教程【免费下载链接】docker-cheat-sheetDocker Cheat Sheet项目地址https://gitcode.com/gh_mirrors/do/docker-cheat-sheet点击查看免费下载本文以仓库中文版 zh-cn/README.md 为骨架系统梳理 Docker 的容器生命周期、镜像管理、网络、仓管中心与仓库、Dockerfile 指令、层、链接、卷标、端口暴露与安全加固等核心主题并对照英文原版 README.md 补充 Windows 环境、Docker Compose、命名卷等章节。读完本文你将获得一份可直接照抄执行、可逐条验证的 Docker 命令速查手册同时理解每条命令背后的参数含义与适用场景。为什么选择 Docker「通过 Docker开发者可以使用任何语言、任何工具创建任何应用。」「Dockerized」的应用是完全可移植的能在任何地方运行——无论是同事的 OS X 和 Windows 笔记本、云端运行 Ubuntu 的 QA 服务还是运行 Red Hat 的生产数据中心虚拟机。Docker Hub 上有大量现成应用可供开发者快速扩展开发。Docker 跟踪管理变更和依赖关系让系统管理员更容易理解开发人员构建的应用是如何运转的开发者则可以通过 Docker Hub 的公有/私有仓库构建自动化编译流水线与其他合作者共享成果。Docker 帮助开发者更快地构建和发布高质量的应用。本仓库即是以速查表形式整理上述日常高频操作的实战手册英文原版为 README.md并维护有中文zh-cn/README.md、俄语ru/README.md、葡萄牙语pt-br/README.md、西班牙语es-es/README.md等多语言版本各版本结构保持一致便于对照学习。系统环境Prerequisites作者日常使用 Oh My Zsh 配合其 Docker 插件来获得 Docker 命令的自动补全能力你的环境可能有所不同但以下系统要求是通用的。LinuxDocker 对于 Linux 内核版本的最低要求为3.10.x。使用过旧的内核会导致 Docker 无法正常工作。macOS需要 macOS 10.8「Mountain Lion」或更新版本。Windows补充自英文原版英文原版 README.md 还补充了 Windows 平台的说明Windows 10需要在 BIOS 中启用 Hyper-VIntel 处理器如可用还需启用 VT-D。Windows Server最低需要 Windows Server 2016 才能安装 Docker 与 docker-compose但该版本存在限制如多虚拟网络、Linux 容器支持受限官方推荐使用 Windows Server 2019 及更高版本。Windows Server 2016 无法运行 Linux 镜像Windows Server Build 2004 可通过 Hyper-V 隔离同时运行 Linux 与 Windows 容器运行容器时可使用--isolationhyperv让容器使用独立的内核实例隔离。检查 Docker 版本时刻关注当前运行的 Docker 版本非常重要一方面能帮助你了解当前环境可用的特性另一方面在查找、选用镜像时也需要依据版本选择。docker version查看你正在运行的 Docker 版本。获取 Docker 服务Server版本$ docker version --format {{.Server.Version}} 1.8.0也可以直接输出原始 JSON 数据$ docker version --format {{json .}} {Client:{Version:1.8.0,ApiVersion:1.20,GitCommit:f5bae0a,GoVersion:go1.4.2,Os:linux,Arch:am}安装 DockerLinuxDocker 官方提供了快速、易用的安装脚本curl -sSL https://get.docker.com/ | sh如果你不想执行一个来源不明的 Shell 脚本请查阅 Docker 官方安装说明按你使用的发行版选择对应的安装方式。如果你是 Docker 新手建议先跟随官方系列教程完成入门后再继续。macOS下载并安装 Docker Community Edition如果使用 Homebrew-Cask只需在命令行执行brew install --cask docker也可以下载安装 Docker Toolbox。注意Docker Toolbox 已经过时应当使用 Docker Community Edition。Docker For Mac 很好用但其安装过程与基于 VirtualBox 的 Toolbox 不太一样。安装好 Docker Community Edition 后点击 Launchpad 内的 Docker 图标启动 Docker接着运行第一条容器命令验证安装docker run hello-world如果控制台输出了欢迎信息说明你已经拥有了一个运行中的 Docker 容器。Windows补充自英文原版Windows 10 可安装 Docker Desktop for Windows安装完成后以管理员身份打开 PowerShell 执行# 显示已安装的 docker 版本 docker version # 拉取、创建并运行 hello-world docker run hello-world若要在 Windows 上挂载卷后文会详细说明需要在系统托盘 Docker 图标 → Settings 中启用 C:/ 驱动器以便把盘符信息传入容器。