# 使用官方Node.js运行时作为基础镜像
FROM node:14

# 设置工作目录
WORKDIR /app

# 复制package.json并安装依赖
COPY package*.json ./
RUN npm install

# 复制应用代码
COPY . .

# 暴露端口
EXPOSE 3000

# 定义启动命令
CMD ["npm", "start"]

构建镜像：

docker build -t my-app:latest .

Docker镜像优化

多阶段构建：

# 构建阶段
FROM node:14 AS builder
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
RUN npm run build

# 运行阶段
FROM node:14-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY package*.json ./
RUN npm install --production
CMD ["npm", "start"]

最佳实践：

使用更小的基础镜像（如Alpine Linux）
合理组织指令顺序，利用层缓存
删除不必要的文件和依赖
使用.dockerignore文件排除不需要的文件

Docker容器管理

运行容器：

# 基本运行
docker run -p 3000:3000 my-app:latest

# 后台运行
docker run -d -p 3000:3000 --name my-app-container my-app:latest

# 环境变量和卷挂载
docker run -d -p 3000:3000 -e NODE_ENV=production -v /host/data:/app/data my-app:latest

容器管理命令：

# 查看运行中的容器
docker ps

# 查看所有容器
docker ps -a

# 停止容器
docker stop my-app-container

# 删除容器
docker rm my-app-container

# 查看容器日志
docker logs my-app-container

容器编排工具：Kubernetes的基本概念与使用

随着容器化应用的增多，手动管理容器变得越来越困难，容器编排工具应运而生。Kubernetes是目前最流行的容器编排平台。

Kubernetes核心概念

Pod：Kubernetes中最小的部署单元，可以包含一个或多个容器

apiVersion: v1
kind: Pod
metadata:
  name: my-app-pod
spec:
  containers:
  - name: my-app
    image: my-app:latest
    ports:
    - containerPort: 3000

Deployment：管理Pod的部署和更新

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app-deployment
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: my-app
        image: my-app:latest
        ports:
        - containerPort: 3000

Service：为Pod提供稳定的网络访问入口

apiVersion: v1
kind: Service
metadata:
  name: my-app-service
spec:
  selector:
    app: my-app
  ports:
  - port: 80
    targetPort: 3000
  type: LoadBalancer

Kubernetes基本操作

部署应用：

# 应用配置
kubectl apply -f deployment.yaml

# 查看部署状态
kubectl get deployments

# 查看Pod状态
kubectl get pods

服务管理：

# 查看服务
kubectl get services

# 端口转发调试
kubectl port-forward service/my-app-service 8080:80

应用更新：

# 更新镜像
kubectl set image deployment/my-app-deployment my-app=my-app:v2

# 回滚更新
kubectl rollout undo deployment/my-app-deployment

使用Docker Compose部署多容器应用

Docker Compose是Docker官方提供的工具，用于定义和运行多容器Docker应用程序。

Docker Compose配置文件

docker-compose.yml示例：

version: '3.8'

services:
  web:
    build: .
    ports:
      - "3000:3000"
    depends_on:
      - db
      - redis
    environment:
      - DATABASE_URL=postgresql://user:pass@db:5432/mydb
      - REDIS_URL=redis://redis:6379

  db:
    image: postgres:13
    environment:
      - POSTGRES_DB=mydb
      - POSTGRES_USER=user
      - POSTGRES_PASSWORD=pass
    volumes:
      - db_data:/var/lib/postgresql/data

  redis:
    image: redis:6-alpine

volumes:
  db_data:

Docker Compose常用命令

# 启动所有服务
docker-compose up

# 后台启动
docker-compose up -d

# 停止服务
docker-compose down

# 查看服务状态
docker-compose ps

# 查看日志
docker-compose logs

# 扩展服务
docker-compose up --scale web=3

容器的网络与存储管理

容器的网络和存储管理是容器化应用成功部署的关键因素。

容器网络

网络模式：

Bridge：默认网络模式，容器通过虚拟网桥通信
Host：容器直接使用主机网络
None：容器没有网络接口
Container：容器共享另一个容器的网络命名空间

Docker网络管理：

# 创建自定义网络
docker network create my-network

# 运行容器并连接到网络
docker run -d --network my-network --name web nginx

# 查看网络信息
docker network ls
docker network inspect my-network

容器存储

存储类型：

Volumes：Docker管理的存储，持久化数据
Bind Mounts：挂载主机文件系统到容器
tmpfs：临时存储在主机内存中

Volume管理：

# 创建卷
docker volume create my-volume

# 使用卷运行容器
docker run -d -v my-volume:/app/data nginx

# 查看卷信息
docker volume ls
docker volume inspect my-volume

Docker Compose存储配置：

version: '3.8'
services:
  db:
    image: postgres:13
    volumes:
      # 命名卷
      - db_data:/var/lib/postgresql/data
      # 绑定挂载
      - ./init-scripts:/docker-entrypoint-initdb.d
      # 匿名卷
      - /tmp/data

volumes:
  db_data:

容器安全最佳实践

容器安全是容器化部署中不可忽视的重要方面。

镜像安全

基础镜像选择：

使用官方镜像或可信源镜像
选择最小化基础镜像
定期更新基础镜像

漏洞扫描：

# 使用Clair扫描镜像
clair-scanner my-app:latest

# Docker Security Scan
docker scan my-app:latest

运行时安全

安全配置：

以非root用户运行容器
限制容器资源使用
启用只读文件系统
禁用不必要的功能

示例安全配置：

FROM node:14-alpine

# 创建非root用户
RUN addgroup -g 1001 -S nodejs
RUN adduser -S nextjs -u 1001

# 设置工作目录和权限
WORKDIR /app
COPY --chown=nextjs:nodejs . .

# 切换到非root用户
USER nextjs

# 安全运行配置
CMD ["npm", "start"]

# 安全运行容器
docker run -d \
  --user 1001:1001 \
  --read-only \
  --tmpfs /tmp \
  --cap-drop ALL \
  my-app:latest

最佳实践

为了成功实施容器化和容器编排，建议遵循以下最佳实践：

1. 镜像管理

使用多阶段构建减小镜像大小
为镜像打标签，便于版本管理
定期清理未使用的镜像和容器

2. 资源管理

合理设置容器资源限制
监控容器资源使用情况
根据应用需求调整资源配置

3. 网络安全

使用网络策略限制容器间通信
启用TLS加密敏感通信
定期审查网络配置

4. 监控和日志

集中化日志管理
设置健康检查探针
实施监控告警机制

总结

容器化技术为现代应用开发和部署提供了强大的支持，Docker作为主流容器平台，简化了应用的打包和运行。Kubernetes作为容器编排系统，提供了企业级的容器管理能力。通过合理使用这些技术，团队可以实现应用环境的一致性、部署的自动化和管理的简化。

在下一章中，我们将探讨配置管理与基础设施即代码（IaC）的实践，了解如何通过自动化工具管理基础设施和配置。