docker-run - Online w chmurze

PROGRAM:

IMIĘ

docker-run — Uruchom polecenie w nowym kontenerze

STRESZCZENIE

doker biegać [-a|--przytwierdzać[=[]]] [--dodaj hosta[=[]]] [--blkio-waga[=[BLKIO-WAGA]]]
[--blkio-urządzenie-wagi[=[]]] [--udziały-procesora[=0]] [--cap-dodaj[=[]]] [--opuść czapkę[=[]]]
[--cgrupa-rodzic[=CGROUP-PATH]] [--plik cid[=PLIK CID]] [--procesor-okres[=0]] [--procesor-kwota[=0]]
[--cpuset-cpus[=CPUSET-CPU]] [--cpuset-mems[=CPUSET-MEMS]] [-d|--odłączyć]
[--odłącz-klucze[=[]]] [--urządzenie[=[]]] [--device-read-bps[=[]]] [--odczyt urządzenia iops[=[]]]
[---zapis-urządzenia-bps[=[]]] [--device-write-iops[=[]]] [--dns[=[]]] [--dns-opc[=[]]]
[--dns-wyszukiwanie[=[]]] [-e|--środka[=[]]] [--Punkt wejścia[=PUNKT WEJŚCIA]] [--env-plik[=[]]]
[--ujawnić[=[]]] [--dodanie grupy[=[]]] [-h|--nazwa hosta[=NAZWA HOSTA]] [--help] [-i|--interaktywny]
[--ip[=ADRES IPv4]] [--ip6[=ADRES IPv6]] [--ipc[=IPC]] [--izolacja[=domyślnym]]
[--pamięć-jądra[=PAMIĘĆ JĄDROWA]] [-l|--etykieta[=[]]] [--etykieta-plik[=[]]] [--połączyć[=[]]]
[--sterownik dziennika[=[]]] [--opcja logowania[=[]]] [-m|--pamięć[=PAMIĘĆ]] [--adres-mac[=ADRES MAC]]
[--rezerwacja-pamięci[=PAMIĘĆ-REZERWACJA]] [--wymiana-pamięci[=LIMIT]]
[--wymiana pamięci[=WYMIANA PAMIĘCI]] [--Nazwa[=IMIĘ]] [--Internet[="most"]]
[--net-alias[=[]]] [--oom-kill-disable] [--oom-wynik-przym[=0]] [-P|--opublikuj-wszystko]
[-p|--publikować[=[]]] [--pid[=[]]] [--uprzywilejowany] [--tylko czytać] [--uruchom ponownie[=RESTART]] [--rm]
[--opcja bezpieczeństwa[=[]]] [--sygnał stopu[=SYGNAŁ]] [--rozmiar shm[=[]]] [--sig-proxy[=prawdziwy]]
[-t|--tty] [--tmpfs[=[KATALOG-KONTENERA[: ]]] [-u|--użytkownik[=USER]] [--ulimit[=[]]]
[--nie[=[]]] [-v|--Tom[=[[HOST-DIR:]KATALOG-KONTENERA[:OPTIONS]]]]
[--sterownik głośności[=KIEROWCA]] [--tomy-z[=[]]] [-w|--katalog roboczy[=KIERUNEK ROBOCZY]] OBRAZ [POLECENIE]
[ARG...]

OPIS

Uruchom proces w nowym kontenerze. doker biegać uruchamia proces z własnym systemem plików,
własną sieć i własne izolowane drzewo procesów. OBRAZ, który rozpoczyna proces
może zdefiniować wartości domyślne związane z procesem, który będzie uruchamiany w kontenerze, tj
networking, aby ujawnić i nie tylko, ale doker biegać daje ostateczną kontrolę operatorowi lub
administrator, który uruchamia kontener z obrazu. Z tego powodu doker biegać ma wiecej
opcji niż jakiekolwiek inne polecenie Dockera.

Jeśli OBRAZ nie jest jeszcze załadowany, to doker biegać wyciągnie OBRAZ i cały obraz
zależności, z repozytorium w ten sam sposób uruchomiony doker Ciągnąć OBRAZ, przed nim
uruchamia kontener od tego obrazu.

OPCJE

-a, --przytwierdzać=[]
Dołącz do STDIN, STDOUT lub STDERR.

W trybie pierwszego planu (domyślnie, gdy -d nie jest określone), doker biegać może rozpocząć
proces w kontenerze i podłącz konsolę do standardowego wejścia i wyjścia procesu,
i błąd standardowy. Może nawet udawać, że jest TTY (tak właśnie robi większość linii poleceń
pliki wykonywalne oczekują) i przekazują sygnały. The -a opcję można ustawić dla każdego ze stdin,
stdout i stderr.

--dodaj hosta=[]
Dodaj niestandardowe mapowanie hosta na adres IP (host:ip)

Dodaj linię do /etc/hosts. Format to nazwa hosta:ip. The --dodaj hosta opcję można ustawić
wiele razy.

--blkio-waga=0
Waga bloku IO (waga względna) przyjmuje wartość wagi od 10 do 1000.

--blkio-urządzenie-wagi=[]
Waga bloku I/O (względna waga urządzenia, format: DEVICE_NAME: WAGA).

--udziały-procesora=0
Udziały procesora (względna waga)

Domyślnie wszystkie kontenery otrzymują tę samą proporcję cykli procesora. Ta proporcja może być
modyfikowane poprzez zmianę wagi udziału procesora kontenera w stosunku do wagi wszystkich
inne działające kontenery.

Aby zmienić proporcję z domyślnej wartości 1024, użyj metody --udziały-procesora flagę, aby ustawić
waga do 2 lub wyższa.

Proporcja będzie miała zastosowanie tylko wtedy, gdy uruchomione są procesy intensywnie obciążające procesor. Kiedy zadania w
jeden kontener jest bezczynny, inne kontenery mogą wykorzystać pozostały czas procesora. Rzeczywista kwota
czasu procesora będzie się różnić w zależności od liczby kontenerów uruchomionych w systemie.