同时可通过托盘图标在 Windows 容器与 Linux 容器之间切换切换会停止当前运行中的容器切换回原容器操作系统后恢复。如果本机安装了 WSL / WSL2可以安装适用于 Windows 的 Linux 内核使 WSL 操作系统也能访问容器并获得在 Docker 中运行 WSL 操作系统的效率提升。容器Containers容器是 Docker 进行进程隔离的基础单位。可以这样类比容器之于虚拟机就好比线程之于进程或者把它们想象成「吃了类固醇的 chroot」。它是运行、调试、交付应用的最核心对象因此速查表以它为第一大主题。生命周期命令作用docker create创建容器但不启动它docker rename重命名容器docker run一键创建并同时启动容器docker rm删除容器docker update调整容器的资源限制通常情况下不带任何命令行选项启动容器容器会立即启动然后马上停止。若需保持其运行可以使用docker run -td container_id其中选项-t表示分配一个 pseudo-TTY 会话-d表示自动将容器与终端分离即在后台运行容器并输出容器 ID。其他生命周期相关的高频用法如果需要临时容器使用docker run --rm容器停止之后会被自动删除。如果需要映射宿主机目录到容器内使用docker run -v $HOSTDIR:$DOCKERDIR详见后文「卷标」一节。如果想连同容器关联的卷标一起删除删除容器时必须带上-v选项docker rm -v。从 Docker 1.10 起内置一套各容器独立的日志引擎每个容器可以独立配置日志驱动例如docker run --log-driversyslog将容器日志发送到 syslog。通过docker run --name yourname docker_image为容器命名之后即可用名字启动、停止该容器补充自英文原版。启动与停止命令作用docker start启动已存在的容器docker stop停止运行中的容器docker restart重启容器docker pause暂停运行中的容器将其「冻结」在当前状态docker unpause结束容器的暂停状态docker wait阻塞等待某个运行中的容器直到其停止docker kill向运行中的容器发送 SIGKILL 指令docker attach连接到运行中的容器补充技巧来自英文原版要从一个正在运行的容器中分离detach可使用Ctrl p再Ctrl q若要让容器与宿主机的进程管理器集成可以以-rfalse启动守护进程再使用docker start -a。关于 Docker 实例崩溃后的重启策略可参阅官方相关文档说明。如果想将容器的端口暴露到宿主机见后文「暴露端口」一节。CPU 限制可以限制 CPU 资源占用——既可按所有 CPU 的百分比限制也可限制使用特定核心数。例如使用-c即--cpu-shares设置 CPU 份额。这个配置有点特别1024 表示 100% CPU因此如果希望容器使用所有 CPU 内核的 50%应将其设置为 512docker run -ti -c 512 agileek/cpuset-test通过--cpuset-cpus可以限定只使用特定 CPU 内核docker run -ti --cpuset-cpus0,4,6 agileek/cpuset-test注意Docker 在容器内仍然能够看到全部 CPU——它只是不使用全部而已cpuset 只约束调度不隐藏物理资源。内存限制同样可以给容器设置内存限制docker run -it -m 300M ubuntu:14.04 /bin/bash-m指定容器可使用的最大内存超限会被内核 OOM 机制处理。能力CapabilitiesLinux Capability 可以通过--cap-add和--cap-drop设置用于精细控制容器内的特权提升安全性。例如需要挂载基于 FUSE 的文件系统时需要结合--cap-add与--device使用docker run --rm -it --cap-add SYS_ADMIN --device /dev/fuse sshfs授予对某个设备的访问权限docker run -it --device/dev/ttyUSB0 debian bash授予对所有设备的访问权限特权模式docker run -it --privileged -v /dev/bus/usb:/dev/bus/usb debian bash信息查看命令作用docker ps查看运行中的所有容器docker logs从容器中读取日志Docker 1.10 中自定义日志驱动下仅json-file与journald可用docker inspect查看某个容器的所有信息包括 IP 地址docker events从容器中获取事件docker port查看容器的公开端口docker top查看容器中的活动进程docker stats查看容器的资源使用量统计信息docker diff查看容器文件系统中存在改动的文件常用变体# 显示所有容器包括运行中和已停止的 docker ps -a # 显示所有容器的资源统计默认仅显示运行中的 docker stats --all导入 / 导出命令作用docker cp在容器和本地文件系统之间复制文件或目录docker export将容器的文件系统打包为归档文件流tarball并输出到标准输出 STDOUT执行命令docker exec在容器内执行命令。