，Docker提供了两种进入运行中容器的途径：

1.  命令“docker container **attach**”

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker container attach&nbsp;[OPTIONS] CONTAINER-ID </td> 
 </tr> 
 </tbody> 
</table>

示例：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker container attach&nbsp;2896d0dad64d </td> 
 </tr> 
 </tbody> 
</table>

“attach”方式进入容器后，在其中执行“exit”会退出容器（执行“docker ps”将看不到容器还在运行中），原因是attach不会打开新的终端。

1.  命令“docker container **exec**”

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker container exec&nbsp;[OPTIONS] CONTAINER-ID COMMAND [ARG...] </td> 
 </tr> 
 </tbody> 
</table>

示例：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker container exec&nbsp;-it&nbsp;579f618416ca /bin/bash </td> 
 </tr> 
 </tbody> 
</table>

“docker container exec”的参数和“docker run”相似，不同于attach方式，exec方式进入容器会打开一个新的终端和起一个新的进程，因此exec方式执行exit退出不会导致容器退出（执行“docker ps”仍然看得到容器运行中）。

1.  1.   **复制文件到容器**

借助“docker cp”命令可以将本地文件复制到容器中：

示例（将当前目录下的文件abc复制到容器0eae45845fc3的根目录，0eae45845fc3相当于进程号，执行“docker **ps**”可看到）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker cp&nbsp;abc 0eae45845fc3:/ </td> 
 </tr> 
 </tbody> 
</table>

注意容器退出后，复制过去的文件将不会保留，但如果是容器挂载的宿主及目录，则容器重启仍然存在。如果需要持久有效，则应执行命令“docker commit”提交到仓库，这样产生了新的镜像。

1.  1.   **从容器复制文件**

方法同复制文件到容器，如将容器中的文件/abc复制到本地的/tmp目录：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker cp&nbsp;0eae45845fc3:/abc /tmp </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **保存容器**

修改容器中的文件，或者往容器中新增文件，均不会影响到容器对应的镜像。如果想将新增和修改保存下来，则应执行命令“docker commit”提交到仓库，但这样产生了新的镜像，这新的镜像建立在原镜像层（layer）上。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # docker commit --help &nbsp; Usage: &nbsp;docker commit [OPTIONS] CONTAINER-ID [REPOSITORY[:TAG]] &nbsp; Create a new image&nbsp;from a container's changes &nbsp; Options: &nbsp;&nbsp;-a, --author string &nbsp;&nbsp;&nbsp;Author (e.g., "John Hannibal Smith &lt;hannibal@a-team.com&gt;") &nbsp;&nbsp;-c, --change list &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Apply Dockerfile instruction to the created image &nbsp;&nbsp;-m, --message string &nbsp;&nbsp;Commit message &nbsp;&nbsp;-p, --pause &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Pause container during commit (default true) </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **标记镜像**

如果没有冒号“:”后的标记（tag），则标记默认为最新的（latest）

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker tag&nbsp;1319b1eaa0b2 redis:6.0.6 </td> 
 </tr> 
 </tbody> 
</table>

标记私有仓库的：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker tag 1319b1eaa0b2 myrepository.com/redis:6.0.6 </td> 
 </tr> 
 </tbody> 
</table>

上述的“**1319b1eaa0b2**”为镜像ID，完成后可执行“docker images”检查执行结果。

1.  1.   **上传镜像**

在上传（推送）镜像到仓库之前，需要先标记（tag）好镜像。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker push redis:6.0.6 </td> 
 </tr> 
 </tbody> 
</table>

上传镜像到私有仓库：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker push myrepository.com/redis:6.0.6 </td> 
 </tr> 
 </tbody> 
</table>

注意 Docker 默认不支持非 HTTPS 方式上传镜像。

1.  1.   **登录仓库**

登录官方仓库（参数“-u”指定登录用户名，参数“-p”指定用户密码）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker login -u zhangsan -p password </td> 
 </tr> 
 </tbody> 
</table>

登录私有仓库：

1.   **Docker命令**

Docker采用GO语言实现的，他的命令参数为GO风格，参数名和参数值间可以是单个等号或者单个空格或者连续多个空格。其中单字母参数名以单个横杠（即“-”，如：-f）打头，多字母参数名则以两个横杠（即“--”，如：--file）打头。另外，所有Docker命令均可通过参数“--help”得到使用帮助和参数说明。

1.  1.   **命令“docker build”**

命令“docker build”用来构建（生成）镜像，执行“docker build --help”可得到该命令的帮助。

命令“docker build”和“docker run”两者有很多相同参数名，并且很多作用也是相同的，区别在于“docker build”是构建镜像时指定，而“docker run”则是在启动容器时指定，“docker run”能够覆盖“docker build”的同名同作用的参数。

