解决 Docker 数据卷挂载的文件权限问题

Docker 提供了数据卷 绑定挂载 的机制(volume bind mounts)来将主机上的文件 (file) 或者目录 (directory) 挂载进容器 (container)。也就是 docker run 命令中熟知的 -v 参数。根据 Docker 文档，绑定挂载一般适合于 三种场景 ：

dockerfile文件详解 dockerfile常用命令

dockerfile文件详解 dockerfile常用命令

但是实际使用时，会遇到文件权限问题：

譬如执行如下命令创建一个容器，挂载当前目录到容器内，并在容器内向主机当前目录创建 tmp.txt：

主机当前目录出现了容器内创建的 tmp.txt，但是其权限、用户和组均是 root，其他用户不可写。

常见解决方法是可以通过 Docker 提供的 User 命令、 --user 参数 来指定容器内部的用户和组的 id，譬如：

可以看到输出，current_user 处会显示主机当前用户的名字，所以解决了主机用户对挂载的卷没有权限的问题。

user 参数的缺陷

使用 user 参数有一些缺陷，如果你进入容器内部的 terminal，会显示如下内容：

bash 的用户名会显示 I he no name!，这是因为我们通过 --user 参数指定了容器内部的用户 id，但该 id 不存在于容器内的 /etc/passwd 文件中。

除此之外，使用 user手动修改mount挂载的json文件，狂神的那个视频里面也有写。 参数仍然存在权限问题：

除了绑定挂载的主机路径之外的所有路径，对于容器内部的用户都没有写权限。

这也是不可接受的，因为容器运行过程中我们可能会进行一些临时文件的写入，这些临时文件我们并不想要写到主机的挂载目录，但除了挂载路径之外的任何路径容器都没有写入权限。

譬如我们在主机上创建 models 目录。

这可以通过增加挂载路径：

Docker 文档对 Entrypoint 介绍时给出了 一种实践 。

编写如下的 Dockerfile：

其中 docker-entrypoint.sh 内容如下：

可以看到 docker-entrypoint.sh 中创建了一个名为 user 的用户，该用户的 uid 由 docker run 的参数传入，这里利用了 linux 系统的一个特点，容器内外用户权限的记录和用户的名字无关，只和 uid 有关，因此容器内我们将用户命名为 user 没有影响。docker-entrypoint.sh 一行调用 gosu 来切换到 user 用户并执行 Dockerfile 中的用户命令。

有了如上两个脚本，我们构建镜像并执行：sudo docker run -v /data –-name mydata2 ubuntu /bin/bash

运行容器时指定 LOCAL_USER_ID 参数：

Docker 运行时容器内默认使用 root 用户运行，但是我们不是总是想要用 root 用户，因为有时候我们希望容器计算产生一些文件，并通过 volume 的绑定挂载在主机上获取。特别是我们用 jenkins 等工具写一些持续集成的脚本时候。容器内docker se命令会创建一个镜像的压缩文件，这个文件能够在另外一个主机的Docker上使用。和export命令不同，这个命令为每一个层都保存了它们的元数据。这个命令只能对镜像生效。用 root 用户运行会导致产生的文件也是 root 用户的，主机上没有读取权限。因此我们需要让容器在运行的时候切换到主机上的用户。

Docker 对于这种情况仍然没有提供足够便利的基础设施，我们采用了 Docker 目前的一个方式，通过编写一个 docker-entrypoint.sh 脚本作为 Dockerfile 的 Entrypoint，脚本中创建和主机上相同 uid 的用户，并通过 gosu 工具切换到该用户执行命令。 uid 需要在 docker run 阶段通过参数传入。我们在脚本中设置了缺省 uid ，上面的脚本随机选择了一个 9001，注意要将该缺省值避免设置成和 Docker 镜像中存在的用户冲突的 uid。

