一篇文章带你深入剖析Docker镜像

作者：乔克

公众号：运维开发故事

知乎：乔克叔叔

大家好，我是乔克，一名一线运维实践者。

镜像对于YAML工程师来说都不陌生，每天都在和他打交道，编写、构建、发布，重复而有趣。

在我们编写一个构建镜像的Dockerfile之后，只要应用能正常跑起来，便很少再去看这个Dockerfile了(至少我是这样)。对于这个Dockerfile是不是想象中的那么合理，是不是还可以再优化一下，并没有做太深入的思考。

本文主要从以下几个方面带你深入了解镜像的知识。

镜像的基本概念

在了解一件事物的时候，脑海中总是会先问一句“是什么”，学习Docker镜像也是同样的道理，什么是Docker镜像?

在说Docker镜像之前，先简单说说Linux文件系统。

典型的Linux文件系统由bootfs和rootfs组成，bootfs会在Kernel加载到内存后umount掉，所以我们进入系统看到的都是rootfs，比如/etc，/prod，/bin等标准目录。

我们可以把Docker镜像当成一个rootfs，这样就能比较形象是知道什么是Docker镜像，比如官方的ubuntu:21.10，就包含一套完整的ubuntu:21.10最小系统的rootfs，当然其内是不包含内核的。

Docker镜像是一个_特殊的文件系统_，它提供容器运行时需要的程序、库、资源、配置还有一个运行时参数，其最终目的就是能在容器中运行我们的代码。

以上是从宏观的的视角去看Docker镜像是什么，下面再从微观的角度来深入了解一下Docker镜像。假如我们现在只有一个ubuntu:21.10镜像，如果现在需要一个nginx镜像，是不是可以直接在这个镜像中安装一个nginx，然后这个镜像是不是就可以变成nginx镜像?

答案是可以的。其实这里面就有一个分层的概念，底层用的是ubuntu镜像，然后在上面叠加了一个nginx镜像，这样就完成了一个nginx镜像的构建了，这种情况我们称ubuntu镜像为nginx的父镜像。

这么说起来还是有点不好理解，介绍完下面的镜像存储方式，就好理解了。

镜像的存储方式

在说镜像的存储方式之前，先简单介绍一个UnionFS(联合文件系统，Union File System)。

所谓UnionFS就是把不同物理位置的目录合并mount到同一个目录中，然后形成一个虚拟的文件系统。一个最典型的应用就是将一张CD/DVD和一个硬盘的目录联合mount在一起，然后用户就可以对这个只读的CD/DVD进行修改了。

Docker就是充分利用UnionFS技术，将镜像设计成分层存储，现在使用的就是OverlayFS文件系统，它是众多UnionFS中的一种。

OverlayFS只有lower和upper两层。顾名思义，upper层在上面，lower层在下面，upper层的优先级高于lower层。

在使用mount挂载overlay文件系统的时候，遵守以下规则。

• lower和upper两个目录存在同名文件时，lower的文件将会被隐藏，用户只能看到upper的文件。
• lower低优先级的同目录同名文件将会被隐藏。
• 如果存在同名目录，那么lower和upper目录中的内容将会合并。
• 当用户修改merge中来自upper的数据时，数据将直接写入upper中原来目录中，删除文件也同理。
• 当用户修改merge中来自lower的数据时，lower中内容均不会发生任何改变。因为lower是只读的，用户想修改来自lower数据时，overlayfs会首先拷贝一份lower中文件副本到upper中。后续修改或删除将会在upper下的副本中进行，lower中原文件将会被隐藏。
• 如果某一个目录单纯来自lower或者lower和upper合并，默认无法进行rename系统调用。但是可以通过mv重命名。如果要支持rename，需要CONFIG_OVERLAY_FS_REDIRECT_DIR。

下面以OverlayFS为例，直面感受一下这种文件系统的效果。

系统：CentOS 7.9 Kernel：3.10.0

(1)创建两个目录lower、upper、merge、work四个目录

1. ##mkdirlowerupperworkmerge

其中：

• lower目录用于存放lower层文件
• upper目录用于存放upper层文件
• work目录用于存放临时或者间接文件
• merge目录就是挂载目录

(2)在lower和upper两个目录中都放入一些文件，如下：

1. #echo"Fromlower.">lower/common-file
2. #echo"Fromupper.">upper/common-file
3. #echo"Fromlower.">lower/lower-file
4. #echo"Fromupper.">upper/upper-file
5. #tree
6. .
7. ├──lower
8. │├──common-file
9. │└──lower-file
10. ├──merge
11. ├──upper
12. │├──common-file
13. │└──upper-file
14. └──work