命令“docker build”它的常用参数说明如下：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> 参数名 </td> 
 <td style="vertical-align:top;width:339.95pt;"> 参数说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> -f或--file </td> 
 <td style="vertical-align:top;width:339.95pt;"> 指定Dockerfile文件，默为当前目录下的Dockerfile，示例： # docker build --tag echo -f&nbsp;Dockerfile.echo . 或 # docker build --tag echo -f=Dockerfile.echo . 或 # docker build --tag echo --file&nbsp;Dockerfile.echo . 或 # docker build --tag echo --file=Dockerfile.echo . </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> -t或--tag </td> 
 <td style="vertical-align:top;width:339.95pt;"> 指定镜像的名（name）和标签（tag），其中标签是可选的，格式“name:tag” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> -m或--memory </td> 
 <td style="vertical-align:top;width:339.95pt;"> 指定容器最大可用内存，可带单位（不区分大小写）： b、k、kb、m、mb、g、gb、t、tb、p、pb 不指定单位为字节数，但不能小于4M，值可大于实际的物理内存。容器中看到的物理内存大小仍然是宿主机的物理内存大小，并不受参数“-m”值的影响。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --memory-swap </td> 
 <td style="vertical-align:top;width:339.95pt;"> 内存+交换分区大小总限制，默认值为参数“-m”值的两倍，并且其值必须大于参数“-m”的值。值的格式同参数“-m”，两者差值即为交换分区大小，值-1表示不做限制。 如果只修改“-m”的值，并不会自动更新“--memory-swap”的值。只是如果不指定时，“--memory-swap”的默认值等于“-m”的值的两倍。 容器内的进程占用的内存大小不能超过“-m”和“--memory-swap”两者值之和，否则会被KILL掉。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --ulimit </td> 
 <td style="vertical-align:top;width:339.95pt;"> 设置容器的ulimit，示例： # docker build --tag echo --ulimit=nofile=1235 --ulimit=nproc=235 . </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --rm </td> 
 <td style="vertical-align:top;width:339.95pt;"> 成功构建后删除中间环节的容器，默认为true（即：--rm=true） </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --force-rm </td> 
 <td style="vertical-align:top;width:339.95pt;"> 总是删除掉中间环节的容器，默认为false（即：--force-rm=false） </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> -q或--quiet </td> 
 <td style="vertical-align:top;width:339.95pt;"> 安静模式，构建成功只输出镜像ID，默认为false（即：--quiet=false） </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --network </td> 
 <td style="vertical-align:top;width:339.95pt;"> 设置容器运行时的网络模式，默认值是default（即：--network=default），可取值： 
 <ol> 
 <li>bridge 容器的默认网络，执行命令“docker inspect bridge”可查看配置</li> 
 <li>none 不为容器创建任何网络，容器将只能使用loopback，即禁用所有联网</li> 
 <li>host 容器使用宿主机的网络，17.06及以上版本才有效</li> 
 <li>container:&lt;name|id&gt;</li> 
 <li>&lt;network-name&gt;|&lt;network-id&gt;</li> 
 </ol>&nbsp; Docker安装的时候默认会创建三个不同的网络，可以执行命令“docker network ls”命令查看这些网络。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --no-cache </td> 
 <td style="vertical-align:top;width:339.95pt;"> 构建镜像过程中不使用缓存 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --pull </td> 
 <td style="vertical-align:top;width:339.95pt;"> 总是尝试拉取镜像的更新版本 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --iidfile </td> 
 <td style="vertical-align:top;width:339.95pt;"> 将镜像ID写到指定文件，如： # docker build --tag echo --iidfile=myimage.id . </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --add-host </td> 
 <td style="vertical-align:top;width:339.95pt;"> 添加主机名和主机IP的映射，结果反映在容器的/etc/hosts文件，在/etc/hosts中可以看到添加的映射。 示例： # docker build --add-host=H1:192.168.0.1 --add-host=H2:192.168.0.2 . </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --cpu-period </td> 
 <td style="vertical-align:top;width:339.95pt;"> 设置CPU CFS的调度周期，单位为微秒（us），取值范围为“1000us~1000000us”，即：1000~1000000。默认值为100000（即100ms），即一个调度周期时长为100ms。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --cpu-quota </td> 
 <td style="vertical-align:top;width:339.95pt;"> 设置容器的CPU CFS配额，即在一个“--cpu-period”周期内最多占用CPU的时长，单位为微秒（us）。值不能小于1000us，即不能小于1000，值-1表示不做控制。可大于“--cpu-period”的值，当大于“--cpu-period”的值时相当于占满了整个“--cpu-period”周期。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> -c或--cpu-shares </td> 
 <td style="vertical-align:top;width:339.95pt;"> CPU的共享权值（相对权重） </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --cpuset-cpus </td> 
 <td style="vertical-align:top;width:339.95pt;"> 允许使用的CPU集，可取值：0-3、0或1 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:86.15pt;"> --cpuset-mems </td> 
 <td style="vertical-align:top;width:339.95pt;"> 对NUMA架构有效，可取值：0-3、0或1 </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **命令“docker run”**

命令“[docker run][]”用来启动容器，参数比较多，包括各资源配额等参数，执行“docker run --help”可得到该命令的帮助。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> 参数名 </td> 
 <td style="vertical-align:top;width:326.75pt;"> 参数说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -d或--detach </td> 
 <td style="vertical-align:top;width:326.75pt;"> 以后台方式启动容器 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --name </td> 
 <td style="vertical-align:top;width:326.75pt;"> 设置容器名，类似进程名 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --rm </td> 
 <td style="vertical-align:top;width:326.75pt;"> 容器退出后，自动删除容器 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -t或--tty </td> 
 <td style="vertical-align:top;width:326.75pt;"> 为容器分配一个伪终端 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -i或--interactive </td> 
 <td style="vertical-align:top;width:326.75pt;"> 交互模式运行容器，保持标准输入打开 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -p或--publish </td> 
 <td style="vertical-align:top;width:326.75pt;"> 指定宿主机和容器的端口映射列表，比如： -p 7777:7778 -p 8888:8888 表示将宿主机的7777端口映射到容器的7778，将宿主的8888映射到容器的8888。 &nbsp; 如果没有任何端口映射，则在宿主机上看不到容器内进程的痕迹。但如果有映射端口，则在宿主机上，以官方的Redis镜像为例，将可以看到如下： # ps -Ao pid,args|grep 7778|grep -v grep 27736 /usr/bin/docker-proxy&nbsp;-proto tcp -host-ip 0.0.0.0 -host-port 7777&nbsp;-container-ip 172.17.0.2 -container-port 7778 &nbsp; 原因是外部只能通过宿主机访问容器内的进程（比如这里的Redis）。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --add-host </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --cpu-period </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --cpu-quota </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -c或--cpu-shares </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -m或--memory </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --memory-swap </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --ulimit </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --network </td> 
 <td style="vertical-align:top;width:326.75pt;"> 同“docker build”，设置连接的网络类型，如： # docker run -it --rm --network=bridge&nbsp;centos </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --network-alias </td> 
 <td style="vertical-align:top;width:326.75pt;"> 设置网络别名（列表），自定义网络模式才有效，否则报错“network-scoped aliases are only supported for user-defined networks”。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -u或--user </td> 
 <td style="vertical-align:top;width:326.75pt;"> 设置运行容器的用户（也可同时设置用户组），如： # docker run -it --rm -u=dbus centos </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --expose </td> 
 <td style="vertical-align:top;width:326.75pt;"> 容器对外暴露的端口（列表），会覆盖Dockerfile中定义的EXPOSE端口，如： # docker run -it --rm --expose&nbsp;2019 --expose&nbsp;2020 centos &nbsp; 注意这只是一个声明，容器中是否有开启这个端口由容器中的程序决定。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> -v或--volume </td> 
 <td style="vertical-align:top;width:326.75pt;"> 指定容器绑定的本地目录 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --link </td> 
 <td style="vertical-align:top;width:326.75pt;"> 设置要连接的其它容器（列表），如： # docker run -it --rm --link=20cf8c99379e centos </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --restart </td> 
 <td style="vertical-align:top;width:326.75pt;"> 容器重启策略： 
 <ol> 
 <li>no 默认值，表示表示容器退出时，Docker不自动重启容器</li> 
 <li>always 只要容器退出，Docker均重启容器</li> 
 <li>on-failure 容器退出状态值非0时，Docker自动重启容器</li> 
 </ol></td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --pids-limit </td> 
 <td style="vertical-align:top;width:326.75pt;"> 设置容器内最多进程数，默认为-1表示不做限制 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --oom-kill-disable </td> 
 <td style="vertical-align:top;width:326.75pt;"> 禁止容器内的OOM </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --pid </td> 
 <td style="vertical-align:top;width:326.75pt;"> 和指定容器共享PID（进程ID）资源，如： # docker run -it --rm --pid=container:4aae83be7a11 centos </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --env </td> 
 <td style="vertical-align:top;width:326.75pt;"> 设置容器的环境变量 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:99.35pt;"> --env-file </td> 
 <td style="vertical-align:top;width:326.75pt;"> 设置容器的环境变量，环境变量来源于文件 </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **命令“docker update”**