Rozważmy na przykład trzy kontenery, jeden ma udział procesora 1024, a dwa inne mają
ustawienie cpu-share na 512. Gdy procesy we wszystkich trzech kontenerach próbują wykorzystać 100%.
CPU, pierwszy kontener otrzyma 50% całkowitego czasu procesora. Jeśli dodasz czwarty
kontenerze z udziałem procesora wynoszącym 1024, pierwszy kontener otrzymuje tylko 33% procesora. The
pozostałe kontenery otrzymują 16.5%, 16.5% i 33% procesora.

W systemie wielordzeniowym udział czasu procesora jest rozłożony na wszystkie rdzenie procesora. Choćby
kontener jest ograniczony do mniej niż 100% czasu procesora, może wykorzystać 100% każdej osoby
Rdzeń procesora.

Rozważmy na przykład system z więcej niż trzema rdzeniami. Jeśli uruchomisz jeden kontener {C0}
w -c=512 uruchamiając jeden proces i inny kontener {C1} w -c=1024 biegnie dwa
procesów, może to skutkować następującym podziałem udziałów procesora:

Udział procesora procesora kontenera PID
100 {C0} 0 100% CPU0
101 {C1} 1 100% CPU1
102 {C1} 2 100% CPU2

--cap-dodaj=[]
Dodaj możliwości Linuksa

--opuść czapkę=[]
Porzuć możliwości Linuksa

--cgrupa-rodzic= „”
Ścieżka do grup cgroup, w ramach których zostanie utworzona grupa cgroup dla kontenera. Jeśli ścieżka
nie jest bezwzględna, uważa się, że ścieżka jest względna względem ścieżki cgroups init
proces. Grupy C zostaną utworzone, jeśli jeszcze nie istnieją.

--plik cid= „”
Zapisz identyfikator kontenera do pliku

--procesor-okres=0
Ogranicz okres CPU CFS (Completely Fair Scheduler)

Ogranicz użycie procesora przez kontener. Ta flaga informuje jądro, aby ograniczyło procesor kontenera
użytkowania przez określony przez Ciebie okres.

--cpuset-cpus= „”
Procesory, w których umożliwić wykonanie (0-3, 0,1)

--cpuset-mems= „”
Węzły pamięci (MEM), w których można wykonać (0-3, 0,1). Działa tylko na NUMA
systemy.

Jeśli masz w systemie cztery węzły pamięci (0-3), użyj --cpuset-mems=0,1 następnie procesy
w kontenerze Docker będzie używać tylko pamięci z pierwszych dwóch węzłów pamięci.

--procesor-kwota=0
Ogranicz przydział CPU CFS (Completely Fair Scheduler)

Ogranicz użycie procesora przez kontener. Domyślnie kontenery działają z pełnymi zasobami procesora.
Ta flaga informuje jądro, aby ograniczyło użycie procesora kontenera do określonego limitu.

-d, --odłączyć=prawdziwy|fałszywy
Tryb odłączony: uruchom kontener w tle i wydrukuj nowy identyfikator kontenera. The
wartość domyślna to fałszywy.

W każdej chwili możesz biegać doker ps w drugiej powłoce, aby wyświetlić listę uruchomionych
pojemniki. Możesz ponownie podłączyć do odłączonego pojemnika za pomocą doker dołączać. Jeśli zdecydujesz się
uruchomić kontener w trybie odłączonym, wówczas nie będzie można używać -rm opcja.

Po podłączeniu w trybie tty możesz odłączyć się od kontenera (i pozostawić go uruchomionego)
za pomocą konfigurowalnej sekwencji klawiszy. Domyślna sekwencja to CTRL-str CTRL-q. Konfigurujesz
sekwencję klawiszy za pomocą --odłącz-klucze opcja lub plik konfiguracyjny. Widzieć
konfiguracja-json(5) aby zapoznać się z dokumentacją dotyczącą korzystania z pliku konfiguracyjnego.

--odłącz-klucze= „”
Zastąp sekwencję klawiszy do odłączania kontenera. Format to pojedynczy znak [az]
or klawisz kontrolny- gdzie jest jednym z: AZ, @, ^, [, , or _.

--urządzenie=[]
Dodaj urządzenie hosta do kontenera (np. --device=/dev/sdc:/dev/xvdc:rwm)

--device-read-bps=[]
Ogranicz szybkość odczytu z urządzenia (np. --device-read-bps=/dev/sda:1mb)

--odczyt urządzenia iops=[]
Ogranicz szybkość odczytu z urządzenia (np. --device-read-iops=/dev/sda:1000)

---zapis-urządzenia-bps=[]
Ogranicz szybkość zapisu do urządzenia (np. --device-write-bps=/dev/sda:1mb)

--device-write-iops=[]
Ogranicz szybkość zapisu urządzenia (np. --device-write-iops=/dev/sda:1000)

--dns-wyszukiwanie=[]
Ustaw niestandardowe domeny wyszukiwania DNS (Użyj --dns-search=. jeśli nie chcesz ustawiać wyszukiwania
domena)

--dns-opc=[]
Ustaw niestandardowe opcje DNS

--dns=[]
Ustaw niestandardowe serwery DNS

Tej opcji można użyć do zastąpienia konfiguracji DNS przekazanej do kontenera.
Zwykle jest to konieczne, gdy konfiguracja DNS hosta jest nieprawidłowa dla kontenera
(np. 127.0.0.1). W takim przypadku --dns flagi są niezbędne przy każdym biegu.

-e, --środka=[]
Ustaw zmienne środowiskowe

Ta opcja umożliwia określenie dowolnych zmiennych środowiskowych, które są dostępne dla
proces, który zostanie uruchomiony wewnątrz kontenera.

--Punkt wejścia= „”
Zastąp domyślny PUNKT WEJŚCIA obrazu

Ta opcja umożliwia zastąpienie domyślnego punktu wejścia obrazu ustawionego w pliku
Plik Dockera. PUNKT WEJŚCIA obrazu jest podobny do POLECENIA, ponieważ określa co
wykonywalny, który można uruchomić po uruchomieniu kontenera, ale jest to (celowo) trudniejsze
nadpisanie. ENTRYPOINT nadaje kontenerowi domyślny charakter lub zachowanie, więc kiedy
ustawiasz ENTRYPOINT, możesz uruchomić kontener tak, jakby był to plik binarny, w komplecie
opcje domyślne i możesz przekazać więcej opcji za pomocą KOMENDY. Ale czasami
operator może chcieć uruchomić coś innego w kontenerze, więc możesz zastąpić
domyślny ENTRYPOINT w czasie wykonywania, używając a --Punkt wejścia i ciąg znaków określający nowy
PUNKT WEJŚCIA.