可以看到lower和upper目录中有相同名字的文件common-file，但是他们的内容不一样。

(3)将这两个目录进行挂载，命令如下：

1. #mount-toverlay-olowerdir=lower,upperdir=upper,workdir=workoverlaymerge

挂载的结果如下：

1. #tree
2. .
3. ├──lower
4. │├──common-file
5. │└──lower-file
6. ├──merge
7. │├──common-file
8. │├──lower-file
9. │└──upper-file
10. ├──upper
11. │├──common-file
12. │└──upper-file
13. └──work
14. └──work
15. #catmerge/common-file
16. Fromupper.

可以看到两者共同目录common-dir内容进行了合并，重复文件common-file为uppderdir中的common-file。

(4)在merge目录中创建一个文件，查看效果

1. #echo"Addfilefrommerge">merge/merge-file
2. #tree
3. .
4. ├──lower
5. │├──common-file
6. │└──lower-file
7. ├──merge
8. │├──common-file
9. │├──lower-file
10. │├──merge-file
11. │└──upper-file
12. ├──upper
13. │├──common-file
14. │├──merge-file
15. │└──upper-file
16. └──work
17. └──work

可以看到lower层没有变化，新增的文件会新增到upper层。

(5)修改merge层的lower-file，效果如下

1. #echo"updatelowerfilefrommerge">merge/lower-file
2. #tree
3. .
4. ├──lower
5. │├──common-file
6. │└──lower-file
7. ├──merge
8. │├──common-file
9. │├──lower-file
10. │├──merge-file
11. │└──upper-file
12. ├──upper
13. │├──common-file
14. │├──lower-file
15. │├──merge-file
16. │└──upper-file
17. └──work
18. └──work
20. #catupper/lower-file
21. updatelowerfilefrommerge
22. #catlower/lower-file
23. Fromlower.

可以看到lower层同样没有变化，所有的修改都发生在upper层。

从上面的实验就可以看到比较有意思的一点：不论上层怎么变，底层都不会变。

Docker镜像就是存在联合文件系统的，在构建镜像的时候，会一层一层的向上叠加，每一层构建完就不会再改变了，后一层上的任何改变都只会发生在自己的这一层，不会影响前面的镜像层。

我们通过一个例子来进行阐述，如下图。

具体如下：

• 基础L1层有file1和file2两个文件，这两个文件都有具体的内容。
• 到L2层的时候需要修改file2的文件内容并且增加file3文件。在修改file2文件的时候，系统会先判定这个文件在L1层有没有，从上图可知L1层是有file2文件，这时候就会把file2复制一份到L2层，然后修改L2层的file2文件，这就是用到了联合文件系统写时复制机制，新增文件也是一样。
• 到L3层修改file3的时候也会使用写时复制机制，从L2层拷贝file3到L3层 ，然后进行修改。
• 然后我们在视图层看到的file1、file2、file3都是最新的文件。

上面的镜像层是死的。当我们运行容器的时候，Docker Daemon还会动态生成一个读写层，用于修改容器里的文件，如下图。

比如我们要修改file2，就会使用写时复制机制将file2复制到读写层，然后进行修改。同样，在容器运行的时候也会有一个视图，当我们把容器停掉以后，视图层就没了，但是读写层依然保留，当我们下次再启动容器的时候，还可以看到上次的修改。

值得一提的是，当我们在删除某个文件的时候，其实并不是真的删除，只是将其标记为删除然后隐藏掉，虽然我们看不到这个文件，实际上这个文件会一直跟随镜像。

到此对镜像的分层存储有一定的认识了?这种分层存储还使得镜像的复用、定制变得更容易，就像文章开头基于ubuntu定制nginx镜像。

Dockerfile和镜像的关系

我们经常在应用代码里编写Dockerfile来制作镜像，那Dockerfile和镜像到底是什么关系呢?没有Dockerfile可以制作镜像吗?

我们先来看一个简单的Dockerfile是什么样的。

1. FROMubuntu:latest
2. ADDrun.sh/
3. VOLUME/data
4. CMD["./run.sh"]

通过这几个命令就可以做出新的镜像?