参考链接：

使用Github自动构建Docker

深刻理解Docker镜像大小

原文链接：

恢复

在Github上面创建一个项目并把Dockerfile以及上下文需要用到的文件放到里面。

Dockerfile的讲解不在本篇范围内～

首先需要绑定一个仓库服务（Github）：

1、登录 Docker Hub ；

2、选择 Profile > Settings > Linked Accounts & Servs ；

3、选择需要连接的仓库服务（目前只支持 Github 和 BitBucket ）；

4、这时候需要授权，点击授权就可以了。

自动构建需要创建对应的仓库类型

自动构建仓库也可以使用 docker push 把已有的镜像上传上去

1、选择 Create > Create Automated Build ；

2、选择 Github ；

3、接下来会列出 User/Organizations 的所有项目，从中选择你需要的构建的项目（包含Dockerfile）；

4、可以选择 Click here to customize 自定义路径；

5、点击创建就可以了。

用过 Github 自动构建当然需要 Github 的支持啦，这里只需要在Github里面点两下就配置完成，很方便：

系统会默认帮我们勾上自动构建选项：

这时候，当我们的Dockerfile有变动会自动触发构建：

Docker hub默认选择分支作为latest版本，我们可以根据自己的标签或分支构建不同的版本：

（点击箭头位置会出现例子）

这样，当我们创建一个标签如1.0.2并pu挂载存储在宿主机系统的内存中，而不会写入宿主机的文件系统；sh上去的时候会自动触发构建～

Git 标签相关请看： Git标签管理

然后例子已经说的很清楚了

Docker(5)——数据管理

docker build命令非常有趣，它会反复的执行多个命令。

docker 容器的文件系统在宿主机上存在的方式很复杂，这会带来下面几个问题：

可见不仅容器内往挂载目录 /project/models 写入的文件 model.txt 所有者是主机用户，而且在容器内往非挂载目录 /project/tmp.txt 写入文件也不会遇到权限问题。

为了能够 保存（持久化） 数据以及 共享 容器间的数据，docker 引入了数据卷(volume) 机制。数据卷是存在于一个或多个容器中的特定文件或文件夹，它可以绕过默认的联合文件系统，以正常的文件或者目录的形式存在于宿主机上。

我们需要一种手段，既可以像 user 参数一样在容器运行时可以将用户切换到和主机相同的用户，又希望 Docker 容器保留 root 用户，并给主机用户想要访问的目录授权（对特定目录 chown 、 chmod 等）。

其生存周期于容器的生存周期。

容器中主要有 两种 管理数据方式： 数据卷(Data Volumes) ， 数据卷容器(Data Volume Containers) 。

数据卷是一个可供容器使用的特殊目录，它绕过文件系统，可以提供很多有用的特性：

数据卷的使用类似 linux 下对目录或文件进行 mount 作，目前Docker提供了 三种 不同的方式将数据从宿主机挂载到容器中，分别是

其中 volume 、 bind mount 比较常用， tmpfs mount 基本不会用.

docker 专门提供了 volume 子命令来作数据卷：

先创建一个名称为 hello 的数据卷并通过 ls 命令进行查看：

然后可以使用 inspect 命令看看数据卷hello的详细信息

该数据卷使用的 Driver 为默认的 local ，表示数据卷使用宿主机的本地存储;

Mountpoint 是 volumes 的挂载点，默认是本机 /var/lib/docker/volumes 下的一个目录。

使用 -v 选项也可以指定挂载一个本地的已有目录到容器中去作为数据卷：

上面的命令挂载主机的 /var/data 目录到容器的 /opt/mydata 目录。

这个功能在测试的时候特别方便，比如用户可以放置一些程序或数据到本地目录中，然后在容器中使用。另外，本地目录的路径必须是路径，如果目录不存在，Docker 会自动创建。

Docker 挂载数据卷的默认权限是可读写 rw ，用户也可以通过 ro 标记指定为只读：

加了 :ro 之后，容器内挂载的数据卷内的数据就变成只读的了。

除了把数据卷中的数据存储在宿主机，docker 还允许我们通过指定 volume driver 的方式把数据卷中的数据存储在其它的地方，比如 Azrue Storge 或 AWS 。

通过 vieux/sshfs 驱动把数据卷的存储在云主机上，docker 默认是不安装 vieux/sshfs 插件的，我们可以通过下面的命令进行安装：

docker plugin install --grant-all-permissions vieux/sshfs

然后通过 vieux/sshfs 驱动创建数据卷，并指定远程主机的登录用户名、密码和数据存放目录：

注意：确保指定的远程主机上的挂载点 /home/nick/sshvolume 目录是存在的，否则在启动容器时会报错。

在启动容器时指定挂载这个数据卷：

在容器中 /world 目录下作的文件都存储在远程主机的 /home/nick/sshvolume 目录中。进入容器 testcon 然后在 /world 目录中创建一个文件，然后打开远程主机的 /home/nick/sshvolume 目录进行查看，新建的文件会出现在那里。

当使用 bind mounts 将主机上的目录挂载到容器中时，目录由其在主机上的完整或相对路径引用。

bind mount 和 volume 其实都是利用宿主机的文件系统，不同之处在于volume是docker自身管理的目录中的子目录，所以不存在权限引发的挂载的问题，并且目录路径是docker自身管理的，所以也不需要在不同的上指定不同的路径，不需要关心路径

