3.3 构建容器镜像
在当前目录下执行 docker build 命令时,会发生哪些事情?
- 解析 Dockerfile:读取当前目录中的 Dockerfile,解析其中的指令。
- 准备上下文目录:Docker 客户端会将当前目录作为构建上下文目录,将该目录下的所有文件和子目录打包发送给 Docker 守护进程,可以在当前目录下创建 .dockerignore 文件来排除无需的文件和目录。
- 创建构建容器:Docker 守护进程根据 FROM 指令中的基础镜像创建一个临时容器。
- 逐步执行指令:每执行一条指令,Docker 都会创建一个新的镜像层并将其缓存,如果某个步骤发生变化(如命令变更、上下文目录内文件变更等),该步骤及其后的所有步骤都会重新执行并创建镜像层。
- 生成最终镜像:所有指令都执行完毕后,所有层合并成一个最终的镜像,并为该镜像分配一个唯一的镜像 ID。
- 保存镜像:建完成的镜像会被保存到本地 Docker 镜像存储库中,可以使用
docker images
命令查看。 - 输出镜像 ID:Docker 客户端输出构建的镜像 ID
下面记录一些最佳实践。
网络问题,依旧是网络问题,构建镜像时能有无数的网络问题可以阻塞,比如使用 apt 安装依赖、使用 pip、npm 下载第三方库等,总会碰到被防火墙阻拦的网址,解决办法与拉取镜像时使用代理的方法类似。
- 使用 –build-arg 传递环境变量,如:
docker build --build-arg HTTP_PROXY="http://proxy.example.com:3128 HTTP_PROXY="https://proxy.example.com:3128" .
。 - 在网关配置透明代理,让网关分流网络请求解决绕过防火墙。
如果不想每次构建镜像时都传递 --build-arg
,也可以修改文件: ~/.docker/config.json
,添加代理服务器,如下:
{
"proxies": {
"default": {
"httpProxy": "http://proxy.example.com:3128",
"httpsProxy": "https://proxy.example.com:3129",
"noProxy": "*.test.example.com,.example.org,127.0.0.0/8"
}
}
}
这样无论是在构建镜像阶段还是运行容器阶段,都会自动注入三个代理相关的环境变量。
不过我认为这并不是最佳方案,在使用 PVE 搭建家庭服务器后,我认为有条件的话应该在网关上配置透明代理。因为除了使用 docker 构建容器外,还有利用容器构建镜像的场景,为每一个构建镜像的实例手动配置代理着实麻烦,不如在网关层面解决网络问题。
在构建镜像时,Docker 会为 Dockerfile 中的每一条指令创建一个新的镜像层并缓存,假设 Dockerfile 以及上下文目录中的文件、子目录都未发生变化,那么将会跳过构建,直接输出上一轮构建生成的镜像 ID。
下面是一些可能导致缓存失效的情况:
- 对 RUN 指令命令的任何更改
- COPY、ADD 指令拷贝到镜像中的任何文件、目录的任何更改(无论是内容更改还是权限等属性的更改)
- 从失效的镜像层开始的后续所有镜像层都将失效
为了规避缓存失效,可以调整 Dockerfile 指令的先后顺序,如:
- 前置不易发生变化的指令,如 FROM、WORKDIR、CMD、VOLUME、ENTRYPOINT 等
- 其次是安装依赖的指令,如执行
RUN apk add --no-cache python3 py3-pip
安装依赖库 - 最后是编译和拷贝文件的指令,如执行 RUN 编译代码以及拷贝可执行文件
总之就是尽可能将导致镜像内容变化的指令推后,这样就可以充分利用缓存。
除了缓存外还有两个办法来加速构建,本质上也是缓存的另一种体现:
- 多阶段构建:分离依赖和最终产物,让构建阶段专用镜像编译可执行文件,再使用运行阶段专用镜像保存可执行文件,发布到生产环境
- 基础镜像:提取 Dockerfile 指令分别制作构建阶段和运行阶段使用的专用镜像,将构建阶段的内容变化控制在拷贝文件与执行编译,运行阶段的内容变化控制在使用 COPY 拷贝可执行文件。
下面是一个原始的 Dockerfile,我们会在其中使用基础镜像安装依赖,编译可执行文件,最终拷贝到 /usr/bin
目录下:
# 引用基础镜像
FROM golang:1.22.4-bookworm
# 安装依赖
RUN apt update -y && apt install -y build-essential libvirt-dev
# 复制所有文件到构建目录
COPY . /build
# 编译 Go 应用、拷贝可执行文件、清理构建阶段产生的文件
RUN cd /build && CGO_ENABLED=1 go build -o myapp . && cp -f myapp /usr/bin/myapp && rm -rf /build
# 设置工作目录
WORKDIR /app
# 设置容器启动命令
CMD ["/usr/bin/myapp"]
这是一个依赖 C 动态库调用 libvirtd 的应用,我们可以拆分出两个基础镜像,如下:
构建阶段镜像
# 引用基础镜像
FROM golang:1.22.4-bookworm
# 安装依赖
RUN apt update -y && apt install -y build-essential libvirt-dev
假设镜像标签为 golang:1.22-build
运行阶段镜像
# 引用基础镜像
FROM debian:12
# 安装依赖
RUN apt update -y && apt install -y libvirt-dev
假设镜像标签为 golang:1.22-base
调整后的 Dockerfile
# 引用构建阶段镜像
FROM golang:1.22-build AS build
# 复制所有文件到构建目录
COPY . /build
# 编译 Go 应用、拷贝可执行文件、清理构建阶段产生的文件
RUN cd /build && CGO_ENABLED=1 go build -o myapp .
# 引用运行阶段镜像
FROM golang:1.22-base
# 设置工作目录
WORKDIR /app
# 设置容器启动命令
CMD ["/usr/bin/myapp"]
# 拷贝可执行文件
COPY --from=builder /build/myapp /usr/bin/myapp