是的，通过这几个命令组成文件，docker就可以使用它制作出新的镜像，这是不是有点像给你一些柠檬、冰糖、金银花就能制作出一杯柠檬茶一个道理?

这个一联想，Dockerfile和镜像的关系就清晰明了了。

Dockerfile就是一个原材料，镜像就是我们想要的产品。当我们想要制作某一个镜像的时候，配置好Dcokerfile，然后使用docker命令就能轻松的制作出来。

那不用Dockerfile可以制作镜像吗?

答案是可以的，这时候就需要我们先启动一个基础镜像，通过docker exec命令进入容器，然后安装我们需要的软件，最好再使用docker commit生成新的镜像即可。这种方式就没有Dockerfile那么清晰明了，使用起来也比较麻烦。

镜像和容器的关系

上面说了Dockerfile是镜像的原材料，在这里，镜像就是容器的运行基础。

容器镜像和我们平时接触的操心系统镜像是一个道理，当我们拿到一个操作系统镜像，比如一个以iso结尾的centos镜像，正常情况下，这个centos操作系统并不能直接为我们提供服务，需要我们去安装配置才行。

容器镜像也是一样。

当我们通过Dockerfile制作了一个镜像，这时候的镜像是静态的，并不能为我们提供需要的服务，我们需要通过docker将这个镜像运行起来，使它从镜像变成容器，从静态变成动态。

简单来说，镜像是文件，容器是进程。容器是通过镜像创建的，没有 Docker 镜像，就不可能有 Docker 容器，这也是 Docker 的设计原则之一。

镜像的优化技巧

上面介绍了什么是镜像、镜像的存储方式以及Dockerfile和镜像、镜像和容器之间关系，这节主要介绍我们在制作镜像的时候有哪些技巧可以优化镜像。

Docker镜像构建通过docker build命令触发，docker build会根据Dockerfile文件中的指令构建Docker镜像，最终的Docker镜像是由Dockerfile中的命令所表示的层叠加起来的，所以从Dockerfile的制作到镜像的制作这一系列之间都有可以优化和注意的地方。

镜像优化可以分两个方向：

• 优化镜像体积
• 优化构建速度

优化镜像体积

优化镜像体积主要就是从制作Dockerfile的时候需要考虑的事情。

上面以及介绍过镜像是分层存储的，每个镜像都会有一个父镜像，新的镜像都是在父镜像的基础之上构建出来的，比如下面的Dockerfile。

1. FROMubuntu:latest
2. ADDrun.sh/
3. VOLUME/data
4. CMD["./run.sh"]

这段Dockerfile的父镜像是ubuntu:latest，在它的基础之上添加脚本然后组成新的镜像。

所以在优化体积方面，可以从以下几个方面进行考虑。

(1)选择尽可能小的基础镜像

在Docker hub上的同一个基础镜像会存在多个版本，如果可以，我建议你使用alpine版本，这个版本的镜像是经过许多优化，减少了很多不必要的包，节约了体积。这里就以常用的openjdk镜像为例，简单看一下它们的大小差别。

首先在Docker hub上可以看到openjdk:17-jdk和openjdk:17-jdk-alpine的镜像大小，如下：

可以看到同一个版本alpine版本的镜像比正常的版本小50MB左右，所以用这两个做基础镜像构建出来的镜像大小也会有差别。

但是是不是所有基础镜像都选alpine版本呢?

不是的，alpine镜像也会有很多坑，比如。

• 使用alpine版本镜像容易出错，因为这个版本镜像经过了大量的精简优化，很多依赖库都没有，如果程序需要依赖动态链接库就容易报错，比如Go中的cgo调用。
• 域名解析行为跟 glibc 有差异，Alpine 镜像的底层库是 musl libc，域名解析行为跟标准 glibc 有差异，需要特殊作一些修复配置，并且有部分选项在 resolv.conf 中配置不支持。
• 运行 bash 脚本不兼容，因为没有内置 bash，所以运行 bash 的 shell 脚本会不兼容。

所以使用alpine镜像也需要好好斟酌一下，在实际应用中，如果要使用alpine镜像，最好在其上做一些初始化，把需要的依赖、库、命令等先封装进去制作成新的基础镜像，其他应用再以这个基础镜像为父镜像进行操作。

(2)镜像层数尽量少

上面说过镜像是分层存储的，如果上层需要修改下层的文件需要使用写时复制机制，而且下层的文件依然存在并不会消失，如果层数越多，镜像的体积相应的也会越大。

比如下面的Dockerfile。

1. FROMubuntu:latest
2. RUNaptupdate
3. RUNaptinstallgit-y
4. RUNaptinstallcurl-y
5. ADDrun.sh/
6. CMD["./run.sh"]

这个Dockerfile能跑起来吗?完全没问题，但是这样写是不是就会导致镜像的层数非常多?