例如进入正在运行的foo容器并连接attach到一个新的 Shell 进程docker exec -it foo /bin/bash镜像Images镜像是 Docker 容器的模板。容器由镜像实例化而来镜像则由 Dockerfile 或对容器的提交产生。生命周期命令作用docker images查看所有镜像docker import从归档文件创建镜像docker build从 Dockerfile 创建镜像docker commit为容器创建镜像如果容器正在运行则会临时暂停docker rmi删除镜像docker load从标准输入 STDIN 加载 tar 归档包作为镜像包含镜像本身和标签自 0.7 起docker save将镜像打包为 tar 归档包并输出到标准输出 STDOUT包含所有父层、标签和版本自 0.7 起其它信息命令作用docker history查看镜像的历史记录docker tag给镜像打标签命名本地或仓库均可清理虽然可以用docker rmi删除指定镜像但存在一个名为 docker-gc 的工具能以安全的方式清理掉不再被任何容器使用的镜像。从 Docker 1.13 起直接使用docker image prune亦可删除未使用的镜像详见后文「小贴士-清理」。加载 / 保存镜像从文件中加载镜像docker load my_image.tar.gz保存既有镜像docker save my_image:my_tag | gzip my_image.tar.gz导入 / 导出容器从文件中导入容器为镜像cat my_container.tar.gz | docker import - my_image:my_tag导出既有容器docker export my_container | gzip my_container.tar.gz加载镜像与导入容器的不同通过docker load加载镜像会创建一个新的镜像并继承原镜像的所有历史。通过docker import将容器作为镜像导入也会创建新镜像但不包含原镜像的历史因此生成的镜像会比load方式更小。网络NetworksDocker 具备原生的网络功能。安装 Docker 时会自动创建bridge、host、none三个网络接口新容器默认被启动到bridge网络补充自英文原版 README.md。创建新的自定义网络并将容器启动在其中可以在容器间建立通信同时与未连接到该网络的容器保持隔离还能把容器名映射到其 IP 地址。这是一种无需暴露端口即可实现 Docker 容器间通信的好方法。生命周期命令作用docker network create NAME创建新网络默认类型为 bridgedocker network rm NAME按名称或标识删除一个或多个网络删除时网络中不能有容器连接信息查看命令作用docker network ls列出网络docker network inspect NAME显示一个或多个网络的详细信息建立连接命令作用docker network connect NETWORK CONTAINER将容器连接到网络docker network disconnect NETWORK CONTAINER将容器从网络断开还可以为容器指定 IP 地址# 使用你自己的子网和网关创建一个桥接网络 docker network create --subnet 203.0.113.0/24 --gateway 203.0.113.254 iptastic # 基于以上创建的网络运行一个 Nginx 容器并指定 IP docker run --rm -it --net iptastic --ip 203.0.113.2 nginx # 在其他地方使用 CURL 访问这个 IP假设该 IP 段可路由 curl 203.0.113.2仓管中心和仓库Registry Repository先区分两个概念仓库repository被托管hosted的已命名镜像tagged images的集合这些镜像用于构建容器的文件系统。仓管中心registry托管服务host——用于存储仓库并提供 HTTP API 来管理仓库的上传和下载。Docker 官方托管着 Docker Hub 仓管中心包含数量众多的仓库。需要留意的是该中心对镜像的验证并不充分如果你担心安全问题应尽量避免使用来源不明的镜像。与仓管中心交互的常用命令命令作用docker login登入仓管中心docker logout登出仓管中心docker search从仓管中心检索镜像docker pull从仓管中心拉取镜像到本地docker push从本地推送镜像到仓管中心本地仓管中心可以使用 docker distribution 项目搭建本地的仓管中心registry部署方式可参阅该项目的本地部署说明。这在离线环境、内网分发镜像时非常实用。Dockerfile当你执行docker build时Docker 会根据 Dockerfile 这份配置文件逐步构建镜像。这远优于使用docker commit——后者无法复现构建过程而 Dockerfile 是可版本化、可审计的构建声明。以下是编写 Dockerfile 时常用的编辑器及其语法高亮方案jEdit、Sublime Text 2、Atom、Vim、Emacs、TextMate英文原版还补充了 VS Code。