“docker run”可以通过参数覆盖“docker build”时指定的值，而“docker update”又可实时修改“docker run”和“docker build”时指定或未指定的值。

“docker update”能够修改的参数如下表所示：

1.  1.   **命令“docker network”**

命令“docker network”用来查看和管理网格。

1.   **常见问题**
    
    1.   **failed to create NAT chain DOCKER**

执行“systemctl start docker.service”试图启动docker时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # systemctl -l status&nbsp;docker.service failed to start daemon: Error initializing network controller: error obtaining controller instance: failed to create NAT&nbsp;chain&nbsp;DOCKER: Iptables not found docker.service: main process exited, code=exited, status=1/FAILURE Failed to start Docker Application Container Engine. Unit docker.service entered failed state. </td> 
 </tr> 
 </tbody> 
</table>

这个错误是因为没有启动iptables，导致Docker无法做端口转发，执行命令“systemctl status firewalld”查看防火墙状态：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # systemctl&nbsp;status&nbsp;firewalld firewalld.service&nbsp;- firewalld - dynamic firewall daemon &nbsp;&nbsp;&nbsp;Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled) &nbsp;&nbsp;&nbsp;Active: inactive&nbsp;(dead) &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

firewalld没有起来，启动它（disabled表示不随系统自动启动）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # systemctl start&nbsp;firewalld # systemctl status&nbsp;firewalld firewalld.service - firewalld - dynamic firewall daemon &nbsp;&nbsp;&nbsp;Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled) &nbsp;&nbsp;&nbsp;Active: active&nbsp;(running) since 三 2019-12-18 16:14:07 CST; 4s ago &nbsp;Main PID: 8066 (firewalld) &nbsp;&nbsp;&nbsp;CGroup: /system.slice/firewalld.service &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;└─8066 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid &nbsp; 12月 18 16:14:07 X.site systemd[1]: Started firewalld - dynamic firewall daemon. </td> 
 </tr> 
 </tbody> 
</table>

在CentOS7中虽然iptables仍然存在，但请使用firewalld来取代iptables服务。执行“systemctl start iptables”启动iptables，将会自动停止firewalld，所以不要启动iptables.service。

1.  1.   **Failed to start firewalld - dynamic firewall daemon**

执行“systemctl status firewalld.service”时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # systemctl status firewalld.service firewalld.service - firewalld - dynamic firewall daemon &nbsp;&nbsp;&nbsp;Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled) &nbsp;&nbsp;&nbsp;Active: failed (Result: exit-code) since 三 2019-12-18 15:46:41 CST; 4s ago &nbsp;&nbsp;Process: 6381 ExecStart=/usr/sbin/firewalld&nbsp;--nofork --nopid $FIREWALLD_ARGS (code=exited, status=1/FAILURE) &nbsp;Main PID: 6381 (code=exited, status=1/FAILURE) &nbsp; 12月 18 15:46:41 X.site systemd[1]: firewalld.service: main process exited, code=exited, status=1/FAILURE 12月 18 15:46:41 X.site systemd[1]: Failed to start firewalld&nbsp;- dynamic firewall daemon. 12月 18 15:46:41 X.site systemd[1]: Unit firewalld.service entered failed state. </td> 
 </tr> 
 </tbody> 
</table>

上述错误信息不是很明确，不足以分析出问题。/usr/sbin/firewalld实际上是一个Python脚本，由/usr/lib/systemd/system/firewalld.service中定义拉起firewalld：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ExecStart=/usr/sbin/firewalld&nbsp;--nofork --nopid&nbsp;$FIREWALLD_ARGS </td> 
 </tr> 
 </tbody> 
</table>

可手工执行看看情况：

手工执行：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # /usr/sbin/firewalld&nbsp;--nofork --nopid Traceback (most recent call last): &nbsp;&nbsp;File "/usr/sbin/firewalld", line 34, in &lt;module&gt; &nbsp;&nbsp;&nbsp;&nbsp;from firewall import config ImportError: No module named firewall </td> 
 </tr> 
 </tbody> 
</table>

错误信息显示没有名为firewall的Python模块（修复这个后，仍然可能缺失其它模块，需逐一排查，查看文件/usr/sbin/firewalld可了解到所依赖的其它模块），简单点可直接从其它机器复制一份过来。先找到firewall在其它机器上的位置：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # python Python 2.7.5 (default, Nov 20 2015, 02:00:19) [GCC 4.8.5 20150623 (Red Hat 4.8.5-4)] on linux2 Type "help", "copyright", "credits" or "license" for more information. &gt;&gt;&gt; import firewall &gt;&gt;&gt; print firewall.__file__ /usr/lib/python2.7/site-packages/firewall/__init__.pyc &gt;&gt;&gt; </td> 
 </tr> 
 </tbody> 
</table>

注意，不同机器Python包的位置可能不同，可查看sys.path值来确认包存放在哪些目录下。

另外，请注意/usr/sbin/firewalld中使用的Python是否正确（注意python的路径）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # head -1 /usr/sbin/firewalld #!/usr/bin/python&nbsp;-Es </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **can't initialize iptables table \`nat'**

执行命令“iptables -t nat -F”时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # iptables -t nat -F iptables v1.4.21: can't initialize iptables table `nat': Table does not exist (do you need to insmod?) Perhaps iptables or your kernel needs to be upgraded. </td> 
 </tr> 
 </tbody> 
</table>

遇到这个错误时，可能需要重新配置和编译内核。执行命令“modinfo iptable\_nat”检查内核中是否有NAT模块：

如果没有条件编译内核，则可从其它地方将相关的模块文件复制过来，复制过来后注意需执行一次depmod命令。相关路径：“/lib/modules/\`uname -r\`”。

如果模块存在，则显示如下（内核模块文件名以“.ko”为后缀，ko为“Kernel Object”的缩写，**depends**显示依赖的其它模块）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # modinfo&nbsp;iptable_nat filename: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/lib/modules/3.10.107-1-0050/kernel/net/ipv4/netfilter/iptable_nat.ko license: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;GPL srcversion: &nbsp;&nbsp;&nbsp;&nbsp;22FC08135673BF996B25929 depends: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nf_nat,ip_tables,nf_nat_ipv4,nf_conntrack intree: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Y vermagic: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;3.10.107-1-0050 SMP mod_unload modversions signer: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sig sig_key: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;6E:69:6E:67:20:6B:65:79:2C:94:15:C6:82:EA:DB:06:CF:5A:37:57:72:EE:7A:58:2D:CA:23:38 sig_hashalgo: &nbsp;&nbsp;sha512 </td> 
 </tr> 
 </tbody> 
</table>