抛开父镜像ubuntu:latest本身的层不说，上面的Dockerfile足足增加了5层。在Dockerfile中是支持命令的合并的，我们可以把上面的Dockerfile改成如下。

1. FROMubuntu:latest
2. RUNaptupdate&&\
3. aptinstallgit-y&&\
4. aptinstallcurl-y
5. ADDrun.sh/
6. CMD["./run.sh"]

这样一改，就把镜像的层数从5层降低至3层，而且整个逻辑并没有改变。

说明：在 Docker1.10 后有所改变，只有 RUN、COPY、ADD 指令会创建层，其他指令会创建临时的中间镜像，不会直接增加构建的镜像大小 。

(3)删除不必要的软件包

在制作镜像的时候，脑海中始终要想起一句话：镜像尽可能的保持精简。这样也有助于提高镜像的移植性。

比如下面的Dockerfile。

1. FROMubuntu:latest
2. COPYa.tar.gz/opt
3. RUNcd/opt&&\
4. tarxfa.tar.gz
5. CMD["./run.sh"]

在这个镜像中，我们从外部拷贝了一个压缩文件a.tar.gz，在解压过后我们并没有把这个原始包删除掉，它依然会占用着空间，我们可以把这个Dockerfile改成如下。

1. FROMubuntu:latest
2. COPYa.tar.gz/opt
3. RUNcd/opt&&\
4. tarxfa.tar.gz&&\
5. rm-fa.tar.gz
6. CMD["./run.sh"]

这样不仅得到了我们想要的文件，也没有保留不必要的软件包。

(4)使用多阶段构建

这个不是必须。

为什么这么说呢?因为多阶段构建主要是为了解决编译环境留下的多余文件，使最终的镜像尽可能小。那为什么说不是必须呢，因为这种情况很多时候都会在做CI的时候给分开，编译是编译的步骤，构建是构建的步骤，所以我说不是必须。

但是这种思路是非常好的，可以通过一个Dockerfile将编译和构建都写进去，如下。

1. FROMgolangASbuild-env
2. ADD./go/src/app
3. WORKDIR/go/src/app
4. RUNgoget-u-vgithub.com/kardianos/govendor
5. RUNgovendorsync
6. RUNGOOS=linuxGOARCH=386gobuild-v-o/go/src/app/app-server
8. FROMalpine
9. RUNapkadd-Utzdata
10. RUNln-sf/usr/share/zoneinfo/Asia/Shanghai/etc/localtime
11. COPY--from=build-env/go/src/app/app-server/usr/local/bin/app-server
12. EXPOSE8080
13. CMD["app-server"]

其主要是通过在Dockerfile中定义多个FROM基础镜像来实现多阶段，阶段之间可以通过索引或者别名来引用。

优化镜像体积就总结这4点，如果你有更多更好的方法，欢迎沟通交流。

优化构建速度

当制作好Dockerfile之后，就需要构建镜像了，很多时候看着构建的速度就着急，那有什么办法可以优化一下呢?这里从以下几个方面进行表述。

(1)优化网络速度

网络是万恶之源。比如许多人的基础镜像都是直接从docker hub上拉取，如果一台机器是第一次拉是非常缓慢的，这时候我们可以先把docker hub上的镜像放到本地私有仓库，这样在同一个网络环境中，拉取速度会比直接到docker hub上拉取快1万倍。

还有一个镜像分发技术，比如阿里的dragonfly，充分采用了p2p的思想，提高镜像的拉取分发速度。

(2)优化上下文

不知道你有没有注意到，当我们使用docker build构建镜像的时候，会发送一个上下文给Docker daemon，如下：

1. #dockerbuild-ttest:v1.
2. SendingbuildcontexttoDockerdaemon11.26kB
3. Step1/2:FROMubuntu
4. ......

