Docker核心部署與跨平台安全配置實務

– 11 分鐘閱讀

Docker 作為現代應用程式開發與部署的基石，其標準化操作已廣為人知。然而，要將其潛力發揮至極致並確保生產環境的穩定與安全，開發者必須深入其核心架構。本文旨在超越基礎指令，從更根本的層面探討 Docker 部署策略。我們將從原始碼建構的過程切入，揭示其內部運作機制與客製化價值。接著，文章轉向系統管理層面的安全議題，闡述權限配置與網路防火牆設定的必要性，這是在真實世界部署中不可或缺的一環。最後，透過解析在非 Linux 系統上的虛擬化實現，完整勾勒出 Docker 跨平台運行的技術藍圖，為使用者建立全面且扎實的知識體系。

Docker進階部署與安全配置：從原始碼建構到網路防火牆

從原始碼建構Docker：掌握核心與最新功能

對於追求最新功能、效能優化或希望深入理解Docker內部運作機制的開發者而言，從原始碼建構Docker是一個極具價值的選擇。這不僅能確保您始終運行最新版本，還能提供客製化和除錯的機會。

建構Docker所需的關鍵工具：

  • Git: 作為一個免費且開源的分佈式版本控制系統，Git在此用於從GitHub上的Docker公共原始碼儲存庫複製專案。它能高效處理從小型到大型的專案，確保程式碼的完整性和版本追溯。
  • Make: 這個軟體工程工具用於管理和維護電腦程式。當程式由多個組件檔案組成時，Make的幫助尤為顯著。透過Makefile檔案，我們可以以可重複且一致的方式啟動Docker容器或編譯Docker本身。

執行「Docker in Docker」建構流程：

要實現「Docker in Docker」的建構，首先需要獲取Docker的原始碼，然後執行一系列make指令，最終生成一個新的Docker二進位檔案，用以替換現有的安裝路徑中的二進位檔案。

  1. 複製原始碼:
git clone https://github.com/docker/docker.git
cd docker

此指令會將Docker的官方原始碼儲存庫複製到名為docker的目錄中。

  1. 準備開發環境與安裝依賴:
sudo make build

這個指令會準備建構環境，並安裝所有創建Docker二進位檔案所需的依賴項。首次運行可能需要一些時間，因為它會下載和配置許多組件。

  1. 編譯二進位檔案:
sudo make binary

此指令將編譯Docker二進位檔案，並將其放置在./bundles/<version>-dev/binary/目錄中。

  1. 運行測試（建議）: 在替換現有二進位檔案之前，強烈建議運行測試以確保新編譯的版本是穩定的：
sudo make test

如果所有測試都通過，則可以安全地進行替換。

  1. 替換現有Docker二進位檔案:
  • 停止Docker服務: sudo service docker stop
  • 備份現有二進位檔案: alias wd='which docker'; sudo cp $(wd) $(wd)_backup
  • 複製新編譯的二進位檔案: sudo cp $(pwd)/bundles/<version>-dev/binary/docker-<version>-dev $(wd)
  • 啟動Docker服務: sudo service docker start

透過這些步驟，您就能成功地將Docker升級到最新、從原始碼編譯的版本。對於OS X和Windows用戶，如果他們透過Boot2Docker等虛擬機環境運行Docker，也可以透過SSH進入該虛擬機，執行相同的建構和替換步驟。

Docker的權限管理與安全配置

為了提升Docker的使用便利性和安全性，正確配置使用者權限和防火牆規則至關重要。

使用者權限配置：避免頻繁使用sudo

預設情況下，運行Docker指令需要sudo權限，因為Docker守護進程（daemon）以root權限運行。為了避免每次執行docker指令都輸入sudo，可以將當前使用者添加到docker群組中。

  1. 創建docker群組: sudo groupadd docker
  2. 將當前使用者添加到docker群組: sudo gpasswd -a $(whoami) docker
  3. 重啟Docker服務: sudo service docker restart
  4. 重新登入: 為了使群組變更生效，您可能需要登出並重新登入系統。

完成這些步驟後，您就可以無需sudo前綴來執行所有Docker客戶端指令，而Docker守護進程仍將以root權限運行，確保其對系統資源的必要存取。

UFW防火牆配置：確保容器網路通訊

Docker利用橋接網路來管理容器間的通訊。在Ubuntu等系統中，Uncomplicated Firewall (UFW) 是預設的防火牆工具，它預設會阻止所有轉發流量。為了讓Docker容器能夠正常通訊，需要修改UFW的預設轉發策略。

  1. 編輯UFW配置檔案:
sudo vim /etc/default/ufw

將DEFAULT_FORWARD_POLICY="DROP"修改為DEFAULT_FORWARD_POLICY="ACCEPT"。

  1. 重新載入防火牆:
sudo ufw reload

此外，如果您希望其他主機也能夠存取您的容器，則需要允許Docker端口（預設為2375，但生產環境通常不直接暴露此端口，而是透過反向代理或API閘道）的傳入連線：

sudo ufw allow 2375/tcp

玄貓提醒，對於使用Boot2Docker等虛擬機方案的用戶，通常不需要手動配置使用者權限和UFW設定，因為這些虛擬機環境已經預先配置好了。

在macOS和Windows上安裝Docker：虛擬化是基石

由於Docker利用了Linux特定的核心功能，因此在macOS和Windows作業系統上運行Docker服務，必須依賴於虛擬機 (VM)。這意味著，這些作業系統上的Docker環境實際上是在一個輕量級的Linux虛擬機中運行的。