选择合适的编辑器配合语法高亮可以显著减少指令拼写错误。核心指令指令作用与说明.dockerignore声明构建上下文中需要忽略的文件/目录类似.gitignoreFROM为后续指令设置基础镜像Base ImageMAINTAINER设置生成镜像的作者字段已弃用改用LABELRUN在当前镜像的基础上生成一个新层并执行命令提交结果CMD设置容器默认执行命令提供执行默认值EXPOSE告知 Docker 容器在运行时监听的网络端口注意并不实际将端口设置为可访问ENV设置环境变量ADD将文件、目录或远程文件复制到容器中会失效缓存尽量用COPY代替ADDCOPY将文件或文件夹复制到容器中默认以 ROOT 用户复制无论USER/WORKDIR如何配置都需要手动修改所有者chownADD同理也可用--chownuser:group指定归属补充自英文原版ENTRYPOINT将容器配置为可执行的设置入口命令VOLUME在容器内部创建挂载点指向外部挂载的卷标或其他容器USER设置随后执行RUN/CMD/ENTRYPOINT命令的用户名WORKDIR设置工作目录ARG定义编译时build-time变量可通过docker build --build-arg传入ONBUILD添加触发指令当该镜像被作为其他镜像的基础镜像时触发STOPSIGNAL设置停止容器时向容器内发送的系统调用信号LABEL将键值对元数据key/value metadata应用到镜像、容器或守护进程SHELL覆盖 Docker 运行命令时使用的默认 Shell补充自英文原版HEALTHCHECK告诉 Docker 如何测试容器以确认其仍在正常工作补充自英文原版最佳实践参考资料关于 Dockerfile 的编写速查表推荐参考以下方向的资料Dockerfile 官方示例、编写 Dockerfile 的最佳实践、更多 Dockerfile 最佳实践、如何构建良好更优的 Docker 镜像、使用元数据管理容器配置等。核心原则是一个指令一个目的、层数尽量少、把易变的内容放在 Dockerfile 后面、用COPY而非ADD、避免在容器内以 root 运行。层LayersDocker 的版本化文件系统是基于层的。每一层就像一次文件系统变更集类似于 Git 的提交或文件变更系统基础镜像的每一层是只读的RUN、COPY等指令会在当前镜像之上叠加新的层构建镜像时若某层未变化则会复用缓存这也是ADD会失效缓存而COPY相对可控的原因。理解层的概念是理解镜像体积、构建缓存与镜像瘦身的基础。链接Links链接links通过 TCP/IP 端口实现 Docker 容器之间的通讯。在某种意义上该特性已被用户自定义网络见「网络」一节所替代。注意如果希望容器之间只通过链接进行通讯在启动 Docker 守护进程时请使用-iccfalse禁用内部进程通讯ICCInter-Container Communication。具体用法假设有一个名为CONTAINER的容器通过docker run --name CONTAINER指定并且在其 Dockerfile 中暴露了一个端口EXPOSE 1337然后创建另外一个名为LINKED的容器通过--link连接前者并设置别名ALIASdocker run -d --link CONTAINER:ALIAS --name LINKED user/wordpress此时CONTAINER暴露的端口和别名会以如下环境变量的形式注入到LINKED容器中$ALIAS_PORT_1337_TCP_PORT $ALIAS_PORT_1337_TCP_ADDR应用即可通过上述环境变量连接对方。删除链接docker rm --link。通常Docker 容器服务之间的链接是「服务发现」Service Discovery的一个子集。如果打算在生产环境大规模使用 Docker服务发现是一个需要认真规划的问题。卷标VolumesDocker 的卷标volumes是独立的文件系统它们并非必须连接到特定的容器上。自 Docker 1.9.0 起Docker 支持命名卷named volumes可用于替代纯数据容器方案补充自英文原版 README.md。生命周期命令作用docker volume create创建卷标docker volume rm删除卷标信息查看命令作用docker volume ls列出卷标docker volume inspect查看卷标的详细信息典型使用场景卷标在无法使用链接链接只能走 TCP/IP的场景下非常有用。例如需要两个 Docker 实例通过文件系统留下记录并互相通信时卷标就是正确的选择。可以通过docker run --volumes-from将一个卷标一次性挂载到多个 Docker 容器上。因为卷标是独立的文件系统它们常被用于在临时容器之间传递瞬时状态你可以配置一个无状态临时容器用完后关闭当启动第二个临时容器实例时可以从上一次保存的状态继续执行。挂载宿主机目录为卷标docker run -v /Users/wsargent/myapp/src:/src也可以使用远程 NFS 卷标共享存储卷前提是你对网络与权限配置有足够把握。还可以考虑运行纯数据容器来提供可移植数据而在 1.9.0 之后更推荐使用命名卷实现同样的效果。别忘了文件也可以被挂载为卷标见「小贴士」一节的具体示例。暴露端口Exposing Ports通过宿主机暴露容器的输入端口操作上比较繁琐但可行。