--env-plik=[]
Wczytaj rozdzielany liniami plik zmiennych środowiskowych

--ujawnić=[]
Udostępnij port lub zakres portów (np. --expose=3300-3310) informuje Dockera, że
kontener nasłuchuje na określonych portach sieciowych w czasie wykonywania. Docker wykorzystuje te informacje
do łączenia kontenerów za pomocą łączy i konfigurowania przekierowania portów w systemie hosta.

--dodanie grupy=[]
Dodaj dodatkowe grupy, które mają być uruchamiane jako

-h, --nazwa hosta= „”
Nazwa hosta kontenera

Ustawia nazwę hosta kontenera dostępną w kontenerze.

--help
Wydrukuj oświadczenie o użyciu

-i, --interaktywny=prawdziwy|fałszywy
Pozostaw otwarte STDIN, nawet jeśli nie jest podłączone. Wartość domyślna to fałszywy.

Gdy jest ustawione na true, stdin pozostaje otwarty, nawet jeśli nie jest podłączony. Wartość domyślna to fałsz.

--ip= „”
Ustawia adres IPv4 interfejsu kontenera (np. 172.23.0.9)

Można go używać tylko w połączeniu z --Internet dla sieci zdefiniowanych przez użytkownika

--ip6= „”
Ustawia adres IPv6 interfejsu kontenera (np. 2001:db8::1b99)

Można go używać tylko w połączeniu z --Internet dla sieci zdefiniowanych przez użytkownika

--ipc= „”
Domyślnie tworzona jest prywatna przestrzeń nazw IPC (POSIX SysV IPC) dla kontenera
'pojemnik: ': ponownie wykorzystuje inny udostępniony kontener
pamięć, semafory i kolejki komunikatów
„host”: użyj pamięci współdzielonej hosta, semaforów i wiadomości
kolejki wewnątrz kontenera. Uwaga: tryb hosta zapewnia kontenerowi pełny dostęp do plików lokalnych
pamięci współdzielonej i dlatego są uważane za niebezpieczne.

--izolacja="domyślnym"
Izolacja określa rodzaj technologii izolacji stosowanej w kontenerach.

-l, --etykieta=[]
Ustaw metadane w kontenerze (np. --label com.example.key=wartość)

--pamięć-jądra= „”
Limit pamięci jądra (format: [ ], gdzie jednostka = b, k, m lub g)

Ogranicza pamięć jądra dostępną dla kontenera. Jeśli określono limit 0 (nie
za pomocą --pamięć-jądra), pamięć jądra kontenera nie jest ograniczona. Jeśli określisz
limit, można go zaokrąglić w górę do wielokrotności rozmiaru strony systemu operacyjnego i
Wartość może być bardzo duża, sięgać milionów bilionów.

--etykieta-plik=[]
Wczytaj plik etykiet rozdzielany liniami

--połączyć=[]
Dodaj link do innego kontenera w postaci :alias lub po prostu W
w takim przypadku alias będzie pasował do nazwy

Jeśli operator używa --połączyć podczas uruchamiania nowego kontenera klienta, a następnie klienta
kontener może uzyskać dostęp do odsłoniętego portu poprzez prywatny interfejs sieciowy. Docker zostanie ustawiony
niektóre zmienne środowiskowe w kontenerze klienta, aby pomóc wskazać, który interfejs i
portu do użycia.

--sterownik dziennika="plik json|syslog|dziennik|żel|płynnie|awslogi|pospiesznie|Żaden"
Sterownik rejestrujący dla kontenera. Wartość domyślna jest definiowana przez demona --sterownik dziennika flag.
ostrzeżenie: the doker dzienniki polecenie działa tylko dla plik json i
dziennik logowanie sterowników.

--opcja logowania=[]
Rejestrowanie opcji specyficznych dla sterownika.

-m, --pamięć= „”
Limit pamięci (format: [ ], gdzie jednostka = b, k, m lub g)

Umożliwia ograniczenie pamięci dostępnej dla kontenera. Jeśli host obsługuje swap
pamięć, a następnie -m ustawienie pamięci może być większe niż fizyczna pamięć RAM. Jeśli granica wynosi 0
określony (nie używa -m), pamięć kontenera nie jest ograniczona. Rzeczywisty limit może być
zaokrąglone w górę do wielokrotności rozmiaru strony systemu operacyjnego (wartość będzie bardzo
duża, czyli miliony bilionów).

--rezerwacja-pamięci= „”
Miękki limit pamięci (format: [ ], gdzie jednostka = b, k, m lub g)

Po ustawieniu rezerwacji pamięci, gdy system wykryje rywalizację o pamięć lub niski poziom pamięci,
kontenery są zmuszone ograniczyć swoje zużycie do swojej rezerwacji. Więc powinieneś
zawsze ustawiaj wartość poniżej --pamięć, w przeciwnym razie pierwszeństwo będzie miał sztywny limit. Przez
domyślnie rezerwacja pamięci będzie taka sama jak limit pamięci.

--wymiana-pamięci="LIMIT"
Wartość graniczna równa pamięci plus zamiana. Należy używać z -m (--pamięć) flaga. The
zamiana LIMIT powinien być zawsze większy niż -m (--pamięć) wartość.

Format LIMIT is [ ]. Jednostka może być b (bajty), k (kilobajty), m
(megabajty) lub g (gigabajty). Jeśli nie określisz jednostki, b Jest używane. Ustaw LIMIT na -1 do
włączyć nieograniczoną wymianę.

--adres-mac= „”
Adres MAC kontenera (np. 92:d0:c6:0a:29:33)

Pamiętaj, że adres MAC w sieci Ethernet musi być unikalny. Lokalne łącze IPv6
adres będzie oparty na adresie MAC urządzenia zgodnie z RFC4862.