其它模块可同样方法查看：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # modinfo&nbsp;nf_nat filename: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/lib/modules/3.10.107-1-0050/kernel/net/netfilter/nf_nat.ko license: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;GPL srcversion: &nbsp;&nbsp;&nbsp;&nbsp;5A7A5091ADF09B929C3EBC8 depends: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nf_conntrack intree: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Y vermagic: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;3.10.107-1-0050 SMP mod_unload modversions signer: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sig sig_key: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;6E:69:6E:67:20:6B:65:79:2C:94:15:C6:82:EA:DB:06:CF:5A:37:57:72:EE:7A:58:2D:CA:23:38 sig_hashalgo: &nbsp;&nbsp;sha512 </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **list bridge addresses failed**

执行“systemctl start docker.service”时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> 12月 18 16:26:19 X.site dockerd[23727]: failed to start daemon: Error initializing network controller: list bridge addresses failed: PredefinedLocalScopeDefaultNetworks List: [172.17.0.0/16 172.18.0.0/16 172.19.0.0/16 172.20.0.0/16 172.21.0.0/16 172.22.0.0/16 172.23.0.0/16 172.24.0.0/16 172.25.0.0/16 172.26.0.0/16 172.27.0.0/16 172.28.0.0/16 172.29.0.0/16 172.30.0.0/16 172.31.0.0/16 192.168.0.0/20 192.168.16.0/20 192.168.32.0/20 192.168.48.0/20 192.168.64.0/20 192.168.80.0/20 192.168.96.0/20 192.168.112.0/20 192.168.128.0/20 192.168.144.0/20 192.168.160.0/20 192.168.176.0/20 192.168.192.0/20 192.168.208.0/20 192.168.224.0/20 192.168.240.0/20]: no available network 12月 18 16:26:19 X.site systemd[1]: docker.service: main process exited, code=exited, status=1/FAILURE 12月 18 16:26:19 X.site systemd[1]: Failed to start Docker Application Container Engine. 12月 18 16:26:19 X.site systemd[1]: Unit docker.service entered failed state. </td> 
 </tr> 
 </tbody> 
</table>

这个错误是因为没有网桥（可执行命令“ip a”或“netstat -ie”等检查），导致docker无法启动。执行以下命令创建和启动网桥：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ip&nbsp;link add name docker0&nbsp;type bridge # ip&nbsp;addr add dev docker0 172.17.0.1/16 # ip&nbsp;link set docker0 up # ip&nbsp;a 1: lo: &lt;LOOPBACK,UP,LOWER_UP&gt; mtu 65536 qdisc noqueue state UNKNOWN &nbsp;&nbsp;&nbsp;&nbsp;link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 &nbsp;&nbsp;&nbsp;&nbsp;inet 127.0.0.1/8 scope host lo &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;valid_lft forever preferred_lft forever 2: eth0: &lt;BROADCAST,MULTICAST&gt; mtu 1500 qdisc noop state DOWN qlen 1000 &nbsp;&nbsp;&nbsp;&nbsp;link/ether 60:eb:69:fe:2e:20 brd ff:ff:ff:ff:ff:ff 3: eth1: &lt;BROADCAST,MULTICAST,UP,LOWER_UP&gt; mtu 1500 qdisc mq state UP qlen 1000 &nbsp;&nbsp;&nbsp;&nbsp;link/ether 60:eb:69:fe:2e:21 brd ff:ff:ff:ff:ff:ff &nbsp;&nbsp;&nbsp;&nbsp;inet 10.22.25.101/26 brd 10.223.25.127 scope global eth1 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;valid_lft forever preferred_lft forever 4: docker0: &lt;BROADCAST,MULTICAST,UP,LOWER_UP&gt; mtu 1500 qdisc noqueue state UNKNOWN &nbsp;&nbsp;&nbsp;&nbsp;link/ether 6e:3c:cb:3e:a7:44 brd ff:ff:ff:ff:ff:ff &nbsp;&nbsp;&nbsp;&nbsp;inet 172.17.0.1/16&nbsp;scope global docker0 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;valid_lft forever preferred_lft forever </td> 
 </tr> 
 </tbody> 
</table>

创建网桥也可使用专门的工具[brctl][]。

1.  1.   **No module named yum**

在执行yum命令时，如果报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # yum There was a problem importing one of the Python modules required to run yum. The error leading to this problem was: &nbsp; &nbsp;&nbsp;&nbsp;No module named yum &nbsp; Please install a package which provides this module, or verify that the module is installed correctly. &nbsp; It's possible that the above module doesn't match the current version of Python, which is: 2.7.5&nbsp;(default, Jun 17 2014, 18:11:42) [GCC 4.8.2 20140120 (Red Hat 4.8.2-16)] &nbsp; If you cannot solve this problem yourself, please go to the yum faq at: &nbsp;&nbsp;http://yum.baseurl.org/wiki/Faq &nbsp;&nbsp; </td> 
 </tr> 
 </tbody> 
</table>

命令yum实为Python脚本，这个错误表示找不到名为yum的Python模块。检查Python的模块搜索路径：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # python Python 2.7.5 (default, Jun 17 2014, 18:11:42) [GCC 4.8.2 20140120 (Red Hat 4.8.2-16)] on linux2 Type "help", "copyright", "credits" or "license" for more information. &gt;&gt;&gt; import sys &gt;&gt;&gt; print sys.path ['', '/usr/lib64/python27.zip', '/usr/lib64/python2.7', '/usr/lib64/python2.7/plat-linux2', '/usr/lib64/python2.7/lib-tk', '/usr/lib64/python2.7/lib-old', '/usr/lib64/python2.7/lib-dynload', '/usr/lib64/python2.7/site-packages', '/usr/lib64/python2.7/site-packages/gtk-2.0', '/usr/lib/python2.7/site-packages', '/usr/lib/python2.7/site-packages/setuptools-34.4.1-py2.7.egg', '/usr/lib/python2.7/site-packages/MySQL_python-1.2.5-py2.7-linux-x86_64.egg'] &gt;&gt;&gt; </td> 
 </tr> 
 </tbody> 
</table>

如果模块yum可用，可通过如下方法找到它所有路径：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # python &gt;&gt;&gt; import yum &gt;&gt;&gt; print yum.__file__ /usr/lib/python2.7/site-packages/yum/__init__.pyc </td> 
 </tr> 
 </tbody> 
</table>

如果模块yum并不存在，则可从其它可用的机器复制一份过来，保持目录一致。如果在执行“import yum”报错“No module named **urlgrabber**”和“No module named **rpmUtils**.transaction”，则也需要将urlgrabber等模块复制过来，直到“import yum”不再报错。

