建立儘可能小的 Docker 容器

當我們在使用 Docker 的時候，你會很快注意到你正在下載很多 MB 作為你的預先配置的容器。一個簡單的 Ubuntu 容器很容易超過 200 MB，並且隨著在上面安裝軟體，尺寸在逐漸增大。在某些情況下，你不需要任何事情都使用 Ubuntu 。例如，如果你只是簡單的想執行一個 web 服務，使用 GO 編寫的，沒有必要圍繞它使用任何工具。

我一直在尋找儘可能小的容器入手，並且發現了一個：

docker pull scratch

scratch 映象是完美的，真正的完美！它簡潔，小巧以及快速。它不包含任何 bug，安全洩漏，慢的程式碼或是技術債務。這是因為它是一個空的映象。除了一點由 Docker 加入的後設資料。事實上，你可以使用如下命令按照 Docker 文件描述的那樣建立一個自己的 scratch 映象。

tar cv --files-from /dev/null | docker import - scratch

所以這可能就是最小的 Docker 映象。

或者我們可以說說關於這個的更多東西？比如，你怎樣使用 scratch 映象。這給自己帶來了一些挑戰。

為 scratch 映象建立內容

我們可以在一個空映象中執行什麼？一個沒有依賴的可執行程式。你是否有沒有依賴的可執行程式？

我過去常常使用 Python，Java 和 Javascript 編寫程式碼。每一個這樣的語言/平臺都需要一個執行時的安裝。最近，我開始涉及 Go（或是 golang 如果你喜歡）平臺。看起來 Go 是靜態連線的。因此我嘗試編譯一個簡單的 web 服務輸出 Hello World 並且執行在 scratch 容器中。下面是這個 Hello World web 服務的程式碼：

package main

import (
    "fmt"
    "net/http"
)

func helloHandler(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintln(w, "Hello World from Go in minimal Docker container")
}

func main() {
    http.HandleFunc("/", helloHandler)

    fmt.Println("Started, serving at 8080")
    err := http.ListenAndServe(":8080", nil)
    if err != nil {
        panic("ListenAndServe: " + err.Error())
    }
}

明顯地，我不能在 scratch 容器中編譯我的 web 服務，因為容器中沒有 Go 編譯器。正如我在 Mac 上工作，我也無法編譯 Linux 的二進位制檔案一樣（實際上，是可以在不同的平臺上交叉編譯 Go 的原始碼的，但這會在另外一篇部落格中介紹）。

因此，我首先需要一個有 Go 編譯器的 Docker 容器。讓我們開始：

docker run -ti google/golang /bin/bash

在這個容器裡面，我可以構建一個 Web 服務，透過我已經提交到一個 GitHub 倉庫的程式碼。

go get github.com/adriaandejonge/helloworld

go get 命令是 go build 命令的變種，執行獲取和構建遠端的依賴。你可以執行可執行的結果：

$GOPATH/bin/helloworld

它工作了，但是這不是我們想要的。我們需要 hello world 容器執行在 scratch 容器裡面。因此，實際上，我們需要一個 Dockerfile :

FROM scratch
ADD bin/helloworld /helloworld
CMD ["/helloworld"]

然後啟動它，不幸的是，我們開始 google/golang 容器的這個方法， 沒有辦法構建這個 Dockerfile 。因此，首先，我們需要一種方法從這個容器內部訪問到 Docker。

從 Docker 內部呼叫 Docker

當你使用 Dokcer 時，你遲早會遇到需要從 Docker 內部訪問 Docker。可以有多種方法實現它。你可以使用遞迴和在 Docker 中執行 Docker。儘管如此，這樣看起來會很複雜並且導致容器很大。你還可以使用一些額外的命令選項在例項外訪問 Docker 伺服器：

docker run -v /var/run/docker.sock:/var/run/docker.sock -v $(which docker):$(which docker) -ti google/golang /bin/bash

在你繼續前，你重新執行 Go 編譯器，由於在重啟動過程中 Docker 忘記了我們以前編譯過。

go get github.com/adriaandejonge/helloworld

當我們啟動這個容器， -v 引數在 Docker 容器中建立一個卷並且允許你從 Docker 的機器提供一個檔案作為輸入。/var/run/docker.sock 是 UNIX socket，透過這個允許你訪問 Docker 服務。 (which docker) 部分是一個非常聰明的方法，它提供了一個在 容器中的 Docker 可執行檔案的路徑，而不是硬編碼。儘管如此，當你在 Mac 上透過 boot2docker 使用這個命令的時候需要小心。如果 Docker 的可執行檔案與 boot2docker 虛擬機器的在不同的位置，將導致不匹配。因此，你或許想使用 /usr/local/bin/docker 硬編碼的方式替換 $(which docker)，如果你執行在不同的系統，/var/run/docker.sock 有在不同位置的機會，你需要做相應的調整。