--Nazwa= „”
Przypisz nazwę do kontenera

Operator może zidentyfikować kontener na trzy sposoby:
Długi identyfikator UUID
(“f78375b1c487e03c9438c729345e54db9d20cfa2ac1fc3494b6eb60872e74778”)
Krótki identyfikator UUID („f78375b1c487”)
Imię („Jonasz”)

Identyfikatory UUID pochodzą od demona Docker i jeśli nazwa nie jest przypisana do
pojemnik z --Nazwa wtedy demon wygeneruje również losową nazwę ciągu. Imię to
przydatne przy definiowaniu linków (patrz --połączyć) (lub inne miejsce, w którym musisz zidentyfikować a
pojemnik). Działa to zarówno w przypadku kontenerów Docker w tle, jak i na pierwszym planie.

--Internet="most"
Ustaw tryb sieciowy dla kontenera
„most”: utwórz stos sieciowy w domyślnym oknie dokowanym
most
„brak”: brak sieci
'pojemnik: ': ponownie użyj sieci innego kontenera
stos
„host”: użyj stosu sieciowego hosta Docker. Uwaga: gospodarz
Tryb zapewnia kontenerowi pełny dostęp do lokalnych usług systemowych, takich jak D-bus i jest
dlatego uważane za niebezpieczne.
' | ': połącz się z plikiem zdefiniowanym przez użytkownika
sieć

--net-alias=[]
Dodaj alias o zasięgu sieciowym dla kontenera

--oom-kill-disable=prawdziwy|fałszywy
Określa, czy wyłączyć OOM Killer dla kontenera, czy nie.

--oom-wynik-przym= „”
Dostosuj preferencje OOM hosta dla kontenerów (akceptuje -1000 do 1000)

-P, --opublikuj-wszystko=prawdziwy|fałszywy
Opublikuj wszystkie odsłonięte porty w losowych portach na interfejsach hosta. Wartość domyślna to fałszywy.

Po ustawieniu na true publikuj wszystkie odsłonięte porty w interfejsach hosta. Wartość domyślna to fałsz.
Jeśli operator użyje opcji -P (lub -p), wówczas Docker udostępni odsłonięty port w witrynie
hosta, a porty będą dostępne dla każdego klienta, który będzie mógł połączyć się z hostem. Podczas używania -P,
Docker powiąże dowolny odsłonięty port z losowym portem na hoście w pliku efemeryczny Port
zasięg zdefiniowany przez /proc/sys/net/ipv4/ip_local_port_range. Aby znaleźć mapowanie pomiędzy
porty hosta i porty odsłonięte, użyj doker Port.

-p, --publikować=[]
Opublikuj port kontenera lub zakres portów na hoście.

Format: ip:hostPort:port kontenera | ip::kontenerPort | HostPort:Port kontenera |
pojemnikPort Zarówno hostPort, jak i ContainerPort można określić jako zakres portów. Gdy
określając zakresy dla obu, liczba portów kontenerowych w zakresie musi odpowiadać
liczba portów hosta w zasięgu. (np, doker biegać -p 1234–1236: 1222–1224 --Nazwa
to działa -t BusyBox ale nie doker biegać -p 1230–1236: 1230–1240 --Nazwa
RangeContainerPortsBiggerThanRangeHostPorts -t BusyBox) Z adresem IP: doker biegać -p
127.0.0.1:$PORTHOST:$PORT KONTENERA --Nazwa POJEMNIK -t jakiś obraz Zastosowanie doker Port , aby zobaczyć
rzeczywiste mapowanie: doker Port POJEMNIK $KONTENERPORT

--pid=gospodarz
Ustaw tryb PID dla kontenera
gospodarz: użyj przestrzeni nazw PID hosta wewnątrz kontenera.
Uwaga: tryb hosta zapewnia kontenerowi pełny dostęp do lokalnego PID i dlatego jest
uważany za niepewny.

--nie=gospodarz
Ustaw tryb UTS dla kontenera
gospodarz: użyj przestrzeni nazw UTS hosta wewnątrz kontenera.
Uwaga: tryb hosta daje kontenerowi dostęp do zmiany nazwy hosta i jest
dlatego uważane za niebezpieczne.

--uprzywilejowany=prawdziwy|fałszywy
Nadaj rozszerzone uprawnienia temu kontenerowi. Wartość domyślna to fałszywy.

Domyślnie kontenery Dockera są „nieuprzywilejowane” (=false) i nie mogą na przykład uruchamiać
Demon Dockera w kontenerze Docker. Dzieje się tak, ponieważ domyślnie kontener taki nie jest
dostęp do wszelkich urządzeń. Kontener „uprzywilejowany” ma dostęp do wszystkich urządzeń.

Kiedy operator wykonuje doker biegać --uprzywilejowany, Docker umożliwi dostęp do wszystkich
urządzeń na hoście, a także skonfiguruj w AppArmor, aby zezwolić na kontener
prawie taki sam dostęp do hosta, jak procesy działające poza kontenerem na
gospodarz.

--tylko czytać=prawdziwy|fałszywy
Zamontuj główny system plików kontenera jako tylko do odczytu.

Domyślnie kontener będzie miał możliwość zapisu swojego głównego systemu plików, co umożliwi procesom zapisywanie
pliki w dowolnym miejscu. Określając --tylko czytać flag kontener będzie miał swój katalog główny
system plików zamontowany jako tylko do odczytu, zakazujący jakichkolwiek zapisów.

--uruchom ponownie="Nie"
Zasady ponownego uruchomienia, które mają zostać zastosowane po zamknięciu kontenera (nie, w przypadku awarii[:max-retry], zawsze,
chyba że zatrzymany).

--rm=prawdziwy|fałszywy
Automatycznie usuwaj kontener po wyjściu (niekompatybilny z opcją -d). Wartość domyślna to
fałszywy.

--opcja bezpieczeństwa=[]
Opcje zabezpieczeń

„label:user:USER” : Ustaw użytkownika etykiety dla kontenera
„label:role:ROLE”: Ustaw rolę etykiety dla kontenera
„label:type:TYPE”: Ustaw typ etykiety dla kontenera
„label:level:LEVEL” : Ustaw poziom etykiety dla kontenera
„label:disable”: Wyłącz blokowanie etykiet dla kontenera

--sygnał stopu=SIGTERM
Sygnał do zatrzymania kontenera. Wartość domyślna to SIGTERM.

