06 Dockerfile 最佳生产实践

好处

生产实践中一定优先使用 Dockerfile 的方式构建镜像，因为使用 Dockerfile 构建镜像可以带来如下好处：
● 易于版本化管理，Dockerfile 本身是一个文本文件，方便存放在代码仓库中做版本管理，可以很方便地找到各个版本之间的变更历史；
● 过程可追溯，Dockerfile 的每一行指令代表一个镜像层，根据 Dockerfile 的内容即可明确地查看镜像的完整构建过程；
● 屏蔽构建环境异构，使用 Dockerfile 构建镜像无须考虑构建环境，基于相同 Dockerfile 无论在哪里运行，构建结果都一致。

---

书写原则

虽然好处不少，但使用不当也会引发很多问题，例如：
● 镜像构建时间过长，导致镜像构建失败；
● 镜像层数过多，导致镜像文件过大。

如果要在生产环境中编写出最优的 Dockerfile，首先应该尽量遵循相关的原则：
(1) 单一职责
由于容器的本质是进程，一个容器代表一个进程，因此不同功能的应用应该尽量拆分为不同的容器，每个容器负责单一业务进程。

(2) 提供注释信息
Dockerfile 也是一种代码，应该保持良好的代码编写习惯，晦涩难懂的代码尽量添加注释，让协作者可以一目了然地知道每行代码的作用，并且方便扩展和使用。

(3) 保持容器最小化
应该避免安装无用的软件包，这样不仅可以加快容器构建速度，还可以避免镜像体积过大。

(4) 合理选择基础镜像
容器的核心是应用，因此只要基础镜像能够满足应用的运行环境即可。

(5) 使用.dockerignore文件
使用 .dockerignore 文件可以在构建时忽略一些不需要参与构建的文件，从而提升构建效率。类似于在使用 git 时，我们可以使用 .gitignore 文件忽略一些不需要做版本管理的文件。

规则	含义
#	# 开头的表示注释
/tmp	匹配当前目录下任何以 tmp 开头的文件或者文件夹
*.md	匹配以 .md 为后缀的任意文件
my?	匹配以 my 开头并且以任意字符结尾的文件（？代表任意一个字符）
!README.md	! 表示排除忽略 例如 .dockerignore 定义如下： *.md !README.md 表示除了 README.md 文件外所有以 .md 结尾的文件。

(6) 尽量使用构建缓存
Docker 构建过程中，每一条 Dockerfile 指令都会提交为一个镜像层，下一条指令都是基于上一条指令构建的。如果构建时发现要构建的镜像层的父镜像层已经存在，并且下一条命令使用了相同的指令，即可命中构建缓存。

基于 Docker 构建时的缓存特性，我们可以把不轻易改变的指令放到 Dockerfile 前面（例如安装软件包），而可能经常发生改变的指令放在 Dockerfile 末尾（例如编译应用程序）。Docker 构建时判断是否需要使用缓存的规则如下：

• 从当前构建层开始，比较所有的子镜像，检查所有的构建指令是否与当前完全一致，如果不一致，则不使用缓存；
• 一般情况下，只需要对比构建指令即可判断是否需要使用缓存，但是有些指令除外（例如ADD和COPY）；
• 对于ADD和COPY指令不仅要校验命令是否一致，还要为即将拷贝到容器的文件计算校验和（根据文件内容计算出的一个数值，如果两个文件计算的数值一致，表示两个文件内容一致 ），命令和校验和完全一致，才认为命中缓存。

(7) 正确设置时区
从 Docker Hub 拉取的官方操作系统镜像大多数都是 UTC 时间（世界标准时间），如果容器应用对时间敏感，需要使用中国区标准时间（东八区），则可以在 Dockerfile 中添加以下指令：
RUN ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime && echo "Asia/Shanghai" >> /etc/timezone

(8) 使用国内软件源加快镜像构建速度
常用的官方操作系统镜像基本都是国外的，如果我们构建镜像的时候想要安装一些软件包可能会非常慢，以 CentOS 7 使用 163 软件源为例：

# CentOS7-Base-163.repo
#
[base]
name=CentOS-$releasever - Base - 163.com
repo=os
baseurl=http://mirrors.163.com/centos/$releasever/os/$basearch/
gpgcheck=1
gpgkey=http://mirrors.163.com/centos/RPM-GPG-KEY-CentOS-7