核心手段是用-p把容器端口映射到宿主端口可限定只使用 localhost 接口docker run -p 127.0.0.1:$HOSTPORT:$CONTAINERPORT --name CONTAINER -t someimage也可以在 Dockerfile 中用EXPOSE告知 Docker该容器在运行时监听指定端口EXPOSE CONTAINERPORT但注意EXPOSE并不会直接暴露端口——只有-p才能真正完成端口映射。若要在 localhost 上暴露容器的端口也可以手动操作 iptablesiptables -t nat -A DOCKER -p tcp --dport LOCALHOSTPORT -j DNAT --to-destination CONTAINERIP:PORT如果在 VirtualBox 中运行 Docker还需要在虚拟机层面配置端口转发在 Vagrantfile 中用forwarded_port定义暴露的端口范围即可动态映射Vagrant.configure(VAGRANTFILE_API_VERSION) do |config| ... (49000..49900).each do |port| config.vm.network :forwarded_port, :host port, :guest port end ... end如果忘记了将什么端口映射到宿主机用docker port查看docker port CONTAINER $CONTAINERPORTDocker Compose补充自英文原版中文版速查表未收录 Docker Compose 章节英文原版 README.md 对此作了补充Compose 是用于定义和运行多容器 Docker 应用的工具。使用 Compose 时你用一个 YAML 文件配置应用的各项服务然后通过一条命令即可从配置创建并启动全部服务。启动应用docker-compose -f docker-compose-file up使用-d标志可以后台detached模式运行docker-compose up -d需要停止时执行docker-compose stop彻底拆除应用删除容器使用down命令传入--volumes还会一并删除数据卷docker-compose down docker-compose down --volumes最佳实践速查表收录了社区中关于 Docker 最佳实践与「踩坑实录」的讨论归纳起来主要围绕以下几个场景自动化测试中使用 Docker容器化的测试环境可以保证环境一致性但也存在镜像缓存、并发隔离等需要注意的「兔子洞」。生产环境运行 Docker生产与开发环境的差异日志、监控、重启策略、数据持久化需要在设计之初就考虑清楚。构建 Docker 开发环境用 Docker 统一团队开发环境、交付一致的开发体验。单容器应用实践例如在单个 Docker 容器中运行完整的 Discourse 论坛验证容器化部署的可行性。安全Security安全是容器落地生产环境绕不开的话题。Docker 官方安全文档有更详细的阐述速查表提炼出以下要点。首先要认清的事实Docker 是以 root 权限运行的。如果你在docker组中那么你实际上就拥有了宿主机的 root 权限如果你把 Docker 的 Unix Socket 暴露给容器等于把宿主机的 root 权限交给了容器。因此Docker 不应当作为唯一的防御措施你需要主动加固它。要理解容器到底暴露了什么建议通读容器问题相关的权威安全指南如 Understanding and Hardening Linux Containers一份全面、包含大量链接和脚注的容器加固指南。下面的安全提示在完成基础加固后依然很有帮助但不能替代对容器原理的理解。安全提示为了最大安全性应优先考虑在虚拟机上运行 Docker之后可使用 AppArmor、seccomp、SELinux、grsec 等机制限制容器的权限。镜像 ID 属于敏感信息Docker 镜像 ID 不应向外界公开应当像对待密码一样对待它们。可以参考 Docker Security Cheat Sheet 等社区速查资料以及 docker-bench-security 安全测试脚本定期检查宿主机与守护进程的加固水平。避免使用带非稳定 grsecurity/pax 补丁的内核若在生产中使用 grsecurity应购买商业支持、使用稳定版本补丁。限制容器内进程数防止 fork 炸弹自 Docker 1.11 起要求 Linux 内核 ≥ 4.3 且内核配置开启CGROUP_PIDSydocker run --pids-limit64阻止进程获取新权限内核特性自 Linux 3.5 起已有docker run --security-optno-new-privileges关闭内部进程通讯仅允许通过显式链接通讯docker -d --iccfalse --iptables设置容器为只读docker run --read-only通过 hashsum 验证镜像内容寻址拉取防止镜像被篡改docker pull debiansha256:a25306f3850e1bd44541976aa7b5fd0a29be将卷标挂载为只读docker run -v $(pwd)/secrets:/secrets:ro debian在 Dockerfile 中定义普通用户并以该用户运行避免在容器中以 root 身份操作RUN groupadd -r user useradd -r -g user user USER user用户命名空间User Namespaces还可以通过使用用户命名空间user namespaces将容器内 root 映射为宿主机非特权用户——该特性自 Docker 1.10 起内置但默认并未启用。