--rozmiar shm= „”
Rozmiar /dev/shm. Format to .
numer musi być większa niż 0. Jednostka jest opcjonalna i może być b (bajty), k (kilobajty),
m(megabajty) lub g (gigabajty).
Jeśli pominiesz jednostkę, system użyje bajtów. Jeśli całkowicie pominiesz rozmiar, system
zastosowania 64m.

--sig-proxy=prawdziwy|fałszywy
Serwer proxy odebrał sygnały do ​​procesu (tylko tryb inny niż TTY). SIGCHLD, SIGSTOP i
SIGKILL nie są proxy. Wartość domyślna to prawdziwy.

--wymiana pamięci= „”
Dostosuj zachowanie wymiany pamięci kontenera. Akceptuje liczbę całkowitą z zakresu od 0 do 100.

-t, --tty=prawdziwy|fałszywy
Przydziel pseudo-TTY. Wartość domyślna to fałszywy.

Po ustawieniu na true Docker może przydzielić pseudo-tty i dołączyć do standardowego wejścia dowolnego
pojemnik. Można to wykorzystać na przykład do uruchomienia jednorazowej interaktywnej powłoki. The
wartość domyślna to fałsz.

Połączenia -t opcja jest niezgodna z przekierowaniem standardowego wejścia klienta dokera.

--tmpfs=[] Utwórz montowanie tmpfs

Zamontuj tymczasowy system plików (tmpfs) zamontuj w pojemniku, np.:

$ uruchomienie okna dokowanego -d --tmpfs / Tmp:rw,size=787448k,mode=1777 mój_obraz

To polecenie montuje a tmpfs at / Tmp wewnątrz kontenera. Obsługiwane opcje montażu to
taki sam jak domyślny system Linux uchwyt flagi. Jeżeli nie określisz żadnych opcji, systems
korzysta z następujących opcji: rw,noexec,nosuid,nodev,rozmiar=65536k.

-u, --użytkownik= „”
Ustawia używaną nazwę użytkownika lub UID i opcjonalnie nazwę grupy lub GID dla określonego
dowództwo.

Wszystkie poniższe przykłady są prawidłowe:
--użytkownik [użytkownik | użytkownik:grupa | identyfikator użytkownika | uid:gid | użytkownik: gid | identyfikator użytkownika:grupa ]

Bez tego argumentu polecenie zostanie uruchomione jako root w kontenerze.

--ulimit=[]
Opcje Ulimitu

-v|--Tom[=[[HOST-DIR:]KATALOG-KONTENERA[:OPTIONS]]]
Utwórz uchwyt wiążący. Jeśli określisz, -v /HOST-DIR:/CONTAINER-DIR, Doker
wiązać wierzchowce /HOST-DIR w gospodarzu do /KONTENER-DIR w Dockerze
pojemnik. Jeśli pominięto „HOST-DIR”, Docker automatycznie utworzy nowy
głośność na hoście. The OPCJE są listą rozdzielaną przecinkami i mogą mieć postać:

· [rw|ro]

· [z|Z]

· [[r] udostępniony|[r]niewolnik|[r]prywatny]

Połączenia KONTENER-DIR musi być ścieżką bezwzględną, taką jak /src/docs, HOST-DIR może być
ścieżka bezwzględna lub a Nazwa wartość. A Nazwa wartość musi zaczynać się od znaku alfanumerycznego,
następnie a-z0-9, _ (podkreślać), . (kropka) lub - (łącznik). Ścieżka absolutna zaczyna się od
a / (ukośnik).

Jeśli podasz a HOST-DIR to jest ścieżka bezwzględna, Docker montuje się na ścieżce, którą ty
sprecyzować. Jeśli podasz a Nazwa, Docker tworzy na tej podstawie nazwany wolumin Nazwa, Na przykład,
możesz określić jedno i drugie /bla or bla dla HOST-DIR wartość. Jeśli podasz /bla wartość,
Docker tworzy mocowanie powiązania. Jeśli podasz bla specyfikacji, Docker tworzy plik o nazwie
objętość.

Możesz określić wiele -v opcje montażu jednego lub więcej uchwytów do kontenera. Używać
te same mocowania w innych pojemnikach, określ --tomy-z opcja również.

Możesz dodać :ro or : rw przyrostek do woluminu umożliwiający jego zamontowanie w trybie tylko do odczytu lub do odczytu i zapisu,
odpowiednio. Domyślnie woluminy są montowane w trybie odczytu i zapisu. Zobacz przykłady.

Systemy etykietowania, takie jak SELinux, wymagają umieszczenia odpowiednich etykiet na zawartości objętościowej
zamontowany w pojemniku. Bez etykiety system bezpieczeństwa może uniemożliwić procesy
działające wewnątrz kontenera przed użyciem zawartości. Domyślnie Docker się nie zmienia
etykiety ustawione przez system operacyjny.

Aby zmienić etykietę w kontekście kontenera, możesz dodać jeden z dwóch przyrostków :z or :Z do
uchwyt głośności. Te przyrostki mówią Dockerowi, aby ponownie opisał obiekty plików w udostępnionym
wolumeny. ten z Opcja informuje Dockera, że ​​dwa kontenery współdzielą zawartość woluminu. Jak
W rezultacie Docker oznacza zawartość etykietą zawartości udostępnionej. Umożliwiają wspólne etykiety woluminów
wszystkie kontenery do odczytu/zapisu treści. The Z opcja każe Dockerowi oznaczyć zawartość etykietą
prywatna, nieudostępniana etykieta. Tylko bieżący kontener może używać woluminu prywatnego.

Domyślnie zamontowane woluminy to prywatny. Oznacza to, że wszelkie mocowania wykonane wewnątrz kontenera
nie będzie widoczny na hoście i odwrotnie. Można zmienić to zachowanie, określając a
właściwość propagacji montowania woluminów. Tworzenie objętości shared mocowania wykonane pod tym wolumenem
wewnątrz kontenera będzie widoczny na hoście i odwrotnie. Tworzenie objętości niewolnik Umożliwia
będzie tylko jednokierunkowa propagacja montowania, czyli montowanie na hoście w ramach tego woluminu
widoczne wewnątrz pojemnika, ale nie odwrotnie.