[updates]
name=CentOS-$releasever - Updates - 163.com
repo=updates
baseurl=http://mirrors.163.com/centos/$releasever/updates/$basearch/
gpgcheck=1
gpgkey=http://mirrors.163.com/centos/RPM-GPG-KEY-CentOS-7

[extras]
name=CentOS-$releasever - Extras - 163.com
repo=extras
baseurl=http://mirrors.163.com/centos/$releasever/extras/$basearch/
gpgcheck=1
gpgkey=http://mirrors.163.com/centos/RPM-GPG-KEY-CentOS-7

[centosplus]
name=CentOS-$releasever - Plus - 163.com
baseurl=http://mirrors.163.com/centos/$releasever/centosplus/$basearch/
gpgcheck=1
enabled=0
gpgkey=http://mirrors.163.com/centos/RPM-GPG-KEY-CentOS-7

随后在 Dockerfile 中添加如下指令：
COPY CentOS7-Base-163.repo /etc/yum.repos.d/CentOS7-Base.repo

(9) 最小化镜像层数
在构建镜像时尽可能地减少 Dockerfile 指令行数，主要是 RUN 指令如下：
RUN yum -y install make net-tools

---

书写建议

(1) RUN
RUN 指令在构建时将会生成一个新的镜像层并且执行 RUN 指令后面的内容，使用 RUN 指令时应该尽量遵循以下原则：

• 当 RUN 指令后面跟的内容比较复杂时，建议使用反斜杠（\）结尾并且换行；
• RUN 指令后面的内容尽量按照字母顺序排序，提高可读性。

FROM centos:7
RUN yum -y install automake \
                   curl \
                   python \
                   vim \

(2) CMD 和 ENTRYPOINT
CMD 和 ENTRYPOINT 指令都是容器运行的命令入口，它们基本使用格式分两种：

• CMD/ENTRYPOINT ["command" , "param"]，这种格式是使用Linux的 exec 实现的，一般称为 exec 模式，这种书写格式为指令后跟 json 数组，也是 Docker 推荐使用的格式。
• CMD/ENTRYPOINT command param，这种格式是基于 shell 实现的，一般称为 shell 模式，Docker 会以 /bin/sh -c command 的方式执行命令。

它们之间的区别如下：

• Dockerfile 中如果使用了 ENTRYPOINT 指令，启动 Docker 容器时需要使用 --entrypoint 参数才能覆盖 Dockerfile 中的 ENTRYPOINT 指令 ，而使用 CMD 设置的命令则可以被 docker run 后面的参数直接覆盖。
• ENTRYPOINT 指令可以结合 CMD 指令使用，也可以单独使用，而 CMD 指令只能单独使用。
• 使用 exec 模式启动容器时，指令指定的命令就是容器的 1 号进程，而 shell 模式启动的进程在容器中实际并不是 1 号进程。
• 如果希望镜像足够灵活，推荐使用 CMD 指令。如果镜像只执行单一的具体程序，并且不希望在执行 docker run 时覆盖默认程序，建议使用 ENTRYPOINT。

(3) ADD 和 COPY
ADD 和 COPY 指令功能类似，都是从外部往容器内添加文件。但是 COPY 指令只支持基本的文件和文件夹拷贝功能，ADD 则支持更多文件来源类型，比如自动提取 tar 包，并且可以支持源文件为 URL 格式。
日常应用，更推荐使用 COPY 指令， 因此该指令更加透明，仅支持本地文件向容器拷贝，而且可以更好地利用构建缓存，有效减小镜像体积。

### 当想用 ADD 向容器中添加 URL 文件时，可使用如下写法替代：
RUN wget -O /tmp/memtester-4.3.0.tar.gz http://pyropus.ca/software/memtester/old-versions/memtester-4.3.0.tar.gz \
&& tar -xvf /tmp/memtester-4.3.0.tar.gz -C /tmp \
&& make -C /tmp/memtester-4.3.0 && make -C /tmp/memtester-4.3.0 install

(4) WORKDIR
为了使构建过程更加清晰明了，推荐使用 WORKDIR 来指定容器的工作路径，尽量避免使用 RUN cd /work/path 这样的指令来切换工作路径。