启用用户命名空间remap the userns需要在宿主机侧做相应配置Ubuntu 15.10 等系统有现成的启用示例可参考。安全路线图Docker 的官方路线图曾提到对 seccomp 的支持社区中也有名为 bane 的 AppArmor 策略生成器用于生成容器安全配置文件。这意味着容器安全机制能力、seccomp、AppArmor、用户命名空间正在持续演进部署时应关注所用 Docker 版本的特性支持情况。小贴士Tips速查表整理了大量即抄即用的高效命令分为清理、信息获取、批量操作与镜像瘦身几大类。清理Prune自 Docker 1.13 起数据管理命令正式落地docker system prune # 清理所有未使用的 docker 对象 docker volume prune # 清理未使用的卷标 docker network prune # 清理未使用的网络 docker container prune # 清理已停止的容器 docker image prune # 清理未使用的镜像查看磁盘占用dfdocker system df显示当前 Docker 各部分镜像、容器、卷、构建缓存占用的磁盘空间。Heredoc 直接构建容器无需 Dockerfile 文件用 Here-Document 向docker build传入构建内容docker build -t htop - EOF FROM alpine RUN apk --no-cache add htop EOF获取最近一次的容器 IDalias dldocker ps -l -q docker run ubuntu echo hello world docker commit $(dl) helloworld带命令的提交需要 Dockerfiledocker commit -run{Cmd:[postgres, -too -many -opts]} $(dl) postgres获取容器 IP 地址方式一用 grep 截取$(dl)即最近容器 IDdocker inspect $(dl) | grep -wm1 IPAddress | cut -d -f 4方式二使用 jqdocker inspect $(dl) | jq -r .[0].NetworkSettings.IPAddress方式三使用 Go 模板docker inspect -f {{ .NetworkSettings.IPAddress }} container_name方式四构建镜像时通过构建参数build argument传入宿主机 IPDOCKER_HOST_IPifconfig | grep -E ([0-9]{1,3}\.){3}[0-9]{1,3} | grep -v 127.0.0.1 | awk { print $2 } | cut -f2 -d: | head -n1 echo DOCKER_HOST_IP $DOCKER_HOST_IP docker build \ --build-arg ARTIFACTORY_ADDRESS$DOCKER_HOST_IP -t sometag \ some-directory/获取端口映射docker inspect -f {{range $p, $conf : .NetworkSettings.Ports}} {{$p}} - {{(index $conf 0).HostPort}} {{end}} containername通过正则表达式匹配容器for i in $(docker ps -a | grep REGEXP_PATTERN | cut -f1 -d ); do echo $i; done获取环境变量配置docker run --rm ubuntu env批量停止与删除# 强行终止所有运行中的容器 docker kill $(docker ps -q) # 删除所有容器强制无论运行或停止 docker rm -f $(docker ps -qa) # 删除旧容器启动时间在数周之前 docker ps -a | grep weeks ago | awk {print $1} | xargs docker rm # 删除所有已停止的容器连同其卷标 docker rm -v $(docker ps -a -q -f statusexited) # 先停止再删除所有容器 docker stop $(docker ps -aq) docker rm -v $(docker ps -aq) # 删除所有无用dangling的镜像 docker rmi $(docker images -q -f danglingtrue) # 删除所有镜像 docker rmi $(docker images -q) # 删除所有无用dangling的卷标Docker 1.9 起 docker volume rm $(docker volume ls -q -f danglingtrue)注意在 Docker 1.9.0 中过滤参数danglingfalse并不生效——它会被忽略并列出所有卷标请直接使用danglingtrue。