Aby kontrolować właściwość propagacji montowania woluminu, można użyć :[r]udostępniony, :[r]niewolnik or
:[r]prywatny flaga propagacyjna. Właściwość propagacji można określić tylko w przypadku zamontowania powiązania
woluminów, a nie woluminów wewnętrznych lub woluminów nazwanych. Aby propagacja montowania działała
punkt podłączenia źródła (punkt podłączenia, w którym zamontowany jest katalog źródłowy) musi mieć prawo
właściwości propagacyjne. W przypadku woluminów współdzielonych źródłowy punkt podłączenia musi być współdzielony. I dla
wolumeny podrzędne, podłączenie źródła musi być współdzielone lub podrzędne.

Zastosowanie df aby znaleźć źródło montażu, a następnie użyć znalezisko -o
CEL, PROPAGACJA aby poznać właściwości propagacyjne źródła
uchwyt. Jeśli znalezisko narzędzie nie jest dostępne, wówczas można sprawdzić wpis dotyczący montowania w poszukiwaniu źródła
punkt mocowania w /proc/self/informacje o montowaniu. Patrzeć na fakultatywny Pola i zobacz czy będzie jakaś propagacja
właściwości są określone. udostępniony:X oznacza, że ​​góra jest shared, mistrz:X oznacza, że ​​góra jest niewolnik
a jeśli nic tam nie ma, oznacza to, że wierzchowiec jest prywatny.

Aby zmienić właściwości propagacji punktu podłączenia, użyj uchwyt Komenda. Na przykład, jeśli jeden
chce powiązać katalog źródłowy montowania /bla można zrobić uchwyt --wiązać /bla /bla i uchwyt
--uczynić prywatnym --make-shared /bla. Spowoduje to konwersję /foo na a shared punkt montowania.
Alternatywnie można bezpośrednio zmienić właściwości propagacji montażu źródłowego. Mowić / is
uchwyt źródłowy dla /bla, a następnie użyj uchwyt --make-shared / przekonwertować na / w shared uchwyt.

Note: W przypadku używania systemd do zarządzania uruchamianiem i zatrzymywaniem demona Docker w pliku
systemd unit istnieje opcja kontrolowania propagacji montowania dla Dockera
sam demon, tzw GóraFlagi. Wartość tego ustawienia może spowodować, że Docker nie będzie działać
zobacz zmiany propagacji montowania wprowadzone w punkcie montowania. Na przykład, jeśli ta wartość
is niewolnik, możesz nie być w stanie korzystać z shared or udostępniony propagacja w objętości.

--sterownik głośności= „”
Sterownik głośności kontenera. Ten sterownik tworzy woluminy określone z
plik Dockerfile TOM instrukcji lub z doker biegać -v flag.
See Tworzenie woluminu dokera(1) dla pełnych szczegółów.

--tomy-z=[]
Montuj woluminy z określonych kontenerów

Montuje już zamontowane woluminy z kontenera źródłowego na inny
pojemnik. Musisz podać identyfikator kontenera źródła. Dzielić się
wolumin, użyj opcji --tomy-z opcja podczas biegania
kontener docelowy. Możesz udostępniać woluminy nawet w przypadku kontenera źródłowego
nie pracuje.

Domyślnie Docker montuje woluminy w tym samym trybie (odczyt-zapis lub
tylko do odczytu), ponieważ jest zamontowany w kontenerze źródłowym. Opcjonalnie ty
można to zmienić, dodając do identyfikatora kontenera końcówkę :ro or
: rw słowo kluczowe.

Jeśli lokalizacja woluminu z kontenera źródłowego pokrywa się z
dane znajdujące się w kontenerze docelowym, wolumin zostaje ukryty
te dane na temat celu.

-w, --katalog roboczy= „”
Katalog roboczy wewnątrz kontenera

Domyślnym katalogiem roboczym do uruchamiania plików binarnych w kontenerze jest katalog główny
katalog (/). Deweloper może ustawić inne ustawienie domyślne za pomocą pliku Dockerfile WORKDIR
instrukcja. Operator może zastąpić katalog roboczy za pomocą metody -w opcja.

Wyjście Rynek

Kod wyjścia z doker biegać podaje informację o tym, dlaczego kontener nie został uruchomiony lub
dlaczego wyszło. Gdy doker biegać kończy się z kodem niezerowym, po kodach wyjścia następuje
chroot standardowe, patrz poniżej:

125 if dotychczasowy błąd is w Doker Demon samo

$ uruchomienie dokera --foo busybox; powtórzyć $?
# podana flaga, ale niezdefiniowana: --foo
Zobacz „uruchamianie okna dokowanego --help”.
125

126 if dotychczasowy zawarte komenda nie może be przywołany

$ okno dokowane uruchamia busybox / Etc; powtórzyć $?
# wykonanie: "/ Etc": odmowa pozwolenia
okno dokowane: Odpowiedź na błąd od demona: Nie można wywołać zawartego polecenia
126

127 if dotychczasowy zawarte komenda nie może be znaleziono

$ okno dokowane uruchamia busybox foo; powtórzyć $?
# exec: "foo": nie znaleziono pliku wykonywalnego w $PATH
okno dokowane: Odpowiedź na błąd od demona: Nie znaleziono zawartego polecenia lub nie istnieje
127

Wyjście kod of zawarte komenda Inaczej

$ okno dokowane uruchamia busybox / Bin / sh -c „wyjście 3”
# 3

PRZYKŁADY

Bieganie pojemnik in tylko do odczytu tryb

Podczas opracowywania obrazu kontenera kontenery często muszą zapisywać zawartość obrazu.
Instalowanie pakietów w / usr, Na przykład. W środowisku produkcyjnym aplikacje rzadko tego wymagają
napisz do obrazka. Aplikacje kontenerowe zapisują w woluminach, jeśli muszą zapisywać do pliku
systemy w ogóle. Aplikacje można zwiększyć bezpieczeństwo, uruchamiając je w trybie tylko do odczytu
za pomocą przełącznika --read-only. Chroni to obraz kontenerów przed modyfikacją. Czytać
tylko kontenery mogą nadal wymagać zapisywania danych tymczasowych. Najlepszym sposobem, aby sobie z tym poradzić, jest
zamontuj katalogi tmpfs na / biegać i /tmp.

