容器的常用操作命令：
- create:创建容器
- run:运行容器
- pause:暂停容器
- unpause:取消暂停继续运行容器
- stop:发送SIGTERM停止容器
- kill:发送SIGKILL快速停止容器
- start:启动容器
- restart:重启容器
- attach:attach到容器启动进程的终端
- exec:在容器中启动新进程，通常使用"-it"参数
- logs:显示容器启动进程的控制台输出，用"-f”持续打印
- rm:从磁盘中删除容器
运行容器
docker run命令来运行一个容器。
- -d :以后台的方式启动
- --name : 为启动的容器命名
docker ps查看 Docker host中当前运行的容器
- -a ：显示所有状态的容器
进入容器
docker attach
- 使用
docker attach <container>，可以 attach 到容器启动命令的终端 - 使用 Ctrl+p 然后 Ctrl+q 组合键退出 attach终端
docker exec
docker exec -it <container> bash|sh 进入容器
-it: 以交互模式打开 pseudo-tty(虚拟终端机)，执行 bash，其实就是打开了一个 bash 终端。exit: 命令可以退出容器，回到 docker host。
attach VS exec
attach与exec主要区别如下：
- attach 直接进入容器启动命令的终端，不会启动新的进程。
- exec 则是在容器中打开新的终端，并且可以启动新的进程。
- 如果想直接在终端中查看启动命令的输出，用 attach 其他情况使用 exec。
- 如果只是为了查看启动命令的输出，可以使用
docker logs -f命令。
-f作用与tail -f类似，能持续打印输出。
容器操作
docker stop可以停止运行的容器
容器在 docker host 中实际上是一个进程，docker stop 命令本质上是向该进程发送一个 SIGTERM 信号。如果想快速停止容器，可使用docker kill 命令，其作用是向容器进程发送SIGKILL信号。
docker start重新启动
对于处于停止状态的容器，可以通过 docker start 命令重新启动。docker start 会保留容器的第一次启动时的所有参数。
docker restart重启容器
容器可能会因某种错误而停止运行。对于服务类容器，我们通常希望在这种情况下容器能够自动重启。启动容器时设置 --restart 就可以达到这个效果。
例如 :
docker run -d --restart=always httpd 复制代码
--restart=always 意味着无论容器因何种原因退出（包括正常退出），都立即重启；该参数的形式还可以是 --restart=on-failure:3，意思是如果启动进程退出代码非0，则重启容器，最多重启3次。
docker pause/unpause暂停容器/恢复容器
当我们需要对容器的文件系统打个快照或者 docker host 需要使用 CPU 的时候，可以 docker pause 暂停容器，处于暂停状态的容器不会占用 CPU 资源，直到使用 docker unpause 恢复容器运行。
docker rm删除容器
对于一些已经退出了的容器，仍然会占用 host 的文件系统资源，对于这些确定不再重启的容器，可以使用 docker rm 进行删除。
docker rm 可以一次性指定多个容器，例如，删除所有已经停止的容器：
docker rm $(docker ps -a -q) 复制代码
- -v :删除与容器关联的卷。
注意：docker rm 是删除容器，docker rmi 是删除镜像
docker create创建容器
可以先创建容器（docker create），稍后再启动（docker start）
- docker create 创建的容器处于 Created 状态
- docker start 将以后台方式启动容器
- docker run 命令 = docker create + docker start
资源限制
内存限额
容器可以使用的内存有 物理内存 和 swap。使用以下参数来控制容器对内存的使用量：
-m或--memory：设置内存的使用限额--memory-swap：设置内存+swap的使用限额
例如：
docker run -m 200M --memory-swap=300M ubuntu 复制代码
意思就是该容器最多使用 200MB 的内存和 100MB 的 swap。
默认 -m 和 --memory-swap 参数的值为 -1，即对容器使用内存和 swap 不进行限制。
CPU 限额
默认所有容器可以平等地使用 host CPU 资源并且没有限制。
Docker 可以通过-c或--cpu-shares设置容器使用CPU的权重。如果不指定，默认值为 1024。
也就是说，通过-c设置的cpu share 并不是CPU资源的绝对数量，而是一个相对的权重值。需要特别注意的是，这种按权重分配CPU只会发生在CPU资源紧张的情况下，若有容器处于空闲状态，为了充分利用CPU资源，其他容器也可以分配到全部可用的CPU。
Block IO 带宽限额
Block IO 指的是磁盘的读写，docker可通过设置权重、限制bps和iops的方式控制容器读写磁盘的带宽。
注：目前Block IO限额只对direct IO（不使用文件缓存）有效。
- block IO权重
默认所有容器能平等地读写磁盘，可以通过设置 --blkio-weight参数来改变容器block IO的优先级。
--blkio-weight 与 --cpu-shares类似，设置的是相对权重值，默认为500。
- 限制bps和iops
bps 是byte per second，每秒读写的数据量。
iops 是io per second，每秒IO的次数。
可通过以下参数控制容器的bps和iops:
- --device-read-bps:限制读某个设备的bps。
- --device-write-bps:限制写某个设备的bps。
- --device-read-iops:限制读某个设备的iops。
- --device-write-iops:限制写某个设备的iops。
例如：限制容器写 /dev/sha 的速率为 50 MB/s
docker run -it --device-write-bps /dev/sha:50MB ubuntu 复制代码
cgroup 和 namespace
- cgroup 实现资源限额
- namespace 实现资源隔离
cgroup
cgroup 全称Control Group。Linux 操作系统通过 cgroup 可以设置进程使用CPU、内存和IO资源的限额。前面所介绍的--cpu-shares、-m、--device-write-bps 等实际上就是在配置 cgroup。
目录中，Linux会为每个容器创建一个cgroup目录，以容器长ID命名。
- /sys/fs/cgroup/cpu/docker/容器长ID : 保存的是与cpu相关的cgroup配置。
- /sys/fs/cgroup/memory/docker/容器长ID :n保存的是与内存的cgroup配置。
- /sys/fs/cgroup/blkio/docker/容器长ID : 保存的是与Block IO的cgroup配置。
namespace
在每个容器中，都可以看到文件系统、网卡等资源。拿网卡来说，每个容器都会认为自己有一块独立的网卡，即使host上只有一块物理网卡。这种方式使得容器更像一个独立的计算机。
Linux 实现这种方式的技术是 namespace。namespace 管理着 host 中全局唯一的资源，实现了容器间资源的隔离。
Linux使用了6种namespace,分别对应6种资源：Mount、UTS、IPC、PID、Network 和 User。
- Mount namespace
Mount namespace 让容器看上去拥有整个文件系统。 容器有自己的/目录，可以执行mount和umount命令。这些操作只在当前容器中生效，不会影响到host和其他容器。
- UTS namespace
UTS namespace 让容器有自己的 hostname，默认情况下，容器的 hostname 是它的短D，可以通过 -h 或 --hostname 参数设置。例如：
docker run -h myhost -it ubuntu 复制代码
- IPC namespace
IPC namespace 让容器拥有自己的共享内存和信号量(semaphore)来实现进程间通信，而不会与host和其他容器的IPC混在一起。
- PID namespace
容器在host中以进程的形式运行。 而且进程的 PID 不同于 host 中对应进程的 PID，容器中 PID=1 的进程当然也不是 host 的 init 进程。
容器拥有自己独立的一套 PID，这就是PID namespace提供的功能。
- Network namespace
Network namespace 让容器拥有自己独立的网卡、IP、路由等资源。
- User namespace
User namespace 让容器能够管理自己的用户，host不能看到容器中创建的用户。