如果使用 Bind mounts 挂载 宿主机目录 到 容器内非空目录 ，那么 此容器中的非空目录中的文件会被隐藏 ，容器访问这个目录时能够访问到的文件均来自于宿主机目录。这也是Bind mounts模式和Volumes模式的行为上的不同。

这张图说明 bind mount 和 volume 其实都是利用宿主机的文件系统， Bind mounts 模式是将宿主机上的任意文件或文件夹挂载到容器，而 Volumes 本质上是将Docker的一块区域（默认是 /var/lib/docker/volumes 下的文件夹）挂载到容器。所以 volume 不存在权限引发的挂载的问题，并且目录路径是docker自身管理的，所以也不需要在不同的上指定不同的路径，不需要关心路径。

相对于 bind mount ， volume 是Docker Engine在自己的“地盘”分配了一个路径作为挂载点，自己地盘的权限肯定是安排的明明白白。所以，以上挂载宿主机路径的问题都解决了。

在使用 volume 作为数据卷挂载到容器时，直接用 volume 名称代替宿主机路径名就行：

docker run -d -v test_vol:/var/data some_image

这样就将数据卷 test_vol 挂载到了容器内的 /var/data 目录下。

可以利用数据卷容器对其中的数据卷进行备份、恢复，以实现数据的迁移。

备份

使用下面的命令来备份 mydata 数据卷容器内的数据卷：

sudo docker run --volumes-from mydata -v $(pwd):/backup –-name worker ubuntu tar cvf /backup/backup.tar /data

这个命令首先利用 Ubuntu 镜像创建了一个容器 worker。又使用 --volumes-from mydata 参数来让 worker 容器挂载 mydata 容器的数据卷。接下来使用 -v $(pwd):/backup 参数来挂载本地的当前目录到 worker 容器的 /backup 目录。

在 worker 容器启动后，使用了 tar cvf /backup/backup.tar /data 命令来将 /data 下内容备份为容器内的 /backup/backup.tar，即宿主主机的当前目录下的backup.tar。

如果要恢复数据到一个容器，可以按照下面的作。首先创建一个带有数据卷的容器 mydata2:

然后创建另一个新的容器，挂载 mydata2 的数据卷，并使用 tar 解压缩备份文件到所挂载的容器卷中：

sudo docker run --volumes-from mydata2 -v $(pwd):/backup busybox tar xvf /backup/backup.tar

如果用户需要在容器之间共享一些持续更新的数据，最简单的方式是使用数据卷容器。数据卷容器其实就是一个普通的容器，专门用它提供数据卷供其他容器挂载。下面简单介绍其使用方法。

首先要创建一个数据卷容器 mydata，并在其中创建一个数据卷挂载到 /data 目录。

sudo docker run -it -v /data –-name mydata ubuntu

然后在其他容器中使用 --volumes-from 来挂载 mydata 容器中的数据卷。例如创建两个容器 mycon1 和 mycon2，并从 mydata 容器挂载数据卷：

sudo docker run -it --volumes-from mydata –-name mycon1 ubuntu

sudo docker run -it --volumes-from mydata –-name mycon2 ubuntu

(注意，命令中没有指定数据卷的信息，也就是说新容器中挂载数据卷的目录和源容器中是一样的。)

此时容器 mycon1 和 mycon2 都挂载同一个数据卷到相同的目录 /data。三个容器任何一个在该目录下写入数据其他容器都能看到。

可以多次使用 --volumes-from 参数来从多个容器挂载多个数据卷。还可以从其他已经挂载了容器的容器来挂载数据卷。并且使用 --volumes-from 参数所挂载数据卷的容器自身并不需要保持在运行状态。

但删除挂载了数据卷的容器时，数据卷并不会被自动删除。如果要删除一个数据卷，必须在删除一个还挂载着它的容器时显式的使用 docker rm -v 命令来指定同时删除关联的容器。

理解docker的分层镜像实现 base 镜像共享（DockerFile）

Dockerfile 中的Volume有什么意义，光用docker run

bind mounts 可以挂载在宿主机系统的任意位置 ，但 bind mount 在不同的宿主机系统是不可移植的，比如Windows和Linux的目录结构是不一样的， bind mount 所指向的 host 目录也不能一样。这也是为什么 bind mount 不能出现在Dockerfile中的原因，因为这样Dockerfile就不可移植了。