1.  1.   **rpmdb open failed**

执行“yum install docker-ce-19.03.5-3.el7.x86\_64.rpm”时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # yum install docker-ce-19.03.5-3.el7.x86_64.rpm error: rpmdb: BDB0113 Thread/process 7020/140405160273920 failed: BDB1507 Thread died in Berkeley DB library error: db5 error(-30973) from dbenv-&gt;failchk: BDB0087 DB_RUNRECOVERY: Fatal error, run database recovery error: cannot open Packages index using db5 - &nbsp;(-30973) error: cannot open Packages database in /var/lib/rpm CRITICAL:yum.main: &nbsp; Error: rpmdb open failed </td> 
 </tr> 
 </tbody> 
</table>

这个错误是因为RPM数据库损坏了，执行以下操作的修复：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # cd /var/lib/rpm # tar czf x.tar.gz __db.* # rm -f __db.* # rpm --rebuilddb # yum clean all </td> 
 </tr> 
 </tbody> 
</table>

然后，可再次执行“yum install docker-ce-19.03.5-3.el7.x86\_64.rpm”。

1.  1.   **start request repeated too quickly for docker.service**

执行“systemctl start docker.service”时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> systemd[1]: start request repeated too quickly&nbsp;for docker.service systemd[1]: Failed to start Docker Application Container Engine. systemd[1]: Unit docker.service entered failed state. systemd[1]: docker.service failed. </td> 
 </tr> 
 </tbody> 
</table>

“systemctl start docker.service”输出的信息可能不全，可直接查看系统日志文件/var/log/messages，如果看到以下错误信息：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> Running modprobe nf_nat failed with message: `modprobe: WARNING: Module nf_nat not found.`, error: exit status 1 </td> 
 </tr> 
 </tbody> 
</table>

该错误表示没有加载内核模块“iptable\_nat”，执行“modinfo iptable\_nat”确认：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # modinfo iptable_nat modinfo: ERROR: Module iptable_nat not found. </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **Module nf\_nat not found**

该错误表示没有加载内核模块“iptable\_nat”，模块文件位于目录/lib/modules/\`uname -r\`/kernel/。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # ls /lib/modules/`uname -r`/kernel/ arch &nbsp;crypto &nbsp;drivers &nbsp;fs &nbsp;kernel &nbsp;lib &nbsp;mm &nbsp;net </td> 
 </tr> 
 </tbody> 
</table>

内核模块“iptable\_nat”又依赖nf\_nat和ip\_tables等内核模块，成功加载后问题将解决。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # lsmod | grep nat iptable_nat&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;13011 &nbsp;1 nf_nat_ipv4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;13263 &nbsp;1 iptable_nat nf_nat&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;26711 &nbsp;3 ipt_MASQUERADE,nf_nat_ipv4,iptable_nat nf_conntrack&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;96187 &nbsp;8 ipt_MASQUERADE,nf_nat,nf_nat_ipv4,xt_conntrack,nf_conntrack_netlink,iptable_nat,nf_conntrack_ipv4,nf_conntrack_ipv6 ip_tables&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;27239 &nbsp;4 iptable_filter,iptable_mangle,iptable_nat,iptable_raw </td> 
 </tr> 
 </tbody> 
</table>

1.  1.   **applying cgroup configuration for process caused**

启动容器时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> Error response from daemon: oci runtime error: container_linux.go:235: starting container process caused "process_linux.go:258: applying cgroup configuration for process caused \"Cannot set property TasksAccounting, or unknown property.\"". </td> 
 </tr> 
 </tbody> 
</table>

这个错误是因为镜像和Linux内核版本不一致，一般是镜像要求更高版本的内核，因此需要升级内核。

1.  1.   **Transaction check error:**

执行“yum -y install docker-ce”时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> Transaction check error: &nbsp;&nbsp;file /usr/bin/docker from install of docker-ce-cli-1:19.03.1-3.el7.x86_64 conflicts with file from package docker-common-2:1.13.1-96.gitb2f74b2.tl2.x86_64 &nbsp;&nbsp;file /usr/bin/dockerd from install of docker-ce-3:19.03.1-3.el7.x86_64 conflicts with file from package docker-common-2:1.13.1-96.gitb2f74b2.tl2.x86_64 &nbsp; 错误概要 ------------- </td> 
 </tr> 
 </tbody> 
</table>

这是依赖包版本冲突问题，需先执行“yum -y remove docker-common”删除依赖的包“docker-common”，然后再执行“yum -y install docker-ce”。

1.  1.   **Your kernel does not support swap limit capabilities or the cgroup is not mounted**

启动容器时遇到如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> Your kernel does not support swap limit capabilities or the cgroup is not mounted. Memory limited without swap. </td> 
 </tr> 
 </tbody> 
</table>

执行命令“lssubsys --all”检查是否安装了cgroups相关组件，如果执行“yum install -y cgroup-bin”或“yum install -y libcgroup libcgroup-tools”安装。

进一步检查是否打开了内核的“cgroup\_enable”和“swapaccount”，如果没有则可编辑/etc/default/**grub**，为GRUB\_CMDLINE\_LINUX所在行添加如下内容：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> cgroup_enable=memory swapaccount=1 </td> 
 </tr> 
 </tbody> 
</table>

在修改文件/etc/default/**grub**后，得执行命令“**/sbin/grub2-mkconfig** -o /boot/grub2/**grub.cfg**”以将/etc/default/**grub**更新到/boot/grub2/**grub.cfg**，然后还需重启系统以生效。

1.  1.   **Cannot connect to the Docker daemon at**

启动容器时遇到如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> docker: Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?. See 'docker run --help'. </td> 
 </tr> 
 </tbody> 
</table>

这个错误是因为没有启动Docker服务。

1.  1.   **Minimum memoryswap limit should be larger than memory limit**

执行“docker update”时报如下错误：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> Error response from daemon: Minimum memoryswap limit should be larger than memory limit, see usage </td> 
 </tr> 
 </tbody> 
</table>

这是因为参数“--memory-swap”的值小于参数“-m”的值。

1.  1.   **Value too large for defined data type**

下列错误，可能是因为在64位上跑32位程序：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> Value too large for defined data type </td> 
 </tr> 
 </tbody> 
</table>

此错误对应的出错代码为**EOVERFLOW**，原因可能是目标文件超过2GB大小。

下列代码可能会导致这个错误出错（为何说是可能，本节最后部分解释）：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> // g++ -g -o x x.cpp -m32 #include &lt;errno.h&gt; #include &lt;stdio.h&gt; #include &lt;string.h&gt; #include &lt;sys/stat.h&gt; #include &lt;sys/types.h&gt; #include &lt;unistd.h&gt; #include &lt;string&gt; &nbsp; int main(int argc, char* argv[]) { &nbsp;&nbsp;struct stat st; &nbsp; &nbsp;&nbsp;if (stat(argv[1], &amp;st) != 0) &nbsp;&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;printf("stat failed: %s.\n", strerror(errno)); &nbsp;&nbsp;&nbsp;&nbsp;return 1; &nbsp;&nbsp;} &nbsp;&nbsp;else { &nbsp;&nbsp;&nbsp;&nbsp;printf("%zd\n", st.st_size); &nbsp;&nbsp;&nbsp;&nbsp;return 0; &nbsp;&nbsp;} } </td> 
 </tr> 
 </tbody> 
</table>

