Docker -- 安全/部分命令/Daemon

Docker -- 终极指南
 1.安装过程 -- Docker -- docker pull 镜像 -- docker images 列出镜像
   -- docker run --rm -ti ubuntu /bin/bash 创建容器  (rm:进程退出即删除容器，用来测试)
   -- docker ps 查看容器 -- docker exec -ti name /bin/bash 进入容器  -- exit 退出
  
 2.Linux命名空间 UTS (UNIX Time-sharing System)
  *Docker核心解决的问题是利用LXC来实现类似VM的功能，
   从而利用更加节省的硬件资源提供给用户更多的计算资源。
   而LXC(Linux Container)所实现的隔离性主要是来自内核的命名空间,
   其中pid、net、ipc、mnt、uts 等命名空间将容器的进程、网络、消息、文件系统和hostname 隔离开
 
Docker -- 安全
  1.Docker run 命令执行后，Docker的具体实现
   * Docker run 命令初始化
   * Docker 运行 lxc -start 来执行run 命令
   * lxc -start 在容器中创建了一组namespace 和 control groups 。
    ①namespace: 隔离容器，每个容器都有独立的网络栈，因此容器间访问sockets需要指定容器的公网IP端口。
     ②cgroups：负责资源核算和限制， 提供CPU,内存，I/O和网络相关的指标，避免某种DOS攻击，支持多租户平台。
    
  2.Docker Daemon 以root权限执行时注意点
   * Docker允许与访问容器目录共享而不限制其访问权限的时候，Docker Daemon的控制权应该只给授权用户，
   * REST API支持unix sockets， 从而防止了cross-site-scripting 攻击
   * REST API的HTTP接口应该在可信网络或者VPN下使用。
   * 在服务器上单独运行Docker时，需要与其他服务隔离。
    ①容器以非特权用户运行。
    ②Apparmor, SELinux ,GRSEC 解决方案，可用于额外的安全层。
    ③可以使用其他容器系统的安全功能。
    
Docker 命令
 daemon:管理容器的后台进程，-d 参数运行后台进程。
 build :使用Dockerfile创建镜像  docker build -t  [options] path | url   [options:  --rm=true :构建后删除中间容器， --no-cache=false :不使用缓存]
 attach:与运行容器交互， 退出：ctrl+c/ ctrl-\(退出并显示堆栈信息) docker attach container
 diff  :列出文件中变化的文件和目录：docker diff container .
 events:打印指定时间内的容器的实时系统事件。
 import:导入远程文件或本地文件和目录。(远程)： docker import http://example.com/example.tar     (本地使用-参数)sudo tar -c image.tar | docker import -imageapp
 export:将容器的系统文件打包成tar:  docker export containid > image.tar
 cp    :从容器中复制文件到指定目录。 docker cp containerID:path hostpath.
 login :登录registry服务器。  docker login [options] [server]
 inspect:收集容器和镜像的底层信息。 docker inspect container/image *容器实例的IP地址，*端口绑定列表， *特定端口映射的搜索， *收集配置的详细信息。
 kill  :停止容器的主进程 docker kill [options] container .
 rmi   :移除一个或多个image镜像 docker rmi image
 wait  :阻塞对容器的其他方法调用，直到容器停止后退出阻塞。docker wait containerID
 load  :从tar文件中载入镜像或仓库到STDIN. docker load -i load.tar
 save  :保存镜像为tar文件并发送STDOUT。 docker save imageid > appbox.tar。