原来在使用docker build构建镜像的时候，会把Dockerfile同级目录下的所有文件都发送给docker daemon，后续的操作都是在这个上下文中发生。

所以，如果你Dockerfile的同级目录存在很多不必要的文件，不仅会增加内存开销，还会拖慢整个构建速度，那有什么办法进行优化吗?

这里提供两种方法：

• 如果Dockerfile必须放在代码仓库的根目录，这时候可以在这个目录下添加一个.dockerignore文件，在里面添加需要忽略的文件和文件夹，这样在发送上下文的时候就不会发送不必要的文件了。
• 重新创建一个新的目录放置Dockerfile，保持这个目录整洁干净。

(3)充分使用缓存

Docker镜像是分层存储的，在使用docker build构建镜像的时候会默认使用缓存，在构建镜像的时候，Docker都会先从缓存中去搜索要使用的镜像，而不是创建新的镜像，其规则是：从该基本镜像派生的所有子镜像，与已在缓存中的镜像进行比较，以查看是否其中一个是使用完全相同的指令构建的。如果不一样，则缓存失效，重新构建。

简单归纳就以下三个要素：

• 父镜像没有变化
• 构建的指令没有变化
• 添加的文件没有变化

只要满足这三个要素就会使用到缓存，加快构建速度。

上面从体积和效率上分别介绍了Docker镜像的优化和注意事项，如果严格按照这种思路进行镜像设计，你的镜像是能接受考验的，而且面试的时候也是能加分的。

镜像的安全管理

上面聊了那么多镜像相关的话题，最后再来说说镜像安全的问题。

镜像是容器的基石，是应用的载体。最终我们的镜像是为业务直接或者间接的提供服务，做过运维的同学应该都为自己的操作系统做过安全加固，镜像其实也需要。

这里不阐述操作系统加固方面的知识，仅仅只针对容器来说。

(1)保持镜像精简

精简不等于安全。

但是精简的镜像可以在一定程度上规避一些安全问题，都知道，一个操作系统中是会安装非常多的软件，这些软件每天都会暴露不同的漏洞，这些漏洞就会成为不怀好意之人的目标。我们可以把镜像看成是一个缩小版的操作系统，同理，镜像里面的软件越少，越精简，其漏洞暴露的风险就更低。

(2)使用非root用户

容器和虚拟机之间的一个关键区别是容器与主机共享内核。在默认情况下，Docker 容器运行在 root 用户下，这会导致泄露风险。因为如果容器遭到破坏，那么主机的 root 访问权限也会暴露。

所以我们在制作镜像的时候要使用非root用户，比如下面一个java服务：

1. FROMopenjdk:8-jre-alpine
2. RUNaddgroup-g1000-Sjoker&&\
3. adduserjoker-D-Gjoker-u1000-s/bin/sh
4. USERjoker
5. ADD--chown=jokerspringboot-helloworld.jar/home/joker/app.jar
6. EXPOSE8080
7. WORKDIR/home/joker
8. CMDexecjava-Djava.security.egd=file:/dev/./urandom-jarapp.jar

(3)对镜像进行安全扫描

在容器注册中心运行安全扫描可以为我们带来额外的价值。除了存放镜像，镜像注册中心定期运行安全扫描可以帮助我们找出薄弱点。Docker 为官方镜像和托管在 Docker Cloud 的私有镜像提供了安全扫描。

当然还有其他的仓库也有集成安全扫描工具，比如Harbor新版本已经可以自定义镜像扫描规则，也可以定义拦截规则，可以有效的发现镜像漏洞。

(4)要时常去查看安全结果

大家有没有这种感觉，我加了很多东西，但是感觉不到?

我有时候就有这种感觉，比如我给某个应用加了监控，然后就不管了，以至于我根本不知道或者不在乎这个监控到底怎么样。

假如我们对镜像进行了安全扫描，安装了一些工具，一定要去查看每个安全结果，而不是扫了就完了。

总结

小小的镜像就有这么多道道，不看不知道，一看吓一跳。

本文主要从Docker镜像的概念说起，然后结合一些实际的场景进行对比分析阐述更深层次的实现过程，有助于帮助大家理解Docker镜像。

原文链接：https://mp.weixin.qq.com/s/Pz39e75BYHqWDgs49TXXaQ