R1chArd_TvT 的 Blog

容器的安全性问题的根源在于容器和宿主机共享内核。如果容器里的应用导致Linux内核崩溃，那么整个系统可能都会崩溃。与虚拟机是不同的，虚拟机并没有与主机共享内核，虚拟机崩溃一般不会导致宿主机崩溃。

后端服务A-N可以把当前自己的网络位置注册到服务发现模块，服务发现就以K-V的方式记录下来，K一般是服务名，V就是IP:PORT。服务发现模块定时的进行健康检查，轮询查看这些后端服务能不能访问的了。------------------------------------ consul 部署 ---------------------------------------------------------------consul 多节点------------------------------

（1）什么是HarborHarbor 是 VMware 公司开源的企业级 Docker Registry 项目，其目标是帮助用户迅速搭建一个企业级的 Docker Registry 服务。Harbor以 Docker 公司开源的 Registry 为基础，提供了图形管理 UI 、基于角色的访问控制(Role Based AccessControl) 、AD/LDAP 集成、以及审计日志(Auditlogging) 等企业用户需求的功能，同时还原生支持中文。

之前执行 docker pull的命令都是从 docker hub上拉取的，是docker 公共仓库，如果在公司中使用docker，我们不可能把自己的镜像上传到公共仓库，这个时候就需要一个自己的仓库（私有仓库），在局域网之内搭建，既可以提升下载镜像的速度，也可以避免内部的镜像暴露出去。

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法直接通过 Container-IP 访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即 docker run 创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

docker -v --volumes-from 和 --link 互联

docker本质就是宿主机的一个进程，docker是通过namespace实现资源隔离，通过cgroup实现资源限制，通过写时复制技术(copy-on-write)实现了高效的文件操作（类似虚拟机的磁盘比如分配500g并不是实际占用物理磁盘500g，只有当需要修改时才复制一份数据）。

Compose则允许用户在一个模版（YAML格式）中定义一组相关联的 应用容器（被称为一个project，即项目）Docker Compose将所管理的容器分为三层，分别是工程（project）、服务（service）以及容器（container）。Docker -Compose运行目录下的所有文件（docker-compose .yml,extends文件或环境变量文件等）组成一个工程，若无特殊制 定工程名即为当前目录名。

dockerfile指令：FROM MAINTAINER RUN ENV EXPOSE VOLUME USER ADD/COPY ARG CMD/ENTRYPOINT WORKDIR

如何缩小镜像的体积大小？1）尽可能的使用小体积的基础镜像2）尽可能减少Dockerfile文件中的指令数量3）构建镜像步骤最后添加清空系统和应用程序的缓存的命令4）使用多级（多阶段）构建 FROM AS 别名 COPY --from 别名

Linux+Nginx+MySQL+PHP