本质上还是相当于一个当然我们也可以远程触发构建，同样在Build Setting页面:本地docker stop命令会向运行中的容器发送一个SIGTERM的信号，然后停止所有的进程。文件夹挂载而已。

docker-come和dockerfile的区别

源代码和配置文件

ddocker history命令递归地输出指定镜像的历史镜像。ocker-come up -d 出来是个容器。

dockerfile build出来是个镜像。

dockerfile是自你可以把VOLUME理解为，从镜像中指定卷的文件夹到本地/var/lib/docker/volumes/xxxxxxxxx/文件夹，然后把本地的该文件夹挂载到容器里面去。己定义自己的镜像作用。 docker-come是指定镜像的启动文件，挂载目录，环境变量等等。。

Docker 用镜像方式迁移和用Dockerfile动态生成有什么区别

4、docker删除镜像的命令是dockerrmi。如果要删除本地的镜像，可以使用dockerrmi所有Container的数据都保存在了这个目录下边，由于没有在创建时指定卷，所以Docker帮我们默认创建许多匿名卷。（注意rm为删除容器，而rmi为删除镜像，其中i代表image）命令，它的具体语法如下：dockerrmi[OPTIONS]IMAGE[IMAGE]。

情况二：定这个image 已经被run过但未commit(如果commit，则会是一个新的image)，那么通过se仍然只是将image的data layer导成二进制tar文件，而container所产生的新data layer不会导出。因此通过load导入后，和正在处于run状态的container相比，数据不一致(缺少run之后产生的data layer)。

Docker常用命令大全

现在有非常多的Ja Web框架，但我这里并不打算使用它们。我只想要的是一个小的框架所以我选择了Spark，它是一个基于Ja 8的极小的框架。Spark使用Men作为构建工具。

1、启动停止的容器（还是运行之前给定的命令）。删除指定的容器。--force选项可以强制性删除运行的容器。在容如何对已经运行的容器挂载目录？器和主机之间拷贝文件、目录。

2、sudodockerexec-it[containerID]/bin/bash交互模式中，使用ctrl+p+q退出交互保持运行，使用exit命令退出并停止容器。

3、具体作如下：dockerattach[opt这样容器运行过程往 /project 写的临时文件都会出现在主机上。ions]容器会连接到正在运行的容器，然后将容器的标准输入、输出和错误流信息附在本地打印出来。命令中options的取值有三种：--detach-keys，--no-stdin，--sig-proxy。

5、RUN指令用于执行命令，该指令有两种形式：例如我们执行更新命令：CMD的使用方式跟RUN类似，不过在一个Dockerfile文件中只能有一个CMD指令，如果有多个，则只有一个会生效。

env怎么放在docker容器内

docker images命令会列出了所有顶层（top-ll）镜像。实际上，在这里我们没有办法区分一个镜像和一个只读层，所以我们提出了top-ll镜像。只有创建容器时使用的镜像或者是直接pull下来的镜像能被称为顶层（top-ll）镜像，并且每一个顶层镜像下面都隐藏了多个镜像层。

1、首先，需要创建一个Dockerfile文件。Dockerfile是一种文docker rmi 命令会移除构成镜像的一个只读层。你只能够使用docker rmi来移除最顶层（top ll layer）（也可以说是镜像），你也可以使用-f参数来强制删除中间的只读层。本文件，其中包含构建Docker镜像所需的指令。在此文件中，需要指定要使用的基础映像以及要将env到容器中的位置。

2、其次，env文件：为了将env文件到容器中，可以使用Dockerfile中的COPdocker create 命令就是为指定的镜像（image）添加一个可读写层，构成一个新的容器，注意这个容器并没有运行起来Y指令。该指令将从主机文件系统中文件到容器文件系统中的指定位置。例如，

3、然后，构建Docker镜像：一旦创建了Dockerfile并将.env文件到容器中，就可以使用dockerbuild命令构建Docker镜像。该命令将根据Dockerfile中的指令自动构建镜像。

4、，运行Docker容器：，可以使用dockerrun命令运行新构建的Docker容器。运行时可以使用-e选项设置环境变量。

dockerfile使用phpcli模式

该 Dockerfile 中安装了一个 gosuvolumes作为Docker管理宿主机文件系统的一部分 ，默认位于 /var/lib/docker/volumes 目录中，不是宿主机已有数据，而是新建的。 的工具，并设置了程序的 Entrypoint。由于 Docker 内使用 sudo 可能导致一些不可预知的 TTY 和信号转发问题，所以 Docker 了使用 gosu 这个工具，用于保持容器在 root 用户下运行，并用 sudo 来切换到指定用户。

dockerfile使用phpcli模式需要调用。Dockerfile是一个用来构建镜像的文本文件，文本我们使用 Docker 挂载 models 目录，然而在 Docker 容器内部除了 models 文件夹都没有访问权限。内容包含了一条条构建镜像所需的指令和说明。php-cli是phpCommandLineIntece的简称。

