一、Docker镜像仓库的核心概念与查询方法

1.1 镜像仓库的分类与作用

Docker镜像仓库是存储和分发Docker镜像的核心基础设施，主要分为三类：

公有仓库：如Docker Hub、阿里云容器镜像服务等，提供全球访问的镜像存储服务
私有仓库：企业自建的Registry服务，用于内部镜像管理
本地仓库：开发者本地的镜像缓存库

以Docker Hub为例，其镜像存储结构遵循[namespace]/[repository]:[tag]的命名规范，例如nginx:latest表示官方Nginx镜像的最新版本。

1.2 本地镜像查询与管理

通过docker images命令可查看本地所有镜像：

$ docker images
REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
nginx               latest              62d4e77f4b4d        2 weeks ago         142MB
ubuntu              20.04               54c9d81cbb4f        3 weeks ago         72.9MB

关键字段说明：

REPOSITORY：镜像所属仓库
TAG：镜像版本标识
IMAGE ID：镜像唯一标识符
SIZE：镜像占用空间

深度操作建议：

使用docker images -f进行条件过滤：

$ docker images -f "dangling=true"  # 查看悬空镜像
$ docker images -f "before=nginx:latest"  # 查看特定镜像之前的镜像

通过docker rmi删除无用镜像：

$ docker rmi 54c9d81cbb4f  # 按IMAGE ID删除
$ docker rmi ubuntu:20.04  # 按仓库:标签删除

二、Docker仓库镜像的远程操作

2.1 镜像拉取与推送

从远程仓库拉取镜像的基本语法：

$ docker pull [选项] <仓库名>[:<标签>]
# 示例：
$ docker pull nginx:alpine  # 拉取轻量级Nginx镜像
$ docker pull --platform linux/amd64 nginx:latest  # 指定平台架构

将本地镜像推送到远程仓库的完整流程：

标记本地镜像：

$ docker tag nginx:latest myrepo/nginx:v1

登录目标仓库：
```
$ docker login registry.example.com
```
执行推送操作：
```
$ docker push myrepo/nginx:v1
```

2.2 私有仓库搭建与管理

使用Registry镜像快速搭建私有仓库：

$ docker run -d -p 5000:5000 --name registry registry:2

配置HTTPS访问的完整方案：

生成自签名证书
创建配置目录并放置证书

启动带TLS的Registry：

$ docker run -d \
-p 5000:5000 \
--name registry \
-v /path/to/certs:/certs \
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
-e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
registry:2

三、Docker容器的全生命周期管理

3.1 容器创建与启动

基于镜像创建容器的核心参数：

$ docker run [选项] <镜像名> [命令] [参数...]
# 常用选项：
-d: 后台运行
-p: 端口映射
-v: 卷挂载
--name: 指定容器名称
--restart: 重启策略

典型生产环境配置示例：

$ docker run -d \
  --name webserver \
  -p 80:80 \
  -v /data/nginx:/etc/nginx/conf.d \
  --restart always \
  nginx:latest

3.2 容器状态监控与维护

关键监控命令：

docker ps查看运行中容器：

$ docker ps -a  # 显示所有容器（包括已停止的）
$ docker ps --filter "status=exited"  # 过滤特定状态容器

docker stats实时监控资源使用：

$ docker stats webserver
CONTAINER ID   NAME        CPU %     MEM USAGE / LIMIT     MEM %     NET I/O     BLOCK I/O     PIDS
c1a2b3d4e5f6   webserver   0.25%     12.3MiB / 1.952GiB    0.62%     1.2kB/s     0B/s          2

3.3 容器日志与调试

日志获取方法：

实时查看日志：
```
$ docker logs -f webserver
```
查看最近N行日志：
```
$ docker logs --tail 100 webserver
```
带时间戳的日志：
```
$ docker logs -t webserver
```

高级调试技巧：

进入运行中容器：
```
$ docker exec -it webserver /bin/bash
```

查看容器资源限制：

$ docker inspect webserver | grep -i "memory"

四、最佳实践与安全建议

4.1 镜像管理最佳实践

镜像命名规范：

使用语义化版本控制（如v1.0.0）
包含构建日期（如20230815）
区分开发/测试/生产环境

镜像优化策略：

使用多阶段构建减少层数
清理构建缓存
采用轻量级基础镜像（如Alpine）

4.2 容器安全加固

运行时不建议使用root用户：
```
USER nobody
```

限制容器资源：

$ docker run --memory="512m" --cpus="1.5" nginx

定期更新基础镜像：

$ docker pull nginx:latest  # 保持最新安全补丁

4.3 自动化运维方案

使用Docker Compose管理多容器应用：

version: '3'
services:
web:
 image: nginx:latest
 ports:
   - "80:80"
db:
 image: mysql:5.7
 environment:
   MYSQL_ROOT_PASSWORD: example

结合CI/CD流水线实现镜像自动构建与部署：

# 示例GitLab CI配置
build_image:
stage: build
script:
 - docker build -t myrepo/app:$CI_COMMIT_SHORT_SHA .
 - docker push myrepo/app:$CI_COMMIT_SHORT_SHA

五、常见问题解决方案

5.1 镜像拉取失败处理

网络问题排查：

$ curl -v https://registry-1.docker.io/v2/

代理配置方法：

# 在/etc/docker/daemon.json中添加：
{
"registry-mirrors": ["https://<mirror-url>"]
}

5.2 容器无法启动诊断

检查退出代码：

$ docker inspect webserver --format='{{.State.ExitCode}}'

查看容器事件：

$ docker events --filter "container=webserver"

5.3 存储空间清理

清理悬空镜像：
```
$ docker image prune
```
清理所有未使用的资源：
```
$ docker system prune -a
```

通过系统掌握上述Docker镜像仓库管理与容器操作技术，开发者能够构建高效、安全的容器化应用环境。建议结合实际项目需求，逐步实施镜像版本控制、自动化部署和安全加固等高级实践，持续提升Docker应用的管理水平。

Docker镜像与容器管理全解析：从仓库查询到容器操作