現在你可以在 google/golang 容器的 $GOPATH 目錄使用 Dockerfile ，在這個示例中指向 /gopath。實際上，我已經在 github 上檢查過了這個 Dockerfile，因此，你可以從 Go build 目錄複製它到所需的位置，像這樣：

cp $GOPATH/src/github.com/adriaandejonge/helloworld/Dockerfile $GOPATH

你需要複製這個作為二進位制的編譯檔案，現在位於 $GOPATH/bin，並且它不可能從父目錄包含檔案當構建一個 Dockerfile 的時候。因此複製後，下一步是：

docker build -t adejonge/helloworld $GOPATH

所有的都完成以後， Docker 給出如下響應：

Successfully built 6ff3fd5a381d

允許你執行這個容器：

docker run -ti --name hellobroken adejonge/helloworld

但是不幸的是， Docker 這次響應如下：

2014/07/02 17:06:48 no such file or directory

那麼到底是怎麼回事？我們在 scratch 容器中有可執行的靜態連結。難道我們犯了一個錯誤？

事實證明，Go 不是靜態連結庫。或者至少不是所有的庫。在 Linux 下，我們可以使用 ldd 命令來看到動態連結庫：

ldd $GOPATH/bin/helloworld 

得到如下響應：

linux-vdso.so.1 => (0x00007fff039fe000)
libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007f61df30f000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f61def84000)
/lib64/ld-linux-x86-64.so.2 (0x00007f61df530000)

因此，在我們執行我們的 web 服務之前，我需要告訴 go 編譯器實際的靜態連結。

建立在 Go 中的可執行靜態連結

為了建立可執行的靜態連結，我們需要告訴 Go 使用 cgo 編譯器而不是 go 編譯器。命令如下：

CGO_ENABLED=0 go get -a -ldflags '-s' github.com/adriaandejonge/helloworld

CGO_ENABLED 環境變數告訴 Go 使用 cgo 編譯器而不是 go 編譯器。-a 引數告訴 GO 重薪構建所有的依賴。否則的話你將以動態連結依賴結束。最後的 -ldflags '-s' 引數是一個非常好的擴充套件。它大概降低了可執行檔案 50% 的檔案大小。你也可以不透過 cgo 使用這個。尺寸縮小是去除了除錯資訊的結果。

為了確定，執行 ldd 命令：

ldd $GOPATH/bin/helloworld 

返回是：

not a dynamic executable

你也可以重新執行步驟，圍繞著從 scratch 建立 Docker 容器的可執行檔案。

docker build -t adejonge/helloworld $GOPATH

如果一切順利，Docker 將響應如下：

Successfully built 6ff3fd5a381d

允許你執行這個容器：

docker run -ti --name helloworld adejonge/helloworld

響應如下：

Started, serving at 8080

到目前為止，有許多手動的步驟和很多錯誤的地方。讓我們退出 google/golang 容器並且從周邊伺服器繼續：

<Press Ctrl-C>
exit

你可以檢查 Docker 容器和映象存在不存在：

docker ps -a
docker images -a

你可以使用如下命令清理：

docker rm -f helloworld
docker rmi -f adejonge/helloworld

建立一個 Docker 容器來建立一個 Docker 容器

目前為止，我們花了那麼多步驟，我們還可以記錄在 Dockerfile 中並且 Docker 會為我們做這些工作：

FROM google/golang
RUN CGO_ENABLED=0 go get -a -ldflags '-s' github.com/adriaandejonge/helloworld
RUN cp /gopath/src/github.com/adriaandejonge/helloworld/Dockerfile /gopath
CMD docker build -t adejonge/helloworld gopath

我在 一個單獨的稱為 adriaandejonge/hellobuild 的 GitHub 倉庫檢查了 Dockerfile。它可以使用下面的命令構建：

docker build -t adejonge/hellobuild github.com/adriaandejonge/hellobuild

提供 -t 引數命名 adejonge/hellobuild 映象並且它的最新的隱式的標籤。這些名字讓你以後更容易去除映象。下一步，你可以使用就像我們在這篇文章前面看到的那樣提供一個引數從這個映象中建立一個容器：

docker run -v /var/run/docker.sock:/var/run/docker.sock -v $(which docker):$(which docker) -ti --name hellobuild adejonge/hellobuild

提供 --name hellobuild 引數使得在執行後更容易移除容器。事實上，你可以這樣做，因為執行這個命令後，你已經建立了一個 adejonge/helloworld 映象：

docker rm -f hellobuild
docker rmi -f adejonge/hellobuild

現在你可以建立一個基於 adejonge/helloworld 映象的名為 helloworld 的新容器，就像你以前做的那樣：

docker run -ti --name helloworld adejonge/helloworld

因為所有的這些步驟都是從相同的命令中執行，不需要在 Docker 中開啟一個 bash shell 。你可以把這些步驟新增進一個 bash 指令碼，自動執行它，為了使你方便，我已經把這些指令碼加入了 hellobuild GitHub 倉庫。

另外，如果你想嘗試一個儘可能小的容器，但是又不想遵循部落格中的步驟，你可以使用我檢入進 Docker Hub repository 的預先構建好的映象。

docker pull adejonge/helloworld

使用 docker images -a ，你可以看到大小是 3.6MB。當然，如果你成功建立一個比我使用 Go 編寫的 web 服務還小的可執行檔案，你可以使得它更小。使用 C 語言或者是彙編，你可以這樣做到。儘管如此，你不可能使得它比 scratch 映象還小

擴充套件閱讀

• OPTIMIZING DOCKER IMAGES