# uruchomienie okna dokowanego --tylko do odczytu --tmpfs / biegać --tmpfs / Tmp -i -t Fedora / bin / bash

Odsłanianie log wiadomości od dotychczasowy pojemnik do dotychczasowy zastępy niebieskie log

Jeśli chcesz, aby wiadomości zarejestrowane w Twoim kontenerze pojawiały się w hostach
syslog/journal, powinieneś powiązać montowanie katalogu /dev/log w następujący sposób.

# docker run -v /dev/log:/dev/log -i -t fedora / bin / bash

Z wnętrza kontenera możesz to przetestować, wysyłając wiadomość do dziennika.

(bash)# logger „Witam z mojego kontenera”

Następnie wyjdź i sprawdź dziennik.

# wyjście

# dziennikctl -b | grep Witam

Powinno to wyświetlić wiadomość wysłaną do rejestratora.

Dołączając do pierwszej or jeszcze od STDIN, STDOUT, STDERR

Jeśli nie określisz -a, Docker dołączy wszystko (stdin, stdout, stderr), co chcesz
zamiast tego wolę się łączyć, jak w:

# docker run -a stdin -a stdout -i -t fedora / bin / bash

Udostępnianie IPC pomiędzy Pojemniki

Korzystanie z shm_server.c dostępnego tutaj: ⟨https://www.cs.cf.ac.uk/Dave/C/node27.html⟩

Testowanie --ipc=host tryb:

Host pokazuje segment pamięci współdzielonej z 7 dołączonymi pidami, tak się składa, że ​​pochodzi z httpd:

$ sudo isztuk -m

------ Segmenty pamięci współdzielonej --------
właściciel klucza shmid zezwala na bajty nattch status
0x01128e25 0 korzeń 600 1000 7

Teraz uruchom zwykły kontener i poprawnie NIE widzi segmentu pamięci współdzielonej
gospodarz:

$ docker run -it shm ipcs -m

------ Segmenty pamięci współdzielonej --------
właściciel klucza shmid zezwala na bajty nattch status

Uruchom kontener z nowym --ipc=host opcję i widzi teraz segment pamięci współdzielonej
z hosta httpd:

$ docker run -it --ipc=host shm ipcs -m

------ Segmenty pamięci współdzielonej --------
właściciel klucza shmid zezwala na bajty nattch status
0x01128e25 0 korzeń 600 1000 7

Testowanie --ipc=kontener:IDPOJEMNIKA tryb:

Uruchom kontener z programem, aby utworzyć segment pamięci współdzielonej:

$ uruchomienie dokera - to shm bash
$ sudo shm/shm_server
$ sudo isztuk -m

------ Segmenty pamięci współdzielonej --------
właściciel klucza shmid zezwala na bajty nattch status
0x0000162e 0 root 666 27 1

Utwórz drugi kontener poprawnie pokazuje brak segmentu pamięci współdzielonej z pierwszego kontenera:

$ uruchomienie dokera shm ipcs -m

------ Segmenty pamięci współdzielonej --------
właściciel klucza shmid zezwala na bajty nattch status

Utwórz trzeci kontener za pomocą nowej opcji --ipc=container:CONTAINERID, teraz pokazuje
segment pamięci współdzielonej od pierwszego:

$ docker run -it --ipc=container:ed735b2264ac shm ipcs -m
$ sudo isztuk -m

------ Segmenty pamięci współdzielonej --------
właściciel klucza shmid zezwala na bajty nattch status
0x0000162e 0 root 666 27 1

Łączenie Pojemniki

Note: Ta sekcja opisuje łączenie pomiędzy kontenerami w trybie domyślnym (most)
sieci, zwane także „starszymi łączami”. Za pomocą --połączyć w sieciach zdefiniowanych przez użytkownika
wykrywanie oparte na DNS, które nie dodaje wpisów do / Etc / hostsi nie ustawia się
zmienne środowiskowe do wykrywania.

Funkcja łącza umożliwia komunikację między wieloma kontenerami. Na przykład:
kontener, którego plik Dockerfile ujawnił port 80, można uruchomić i nazwać go w następujący sposób:

# uruchomienie okna dokowanego --name=test łącza -d -i -t fedora/httpd

Drugi kontener, w tym przypadku nazywany linkerem, może komunikować się z kontenerem httpd,
o nazwie test łącza, uruchamiając z rozszerzeniem --link= :

# docker run -t -i --link=link-test:lt --name=linker fedora / bin / bash

Teraz linker kontenera jest połączony z testem łącza kontenera za pomocą aliasu lt. Uruchamianie
env polecenie w kontenerze linkera pokazuje zmienne środowiskowe
z kontekstem LT (alias) (LT_)

# śr
NAZWA HOSTA=668231cb0978
TERMIN=xtermin
LT_PORT_80_TCP=tcp://172.17.0.3:80
LT_PORT_80_TCP_PORT=80
LT_PORT_80_TCP_PROTO=tcp
LT_PORT=tcp://172.17.0.3:80
ŚCIEŻKA=/ usr / local / sbin:/ usr / local / bin:/ usr / sbin:/ usr / bin:/ sbin:/kosz
PWD=/
LT_NAME=/linker/lt
SHLVL=1
DOM=/
LT_PORT_80_TCP_ADDR=172.17.0.3
_=/usr/bin/env

Podczas łączenia dwóch kontenerów Docker użyje odsłoniętych portów kontenera do utworzenia pliku
bezpieczny tunel, do którego ma dostęp rodzic.

Jeśli kontener jest podłączony do domyślnej sieci mostowej i powiązany z innymi
kontenery, potem kontener / Etc / hosts plik zostanie zaktualizowany przy użyciu połączonego kontenera
nazwa.

Note Ponieważ Docker może na żywo aktualizować kontener / Etc / hosts plik, może istnieć
sytuacje, w których procesy wewnątrz kontenera mogą zakończyć się odczytaniem pustego lub
niekompletny / Etc / hosts plik. W większości przypadków ponowna próba odczytu powinna naprawić problem
problemem.