深入理解docker的镜像和容器

看到这个命令，通常有读者会由一个疑问：docker start 和docker run 命令有什么区别。

镜像（Image）就是一推只读层Image（read-only layer）的统一视觉，也许这些定义有些难理解，下面这张图能够帮助读者理解镜像的定义

从左边往右我们看到了多个只读层，他们重叠在一起，除了最下面一层，其他层都会有一个指针指向下一层，这些层是docker内部的实现细节，并且能够在主机（运行docker的机器）的文件中访问到，统一文件系统技术（union file ）能够将不同层合成一个文件系统，为这些层提供一个统一的视觉，这样就隐藏了多层的存在，在用户的角度来看，只存在一个文件系统。我们可以在右边看到这个视角的形式。

你可以在你的主机文件系统上找到有关这些层的文件，在一个运行中的容器内部，这些层是不可见的。在我的主机上，我发现他们存在于/var/lib/docker/image目录下

容器（container）的定义和镜像（image）几乎一模一样，也是一堆层的统一视觉，区别在于容器的最上面那一层是可读可写的

要点： 容器 = 镜像 + 读写层

一个运行态容器（runing container）被定义为一个可读写的统一文件系统加上隔离的进程空间和包含其中的进程。下面这张图展示一个运行中的容器

我们Running Container Definition可以通过以下命令验证我们所说

find / -name happiness.txt

为了将零星的数据整合起来，我们提出了镜像层（image layer）这个概念，下面这张图描述了一个镜像层，通过，我们能够发现一个层并不仅仅包含文件的改变，他还包含其他重要的信息

元数据（metadata）就是关于这个层的额外信息，它不仅仅能够让Docker获取运行和构建时的信息，还包括父层的层次信息，需要注意的是，只读层和读写层都包含元数据。

/var/lib/docker/image/overlay2：存储镜像管理数据的目录

一个容器的元数据好像被分成了很多文件，但或多或少能够在/var/lib/docker/containers/ 目录下找到， 就是一个可读层的id，这个目录下的文件大多是运行时数据，比如说网络，日志等等。

现在，让我们结合上面提到的实现细节来理解Docker命令

docker start 命令为容器文件系统创建一个进程隔离空间。注意，每一个容器只能够有一个进程隔离空间

docker run 命令是利用镜像创建一个容器，然后运行这个容器，这个命令非常方便，并且隐藏了两个命令的细节。

docker ps 命令会列出所有运行中的容器。这隐藏了非运行态容器的存在，如果想要找出这些容器，我们需要使用下面这个命令。

docker ps –a命令会列出所有的容器，不管是运行的，还是停止的。

docker images –a命令列出了所有的镜像，也可以说是列出了所有的可读层。如果你想要查看某一个image-id下的所有层，可以使用docker history来查看。

docker kill 命令向所有运行在容器中的进程发送了一个不友好的SIGKILL信号。

docker stop和docker kill命令会发送UNIX的信号给运行中的进程，docker pause命令则不一样，它利用了cgroups的特性将运行中的进程空间暂停但是这种方式的不足之处在于发送一个SIGTSTP信号对于进程来说不够简单易懂，以至于不能够让所有进程暂停。

docker rm命令会移除构成容器的可读写层。注意，这个命令只能对非运行态容器执行。

docker commit命令将容器的可读写层转换为一个只读层，这样就把一个容器转换成了不可变的镜像。

我们从上图可以看到，build命令根据Dockerfile文件中的FROM指令获取到镜像，然后重复地1）run（create和start）、2）修改、3）commit。在循环中的每一步都会生成一个新的层，因此许多新的层会被创建。

docker exec 命令会在运行中的容器执行一个新进程。

docker inspect命令会提取出容器或者镜像最顶层的元数据。

docker export命令创建一个tar文件，并且移除了元数据和不必要的层，将多个层整合成了一个层，只保存了当前统一视角看到的内容（译者注：expoxt后的容器再import到Docker中，通过docker images –tree命令只能看到一个镜像；而se后的镜像则不同，它能够看到这个镜像的历史镜像）。

Docker 如何知道需要映射的目录

情况一：定这个image build之后没有run过，那么通过se只是将这个image所有的datdocker run -it –-name robot1 -v /var/data:/opt/mydata:ro ros/kinetic /bin/basha layer导成二进制tar文件。通过load导入后，和之前build好的image相比没有区别，所以一样。

一般在Dockerfile文件里面会有说明"VOLUME"，比如你的nginx镜像可以查看其构建的Dockerfile，或者我最近也在学习docker，docker就相当于虚拟机描述。如果都没有就通过查看镜像安装过程来获取需要挂在的目录。