改成下列后，运行正常：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> // g++ -g -o x x.cpp -m32 #include &lt;errno.h&gt; #include &lt;stdio.h&gt; #include &lt;string.h&gt; #include &lt;sys/stat.h&gt; #include &lt;sys/types.h&gt; #include &lt;unistd.h&gt; #include &lt;string&gt; &nbsp; int main(int argc, char* argv[]) { &nbsp;&nbsp;struct stat64 st; &nbsp; &nbsp;&nbsp;if (stat64(argv[1], &amp;st) != 0) &nbsp;&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;printf("stat failed: %s.\n", strerror(errno)); &nbsp;&nbsp;&nbsp;&nbsp;return 1; &nbsp;&nbsp;} &nbsp;&nbsp;else { &nbsp;&nbsp;&nbsp;&nbsp;printf("%zd\n", st.st_size); &nbsp;&nbsp;&nbsp;&nbsp;return 0; &nbsp;&nbsp;} } </td> 
 </tr> 
 </tbody> 
</table>

前面说的可能，是因为不同机器的编译环境（可理解为默认编译参数）可能并不相同，因此导致结果是可能，原因是宏“-D\_FILE\_OFFSET\_BITS=64”会影响结果，如果定义了，则效果如同最后一段代码，否则报错“Value too large for defined data type”。

# **附1：rpm安装** #

RPM包实际也是一个压缩包，为“RedHat Package Manager”的缩写，在Windows上可用7-zip等软件直接打开见其卢山真面目。以下是RPM命令的常见应用：

<table style="width:426.15pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> 命令 </td> 
 <td style="vertical-align:top;width:108pt;"> 作用 </td> 
 <td style="vertical-align:top;width:157pt;"> 说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -ivh&nbsp;packagename.rpm </td> 
 <td style="vertical-align:top;width:108pt;"> 安装 </td> 
 <td style="vertical-align:top;width:157pt;"> -i为install之意，即安装，等同--install； -v为verbose之意，即显示详细信息，等同--verbose； -h为hash之意，即显示进度信息，等同--hash。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -ivh packagename.rpm --nodeps </td> 
 <td style="vertical-align:top;width:108pt;"> 强制安装，并忽略依赖 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -ivh packagename.rpm --force </td> 
 <td style="vertical-align:top;width:108pt;"> 强制安装，不忽略依赖 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -e packagename </td> 
 <td style="vertical-align:top;width:108pt;"> 卸载 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -qi packagename </td> 
 <td style="vertical-align:top;width:108pt;"> 查看信息 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -pq packagename.rpm </td> 
 <td style="vertical-align:top;width:108pt;"> 查询安装后的名字 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -ql packagename </td> 
 <td style="vertical-align:top;width:108pt;"> 查询安装后生成的文件 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:161.15pt;"> rpm -qlp&nbsp;packagename.rpm </td> 
 <td style="vertical-align:top;width:108pt;"> 查询安装后生成的文件 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

RPM没有解决包依赖问题，所以使用它安装时，可能会遇到很多依赖包版本不匹配或者依赖的包不存在问题。就Docker而言，使用RPM包安装，可能并不简单，如果不能yum安装，则更建议直接二进制安装。

Docker RPM包可在[https://download.docker.com/linux/centos/7/x86\_64/stable/Packages/][https_download.docker.com_linux_centos_7_x86_64_stable_Packages]上找到。

container-selinux等部分包可在[http://mirror.centos.org/centos/7/extras/x86\_64/Packages/][http_mirror.centos.org_centos_7_extras_x86_64_Packages]上找到。

# **附2：yum安装** #

Linux上的yum是一个Python脚本，为“Yellow dog Updater, Modified”的缩写，基于RPM的Shell前端软件包管理器。

/etc/**yum.conf**为yum的配置文件，仓库配置放在目录/etc/yum.repos.d下。如果需添加本地仓库，可在目录/etc/yum.repos.d下新建一仓库配置，然后清除下缓存，执行“yum repolist”即可看到。

以下是yum命令的常见应用：

<table style="width:426.15pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> 命令 </td> 
 <td style="vertical-align:top;width:133.8pt;"> 作用 </td> 
 <td style="vertical-align:top;width:157pt;"> 说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum list&nbsp;all </td> 
 <td style="vertical-align:top;width:133.8pt;"> 列举出仓库中的所有包 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum list installed </td> 
 <td style="vertical-align:top;width:133.8pt;"> 列举已安装的 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum list available </td> 
 <td style="vertical-align:top;width:133.8pt;"> 列举可安装的包 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum repolist&nbsp;all </td> 
 <td style="vertical-align:top;width:133.8pt;"> 列举出所有仓库，含禁用的 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum repolist </td> 
 <td style="vertical-align:top;width:133.8pt;"> 列举出可用的仓库 </td> 
 <td style="vertical-align:top;width:157pt;"> 等同“yum repolist enabled” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum repolist disabled </td> 
 <td style="vertical-align:top;width:133.8pt;"> 列举出禁用的仓库 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum clean&nbsp;all </td> 
 <td style="vertical-align:top;width:133.8pt;"> 清除所有缓存 </td> 
 <td style="vertical-align:top;width:157pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum search packagename </td> 
 <td style="vertical-align:top;width:133.8pt;"> 查找可安装的包 </td> 
 <td style="vertical-align:top;width:157pt;"> 示例: yum search docker </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum info&nbsp;packagename </td> 
 <td style="vertical-align:top;width:133.8pt;"> 查询包的摘要信息 </td> 
 <td style="vertical-align:top;width:157pt;"> 示例: yum info docker </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum deplist&nbsp;packagename </td> 
 <td style="vertical-align:top;width:133.8pt;"> 查看包依赖 </td> 
 <td style="vertical-align:top;width:157pt;"> 示例： yum deplist docker </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum list all packagename </td> 
 <td style="vertical-align:top;width:133.8pt;"> 查看仓库中指定名的包 </td> 
 <td style="vertical-align:top;width:157pt;"> 救命： yum list all docker </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum -y install packagename </td> 
 <td style="vertical-align:top;width:133.8pt;"> 安装 </td> 
 <td style="vertical-align:top;width:157pt;"> 示例1（安装单个）： yum -y install docker &nbsp; 示例2（安装多个）： yum -y install \ docker-ce \ docker-ce-cli \ containerd.io \ docker </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum -y remove&nbsp;packagenameX </td> 
 <td style="vertical-align:top;width:133.8pt;"> 删除安装的包 </td> 
 <td style="vertical-align:top;width:157pt;"> 注意packagenameX是命令yum list installed列出的包名（第1列），比如docker-ce-cli.x86_64。 &nbsp; 示例1： yum -y remove&nbsp;docker.x86_64 示例2： yum -y remove \ docker-ce-cli.x86_64 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> yum-config-manager \ --add-repo=ADDREPO </td> 
 <td style="vertical-align:top;width:133.8pt;"> 添加和启用一个新的仓库，执行时会在目录/etc/yum.repos.d下生成一个repo文件。 </td> 
 <td style="vertical-align:top;width:157pt;"> 示例： yum-config-manager \ --add-repo=\ https://download.docker.com/linux/centos/docker-ce.repo &nbsp; 如果没有yum-config-manager，则可用下列命令安装： yum install -y yum-utils \ device-mapper-persistent-data \ lvm2 &nbsp; yum-config-manager是包yum-utils中的一员。 </td> 
 </tr> 
 </tbody> 
</table>