Mapowanie porty dla Zewnętrzny Stosowanie

Ujawniony port aplikacji można zamapować na port hosta za pomocą metody -p flaga. Dla
na przykład port httpd 80 można zmapować na port hosta 8080, korzystając z następującego polecenia:

# uruchomienie dokera -p 8080:80 -d -i -t fedora/httpd

Tworzenie i Montowanie a Dane objętość Pojemnik

Wiele aplikacji wymaga udostępniania trwałych danych w kilku kontenerach. Doker
umożliwia utworzenie kontenera woluminów danych, z którego można montować inne kontenery. Dla
na przykład utwórz nazwany kontener zawierający katalogi /var/volume1 i /tmp/volume2.
Obraz będzie musiał zawierać te katalogi, więc kilka instrukcji RUN mkdir
może być wymagany dla obrazu danych Fedory:

# uruchomienie dokera --name=data -v /var/volume1 -v /tmp/volume2 -i -t fedora-data true
# docker run --volumes-from=dane --name=fedora-container1 -i -t fedora bash

Wiele parametrów --volumes-from spowoduje połączenie wielu woluminów danych z wielu
pojemniki. Możliwe jest także zamontowanie woluminów pochodzących z kontenera DATA
jeszcze jeden kontener za pośrednictwem kontenera pośredniego fedora-container1, umożliwiając
wyodrębnij rzeczywiste źródło danych od użytkowników tych danych:

# uruchomienie okna dokowanego --volumes-from=fedora-container1 --name=fedora-container2 -i -t fedora bash

Montowanie Zewnętrzny Volumes

Aby zamontować katalog hosta jako wolumin kontenera, określ bezwzględną ścieżkę do pliku
katalog i bezwzględna ścieżka do katalogu kontenera oddzielona dwukropkiem:

# uruchomienie okna dokowanego -v /var/db:/data1 -i -t bash Fedory

Korzystając z SELinux, należy pamiętać, że host nie ma wiedzy na temat polityki kontenera SELinux.
Dlatego w powyższym przykładzie, jeśli egzekwowana jest polityka SELinux, plik /var/db katalog to
nie można zapisać w kontenerze. Pojawi się komunikat „Odmowa uprawnień” i wyświetli się komunikat AVC:
wiadomość w syslog hosta.

Aby obejść ten problem, w momencie pisania tej strony podręcznika należy wykonać następujące polecenie
uruchom, aby do hosta dołączyć odpowiednią etykietę typu polityki SELinux
katalog:

# chcon -Rt svirt_sandbox_file_t /var/db

Teraz zapis do woluminu /data1 w kontenerze będzie dozwolony, a zmiany zostaną wprowadzone
zostaną również odzwierciedlone na hoście w /var/db.

Korzystanie z alternatywny bezpieczeństwo etykietowanie

Możesz zastąpić domyślny schemat etykietowania dla każdego kontenera, określając
--opcja bezpieczeństwa flaga. Można na przykład określić poziom MCS/MLS, będący wymogiem dla MLS
systemy. Określenie poziomu w poniższym poleceniu umożliwia udostępnienie tego samego
zawartość pomiędzy pojemnikami.

# uruchomienie dokera --security-opt label:level:s0:c100,c200 -i -t fedora bash

Przykładem MLS może być:

# uruchomienie dokera --security-opt etykieta:poziom:TopSecret -i -t rhel7 bash

Aby wyłączyć etykietowanie zabezpieczeń dla tego kontenera w porównaniu z uruchamianiem z --dozwalający
flagę, użyj następującego polecenia:

# uruchomienie okna dokowanego --security-opt etykieta:wyłącz -i -t fedora bash

Jeśli chcesz mieć bardziej rygorystyczną politykę bezpieczeństwa dotyczącą procesów w kontenerze, możesz to określić
alternatywny typ kontenera. Można uruchomić kontener, który jest dozwolony
nasłuchuj na portach Apache, wykonując następujące polecenie:

# uruchomienie okna dokowanego --security-opt etykieta:typ:svirt_apache_t -i -t centos bash

Uwaga:

Musiałbyś napisać politykę definiującą a svirt_apache_t rodzaj.

Oprawa urządzenie waga

Jeśli chcesz ustawić / Dev / sda waga urządzenia do 200, możesz określić wagę urządzenia według
--blkio-urządzenie-wagi flaga. Użyj następującego polecenia:

# docker run -it --blkio-weight-device "/dev/sda:200" ubuntu

Sprecyzować izolacja technologia dla pojemnik (--izolacja)

Ta opcja jest przydatna w sytuacjach, gdy uruchamiasz kontenery Docker w systemie Microsoft
Okna. The --izolacja opcja ustawia technologię izolacji kontenera. W Linuksie
jedynym obsługiwanym jest domyślnym opcja korzystająca z przestrzeni nazw Linuksa. Te dwa polecenia
są równoważne w systemie Linux:

$ docker run -d busybox góra
$ docker run -d --isolation domyślny górny element busybox

W systemie Microsoft Windows może przyjmować dowolną z następujących wartości:

· domyślnym: Użyj wartości określonej przez demona Docker --exec-opcja , Jeśli Demon robi
nie określa technologii izolacji, z której korzysta system Microsoft Windows wygląda tak jako domyślne
wartość.

· wygląda tak: Tylko izolacja przestrzeni nazw.

· hiperw: Izolacja hiperwizora Hyper-V oparta na partycjach.

W praktyce podczas pracy w systemie Microsoft Windows bez pliku Demon zestaw opcji, te dwie
polecenia są równoważne:

$ docker run -d --isolation domyślny górny element busybox
$ docker run -d --isolation proces busybox góra

Jeśli ustawiłeś --exec-opcja izolacja=hiperw opcja w oknie dokowanym Demon, którekolwiek z nich
polecenia również powodują hiperw izolacja:

$ docker run -d --isolation domyślny górny element busybox
$ docker run -d --isolation hyperv busybox góra

HISTORIA

Kwiecień 2014, Oryginalnie skompilowany przez Williama Henry'ego (whenry at redhat dot com) na podstawie
materiał źródłowy docker.com i prace wewnętrzne. Czerwiec 2014, aktualizacja Sven Dowideit
⟨[email chroniony]⟩ Lipiec 2014, aktualizacja Sven Dowideit ⟨[email chroniony]⟩
Listopad 2015, aktualizacja: Sally O'Malley ⟨[email chroniony]⟩

Korzystaj z usługi Docker-run online, korzystając z usług onworks.net