查看镜像依赖docker images -viz | dot -Tpng -o docker.png该命令将镜像依赖关系输出为 Graphviz 图片注意-viz为较旧版本的选项写法。Docker 容器瘦身在某层RUN layer清理 APT应与其他 apt 命令在同一层中完成。否则前面的层会保留原有信息镜像依旧臃肿RUN {apt commands} \ apt-get clean \ rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*压缩扁平化镜像ID$(docker run -d image-name /bin/bash) docker export $ID | docker import – flat-image-name备份镜像ID$(docker run -d image-name /bin/bash) (docker export $ID | gzip -c image.tgz) gzip -dc image.tgz | docker import - flat-image-name监视运行中容器的系统资源利用率检查单个容器的 CPU、内存以及网络 I/O 使用情况docker stats container按 ID 列出所有容器docker stats $(docker ps -q)按名称列出所有容器docker stats $(docker ps --format {{.Names}})按指定镜像名称筛选容器docker ps -a -f ancestorubuntu更多批量清理技巧# 删除所有未标签命名untagged的镜像 docker rmi $(docker images | grep ^ | awk {split($0,a, ); print a[3]}) # 通过正则匹配删除指定容器例如名称含 wildfly 的 docker ps -a | grep wildfly | awk {print $1} | xargs docker rm -f # 删除所有已退出exited的容器 docker rm -f $(docker ps -a | grep Exit | awk { print $1 })将文件挂载为卷标文件同样可以被挂载为卷标典型场景是只注入单个配置文件。以 Apache httpd 为例# 从容器复制配置文件到宿主机 docker run --rm httpd cat /usr/local/apache2/conf/httpd.conf httpd.conf # 编辑文件 vim httpd.conf # 以修改后的配置启动容器挂载为只读卷 docker run --rm -ti -v $PWD/httpd.conf:/usr/local/apache2/conf/httpd.conf:ro -p 80:80 httpd参与贡献Contributing本仓库是一份持续维护的社区速查表欢迎任何人参与完善。仓库为多语言结构英文原版位于根目录 README.md中文版位于 zh-cn/README.md另有 ru/README.md、pt-br/README.md、es-es/README.md 等翻译版本贡献时可按语言版本分别维护。贡献流程概述打开 README.md进入对应语言版本的 README 文件如 zh-cn/README.md通过仓库页面直接打开编辑模式。编辑页面在编辑界面修改内容注意保持既有速查表的格式与目录结构。更新并提交填写提交说明提交变更并创建拉取请求等待维护者合并。如果你的环境尚未安装 Docker可以从本文「安装」一节开始安装后逐个验证速查表中的命令对于已部署 Docker 的生产环境请优先关注「安全」一节中的加固命令遵循最小权限原则。赞分享教程【免费下载链接】docker-cheat-sheetDocker Cheat Sheet项目地址https://gitcode.com/gh_mirrors/do/docker-cheat-sheet点击查看免费下载相关推荐Docker 命令速查手册容器、镜像、网络与清理实战指南Docker 命令速查手册容器、镜像、网络与清理实战指南 本篇速查指南围绕 source/_posts/docker.md https://link.gitc文档教程知识库Docker Cheat Sheet覆盖镜像、容器、网络、卷与 Compose 的日常高频命令速查指南Docker Cheat Sheet覆盖镜像、容器、网络、卷与 Compose 的日常高频命令速查指南 Docker 已成为开发者日常构建、打包与部署应用的标前端企业应用BaiduPCS-Go 命令行网盘完全指南3 步上手分享链接转存与批量下载BaiduPCS Go 命令行网盘完全指南3 步上手分享链接转存与批量下载 任务把别人发来的一个课程分享链接整包存进网盘。打开浏览器、点提取码、勾选目录…CLI网络上一篇EIP-2026 深度解读State Rent H —— 账户固定预付款机制与以太坊状态租金路线图下一篇Go 错误聚合实战multierr 的 Combine、Append、AppendInto 与 AppendInvoke 全解析VictoriaMetrics 仓库 vendor 视角创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考