1
# 查看镜像层
2
docker image inspect nginx
3

4
# 输出
5
"Layers": [
6
    "sha256:abc123...",  # 基础层
7
    "sha256:def456...",  # 中间层
8
    "sha256:789abc..."   # 应用层
9
]

1
# OCI bundle 目录结构
2
nginx-bundle/
3
  config.json    # 容器配置
4
  rootfs/        # 根文件系统
5
    bin/
6
    etc/
7
    usr/
8
    ...

1
{
2
  "ociVersion": "1.0.2",
3
  "process": {
4
    "terminal": true,
5
    "user": { "uid": 0, "gid": 0 },
6
    "args": ["nginx", "-g", "daemon off;"],
7
    "env": ["PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin"],
8
    "cwd": "/"
9
  },
10
  "root": { "path": "rootfs", "readonly": false },
11
  "linux": {
12
    "uidMappings": [{ "containerID": 0, "hostID": 1000, "size": 1 }],
13
    "gidMappings": [{ "containerID": 0, "hostID": 1000, "size": 1 }],
14
    "namespaces": [
15
      { "type": "pid" },
16
      { "type": "network" },
17
      { "type": "ipc" },
18
      { "type": "uts" },
19
      { "type": "mount" },
20
      { "type": "user" }
21
    ],
22
    "resources": {
23
      "memory": { "limit": 536870912 },
24
      "cpu": { "quota": 50000, "period": 100000 }
25
    }
26
  }
27
}

1
// 创建 PID namespace
2
#define _GNU_SOURCE
3
#include <sched.h>
4
#include <unistd.h>
5

6
int child_func(void *arg) {
7
    printf("Child PID: %d\n", getpid());  // PID = 1
8
    return 0;
9
}
10

11
int main() {
12
    char stack[1024*1024];
13

14
    pid_t pid = clone(child_func, stack + sizeof(stack),
15
                       CLONE_NEWPID | SIGCHLD, NULL);
16

17
    printf("Parent PID: %d, Child PID: %d\n", getpid(), pid);
18
    wait(NULL);
19
    return 0;
20
}

1
# 查看容器网络 namespace
2
docker inspect nginx | jq '.[0].NetworkSettings.NetworkId'
3

4
# 使用 nsenter 进入网络 namespace
5
docker inspect nginx | jq '.[0].State.Pid'
6
nsenter -t <PID> -n ip addr

1
# 配置用户 namespace
2
# /etc/subuid 和 /etc/subgid
3
user:100000:65536

1
# 运行容器时限制内存
2
docker run -d --memory=512m --memory-swap=1g nginx
3

4
# 查看容器 cgroup
5
docker inspect nginx | jq '.[0].HostConfig.CgroupParent'
6

7
# 直接查看 cgroup 配置
8
cat /sys/fs/cgroup/memory/docker/<container_id>/memory.limit_in_bytes
9
cat /sys/fs/cgroup/memory/docker/<container_id>/memory.usage_in_bytes

1
# 限制 CPU 使用
2
docker run -d --cpus=1.5 --cpu-shares=512 nginx
3

4
# 查看配置
5
cat /sys/fs/cgroup/cpu/docker/<container_id>/cpu.cfs_quota_us
6
cat /sys/fs/cgroup/cpu/docker/<container_id>/cpu.cfs_period_us

1
// 内核 cgroup 结构（简化）
2
struct cgroup {
3
    struct cgroup_subsys_state *subsys[CGROUP_SUBSYS_COUNT];
4
    struct list_head sets;
5
    struct cgroup_root *root;
6
};
7

8
// cgroup 子系统
9
struct cgroup_subsys {
10
    struct cgroup_subsys_state *(*css_alloc)(struct cgroup *cgrp);
11
    int (*css_online)(struct cgroup_subsys_state *css);
12
    void (*css_offline)(struct cgroup_subsys_state *css);
13
    void (*css_free)(struct cgroup_subsys_state *css);
14
    // ...
15
};

1
# 查看存储驱动
2
docker info | grep "Storage Driver"
3

4
# 查看 OverlayFS 挂载
5
mount | grep overlay

1
容器文件系统挂载点:
2
/var/lib/docker/overlay2/<id>/merged/
3

4
组成:
5
  lowerdir (只读层，可以有多个)
6
    /var/lib/docker/overlay2/l1/diff
7
    /var/lib/docker/overlay2/l2/diff
8
  upperdir (可写层)
9
    /var/lib/docker/overlay2/<id>/diff
10
  workdir (工作目录)
11
    /var/lib/docker/overlay2/<id>/work

1
# 创建自定义网络
2
docker network create --driver bridge --subnet=172.20.0.0/16 mynet
3

4
# 容器连接网络
5
docker run -d --network=mynet --ip=172.20.0.10 nginx
6

7
# 查看网络
8
docker network inspect mynet

1
# 发送信号到容器
2
docker kill --signal=SIGTERM nginx
3

4
# 优雅停止（发送 SIGTERM，等待 10 秒）
5
docker stop nginx
6

7
# 强制停止（发送 SIGKILL）
8
docker kill nginx

1
# 使用 exec 形式，让进程成为 PID 1
2
CMD ["nginx", "-g", "daemon off;"]
3

4
# shell 形式会导致信号无法传递
5
# CMD nginx -g "daemon off;"  # 不推荐

1
# Dockerfile 健康检查
2
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
3
  CMD curl -f http://localhost/ || exit 1

1
# 查看健康状态
2
docker inspect --format='{{.State.Health.Status}}' nginx

1
# 查看容器能力
2
docker inspect nginx | jq '.[0].HostConfig.CapAdd'
3
docker inspect nginx | jq '.[0].HostConfig.CapDrop'
4

5
# 添加/删除能力
6
docker run --cap-add=NET_ADMIN --cap-drop=CHOWN nginx

1
# 使用自定义 seccomp 配置
2
docker run --security-opt seccomp=profile.json nginx
3

4
# 禁用 seccomp（不推荐）
5
docker run --security-opt seccomp=unconfined nginx

1
# AppArmor 配置
2
docker run --security-opt apparmor=docker-default nginx
3

4
# SELinux 配置
5
docker run --security-opt label=level:s0:c100,c200 nginx

1
# 容器详细信息
2
docker inspect nginx
3

4
# 容器进程
5
docker top nginx
6

7
# 容器资源使用
8
docker stats nginx
9

10
# 容器日志
11
docker logs -f nginx

1
# 使用 docker exec
2
docker exec -it nginx /bin/bash
3

4
# 使用 nsenter
5
PID=$(docker inspect -f '{{.State.Pid}}' nginx)
6
nsenter -t $PID -m -u -i -n -p /bin/bash

1
# 导出容器文件系统
2
docker export nginx > nginx.tar
3

4
# 导出镜像
5
docker save nginx > nginx-image.tar
6

7
# 查看镜像层
8
docker history nginx