# **附3：systemctl和systemd** #

常见systemctl用法：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> 命令 </td> 
 <td style="vertical-align:top;width:134.4pt;"> 作用 </td> 
 <td style="vertical-align:top;width:156.35pt;"> 说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl start&nbsp;service </td> 
 <td style="vertical-align:top;width:134.4pt;"> 启动服务 </td> 
 <td style="vertical-align:top;width:156.35pt;"> 示例1： system start&nbsp;docker.service 或 system start&nbsp;docker </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl stop&nbsp;service </td> 
 <td style="vertical-align:top;width:134.4pt;"> 停止服务 </td> 
 <td style="vertical-align:top;width:156.35pt;"> 示例1 system stop&nbsp;crond 或 system stop&nbsp;crond.service </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl restart&nbsp;service </td> 
 <td style="vertical-align:top;width:134.4pt;"> 重启服务 </td> 
 <td style="vertical-align:top;width:156.35pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl enable&nbsp;service </td> 
 <td style="vertical-align:top;width:134.4pt;"> 设置服务随系统自动启动 </td> 
 <td style="vertical-align:top;width:156.35pt;"> 以docker.service为例，“systemctl enable&nbsp;service”的作用实际等同于： ln -s&nbsp;\ '/etc/systemd/system/docker.service' \ '/etc/systemd/system/multi-user.target.wants/docker.service' </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl disable&nbsp;service </td> 
 <td style="vertical-align:top;width:134.4pt;"> 取消服务随系统自动启动 </td> 
 <td style="vertical-align:top;width:156.35pt;"> 以docker.service为例，“systemctl disable&nbsp;service”的作用实际等同于： rm&nbsp;'/etc/systemd/system/multi-user.target.wants/docker.service' </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl status&nbsp;service </td> 
 <td style="vertical-align:top;width:134.4pt;"> 查看服务状态 </td> 
 <td style="vertical-align:top;width:156.35pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl reload </td> 
 <td style="vertical-align:top;width:134.4pt;"> 重加载配置 </td> 
 <td style="vertical-align:top;width:156.35pt;"> 当修改诸如docker.service文件时，需要执行一次reload </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl reboot </td> 
 <td style="vertical-align:top;width:134.4pt;"> 重启系统 </td> 
 <td style="vertical-align:top;width:156.35pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:135.35pt;"> systemctl set-default </td> 
 <td style="vertical-align:top;width:134.4pt;"> 设置默认的启动级别，其中multi-user.target对应级别3，graphical.target对应级别5 </td> 
 <td style="vertical-align:top;width:156.35pt;"> 示例1： systemctl \ set-default \ multi-user.target &nbsp; 示例2： systemctl \ set-default \ graphical.target </td> 
 </tr> 
 </tbody> 
</table>

systemctl类似于Windows平台的服务管理器，工作原理是通过与服务systemd交互完成各项工作，比如重启crond进程。

systemd是Linux系统启动后的第一个进程，取代了以前的init进程。systemd进程和init进程不会同时存在，低版本Linux为init，高版本Linux为systemd。

“systemctl status”和“systemctl -l status”输出的信息实际来源于系统日志文件“/var/log/message”。

当使用“systemctl start”启动一个服务失败，通过“systemctl -l status”又找不到确切原因时，可尝试直接执行service文件（比如docker.service）中ExecStart的定义的命令，这样可能可查明失败原因。

# **附4：命令brctl** #

可用brctl命令管理网桥，为包[bridge-utils][]中的一员。

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> 命令 </td> 
 <td style="vertical-align:top;width:93.6pt;"> 作用 </td> 
 <td style="vertical-align:top;width:185.75pt;"> 说明 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl addbr&nbsp;&lt;bridge&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 创建网桥 </td> 
 <td style="vertical-align:top;width:185.75pt;"> 示例： brctl addbr docker0 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl delbr&nbsp;&lt;bridge&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 删除网桥 </td> 
 <td style="vertical-align:top;width:185.75pt;"> 示例： brctl delbr docker0 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl show&nbsp;&lt;bridge&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 查询网桥信息 </td> 
 <td style="vertical-align:top;width:185.75pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl setfd&nbsp;&lt;bridge&gt; &lt;time&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 设置网桥转发延迟 </td> 
 <td style="vertical-align:top;width:185.75pt;"> 示例： brctl setfd docker0 10 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl addif&nbsp;&lt;bridge&gt; &lt;device&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 网卡接入网桥 </td> 
 <td style="vertical-align:top;width:185.75pt;"> 示例： brctl addif docker0 eth1 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl delif&nbsp;&lt;bridge&gt; &lt;device&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 删除接入网桥的网卡 </td> 
 <td style="vertical-align:top;width:185.75pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl stp &lt;bridge&gt; &lt;on&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 启用网桥 </td> 
 <td style="vertical-align:top;width:185.75pt;"> 示例： brctl stp docker0 on </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl stp &lt;bridge&gt; &lt;off&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 禁用网桥 </td> 
 <td style="vertical-align:top;width:185.75pt;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:146.75pt;"> brctl showmacs &lt;bridge&gt; </td> 
 <td style="vertical-align:top;width:93.6pt;"> 查看mac信息 </td> 
 <td style="vertical-align:top;width:185.75pt;"> 示例： brctl showmacs docker0 </td> 
 </tr> 
 </tbody> 
</table>

# **附5：命令ip** #

Linux中网格管理命令，功能覆盖ifconfig、netstat、route、arp等命令，是一个十分强大的大而全集成工具。为包iproute中的一员，而netstat和ifconfig为包net-tools包中的一员（执行“rpm -ql net-tools”可查看）。

常见对比：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> &nbsp; </td> 
 <td style="vertical-align:top;width:160.8pt;"> Ifconfig/netstat命令 </td> 
 <td style="vertical-align:top;width:194.15pt;"> ip命令 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> 归属包 </td> 
 <td style="vertical-align:top;width:160.8pt;"> net-tools </td> 
 <td style="vertical-align:top;width:194.15pt;"> iproute </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> &nbsp; </td> 
 <td style="vertical-align:top;width:160.8pt;"> ifconfig </td> 
 <td style="vertical-align:top;width:194.15pt;"> ip link </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> &nbsp; </td> 
 <td style="vertical-align:top;width:160.8pt;"> ifconfig eth0 up </td> 
 <td style="vertical-align:top;width:194.15pt;"> ip link set eth0 up </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> 查看所有接口，包括已禁用的 </td> 
 <td style="vertical-align:top;width:160.8pt;"> ifconfig -a </td> 
 <td style="vertical-align:top;width:194.15pt;"> ip addr show或ip a </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> &nbsp; </td> 
 <td style="vertical-align:top;width:160.8pt;"> ifconfig -s </td> 
 <td style="vertical-align:top;width:194.15pt;"> ip -s link </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> &nbsp; </td> 
 <td style="vertical-align:top;width:160.8pt;"> netstat -i </td> 
 <td style="vertical-align:top;width:194.15pt;"> ip -s link </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:71.15pt;"> &nbsp; </td> 
 <td style="vertical-align:top;width:160.8pt;"> netstat -r </td> 
 <td style="vertical-align:top;width:194.15pt;"> ip route </td> 
 </tr> 
 </tbody> 
</table>

还可使用命令ip创建和设置网桥：

1.  创建网桥

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ip link add name docker0 type&nbsp;bridge </td> 
 </tr> 
 </tbody> 
</table>

注：执行“ip link help”可查看“ip link”的使用帮助。

1.  设置网桥的IP和网关

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ip addr add&nbsp;dev docker0 172.17.0.1/16 </td> 
 </tr> 
 </tbody> 
</table>

注：“172.17.0.1/16”中的“172.17.0.1”为网桥的IP地址，16表示16个1，对应的网关地址为255.255.0.0（十填制数255对应的二进制值为11111111）。

1.  启用网桥

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ip link set docker0 up </td> 
 </tr> 
 </tbody> 
</table>

1.  禁用网桥

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ip link set docker0 down </td> 
 </tr> 
 </tbody> 
</table>

1.  删除网桥

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> ip link delete docker0 type&nbsp;bridge </td> 
 </tr> 
 </tbody> 
</table>

# **附6：内核模块** #

Linux内核模块放在目录/lib/modules/\`uname -r\`/kernel下，模块文件以“.ko”为后缀：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # file /lib/modules/`uname -r`/kernel/net/netfilter/nf_nat.ko /lib/modules/3.10.107-1-0046/kernel/net/netfilter/nf_nat.ko: ELF 64-bit LSB relocatable, x86-64, version 1 (SYSV), BuildID[sha1]=1a7527386082c922caeb208c7c9a1d530c079f1d, not stripped </td> 
 </tr> 
 </tbody> 
</table>

1.  查看模块信息

使用命令modinfo查看模块信息

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # modinfo xt_limit.ko filename: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/lib/modules/3.10.107-1-0046/kernel/net/netfilter/xt_limit.ko alias: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ip6t_limit alias: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ipt_limit description: &nbsp;&nbsp;&nbsp;Xtables: rate-limit match author: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Herve Eychenne &lt;rv@wallfire.org&gt; license: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;GPL srcversion: &nbsp;&nbsp;&nbsp;&nbsp;B22C9E4BCCDBDFBFD5D4EFD depends: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; intree: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Y vermagic: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;3.10.107-1-0046 SMP mod_unload modversions signer: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sig sig_key: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;6E:69:6E:67:20:6B:65:79:2C:94:15:C6:82:EA:DB:06:CF:5A:37:57:72:EE:7A:58:2D:CA:23:38 sig_hashalgo: &nbsp;&nbsp;sha512 </td> 
 </tr> 
 </tbody> 
</table>

1.  查看已加载模块

使用命令lsmod查看已加载模块列表：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # lsmod Module &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Size &nbsp;Used by nf_nat &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;26754 &nbsp;0 ip6t_rpfilter &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;12546 &nbsp;1 ip6t_REJECT &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;12939 &nbsp;2 nf_conntrack_ipv6 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;18738 &nbsp;4 nf_defrag_ipv6 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;34651 &nbsp;1 nf_conntrack_ipv6 &nbsp; # lsmod | grep nf_nat nf_nat &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;26754 &nbsp;0 nf_conntrack &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;96187 &nbsp;4 nf_nat,xt_conntrack,nf_conntrack_ipv4,nf_conntrack_ipv6 </td> 
 </tr> 
 </tbody> 
</table>

1.  卸载模块

使用命令rmmod卸载模块：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # rmmod nf_nat_proto_udplite # rmmod nf_nat.ko </td> 
 </tr> 
 </tbody> 
</table>

1.  加载模块

使用命令insmod加载模块，要求指定模块文件名的全路径或相对路径：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # insmod ./nf_nat_proto_udplite.ko # insmod netfilter/nf_nat.ko </td> 
 </tr> 
 </tbody> 
</table>

也可使用modprobe加载模块，这种方式不需要指定模块路径。modprobe依靠文件/lib/modules/\`uname -r\`/modules.dep来查找模块文件，因此当在目录/lib/modules/\`uname -r\`/kernel下有新增模块文件时，需要先执行一次depmod命令，才能执行modprobe加载模块，否则报错：

如果模块格式不匹配，将报如下所示错：

<table style="width:426.1pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:426.1pt;"> # modprobe nf_nat modprobe: ERROR: could not insert 'nf_nat': Exec format error &nbsp; # insmod ./nf_nat.ko insmod: ERROR: could not insert module ./nf_nat.ko: Invalid module format </td> 
 </tr> 
 </tbody> 
</table>

1.  更新模块依赖关系

模块依赖关系文件为/lib/modules/\`uname -r\`/modules.dep，当有在目录/lib/modules/\`uname -r\`/kernel下新增模块文件后，需要执行一次depmod来更新文件modules.dep，否则modprobe将找不到模块文件。

[https_download.docker.com]: https://download.docker.com/
[https_download.docker.com_linux_static_stable_x86_64]: https://download.docker.com/linux/static/stable/x86_64/
[https_download.docker.com_linux_centos_7_x86_64_stable_Packages]: https://download.docker.com/linux/centos/7/x86_64/stable/Packages/
[centos7]: https://hub.docker.com/_/centos
[docker run]: https://docs.docker.com/engine/reference/run/
[brctl]: https://linux.die.net/man/8/brctl
[http_mirror.centos.org_centos_7_extras_x86_64_Packages]: http://mirror.centos.org/centos/7/extras/x86_64/Packages/
[bridge-utils]: https://mirrors.edge.kernel.org/pub/linux/utils/net/bridge-utils/