  • VirtualBox: 作為一個免費的開源虛擬化軟體，VirtualBox常用於運行輕量級的Linux發行版。
  • Boot2Docker: 是一個專為Docker設計的輕量級Linux虛擬機，它可以在RAM中完全運行，佔用空間極小（約27 MB）。它提供了一個最小化的Linux環境，其中預裝了Docker引擎。

當前，Docker Desktop for Mac和Docker Desktop for Windows已經整合了這些底層虛擬化技術，為用戶提供了更一體化、更友善的安裝和使用體驗，隱藏了虛擬機的複雜性。

結語

Docker的部署和配置是一個多層次的過程，涉及從

Docker在macOS與Windows上的部署：虛擬化層的無縫整合

macOS上的Docker安裝流程：Boot2Docker的運用

在macOS環境下運行Docker，由於Docker引擎依賴Linux核心特性，因此必須透過虛擬機（VM）來實現。早期，Boot2Docker是一個常見的解決方案，它提供了一個輕量級的Linux虛擬機，預裝了Docker。

以下是使用Boot2Docker在macOS上安裝Docker的步驟：

  1. 下載安裝程式: 從官方發布頁面下載最新的Boot2Docker安裝程式（例如Boot2Docker-1.x.0.pkg檔案）。
  2. 執行安裝程式: 雙擊下載的.pkg檔案，按照指示完成安裝過程。這通常會安裝VirtualBox、Boot2Docker虛擬機映像檔和Docker客戶端。
  3. 啟動Boot2Docker虛擬機: 打開Finder，導航到「應用程式」資料夾，找到並雙擊boot2docker應用程式。這將開啟一個終端視窗，並執行一系列指令來啟動一個名為boot2docker-vm的Linux虛擬機。這個虛擬機在VirtualBox中運行，內部預裝了Docker服務（以守護進程模式運行）。macOS上的Docker客戶端會透過Docker遠端API與虛擬機內的Docker守護進程進行通訊。
  4. 設定環境變數: 啟動後，終端會輸出一些環境變數設定，例如DOCKER_HOST、DOCKER_CERT_PATH和DOCKER_TLS_VERIFY。這些變數告訴Docker客戶端如何連接到虛擬機內的Docker守護進程。您需要將這些行添加到~/.bash_profile檔案的末尾，例如：
export DOCKER_HOST=tcp://192.168.59.103:2376
export DOCKER_CERT_PATH=/Users/xxx/.boot2docker/certs/boot2docker-vm
export DOCKER_TLS_VERIFY=1

設定完成後，關閉當前終端視窗，開啟一個新的終端視窗，並輸入echo $DOCKER_HOST來驗證環境變數是否已正確設定。 5. 驗證Docker安裝: 在新的終端視窗中輸入docker version，如果能顯示Docker的版本資訊，則表示安裝成功。

Windows上的Docker安裝流程：整合虛擬化工具

與macOS類似，在Windows上運行Docker也需要一個Linux虛擬機，以提供Docker所需的Linux核心功能。雖然早期Windows沒有原生的Docker客戶端直接與虛擬機內的Docker守護進程通訊，但現在Docker Desktop for Windows已經提供了更完善的解決方案。

以下是早期使用Boot2Docker在Windows上安裝Docker的步驟：

  1. 下載安裝程式: 從官方發布頁面下載最新的docker-install.exe檔案。
  2. 執行安裝程式: 運行下載的.exe安裝程式，按照指示完成安裝。這通常會安裝VirtualBox、msysGit和Boot2Docker。
  3. 啟動Boot2Docker: 導航到「程式檔案」資料夾，點擊新安裝的boot2docker應用程式以啟動Docker。如果提示輸入密碼，通常只需按下Enter鍵。
  4. 驗證Docker安裝: 輸入docker version來驗證Docker指令是否可用，並顯示當前安裝的Docker版本。

macOS與Windows上Docker的升級策略

為了保持Boot2Docker環境的更新，可以執行以下指令：

boot2docker stop
boot2docker download
boot2docker start

這些指令會停止當前運行的Boot2Docker虛擬機，下載最新的Boot2Docker映像檔，然後重新啟動虛擬機。這確保了虛擬機內的Docker引擎保持最新。

下載第一個Docker映像檔：進入容器世界的第一步

成功安裝Docker引擎後，下一步是從Docker註冊中心 (Docker Registry) 下載映像檔。Docker註冊中心是一個應用程式儲存庫，其中包含了各種映像檔，從基本的Linux映像檔到複雜的應用程式。

docker pull子指令用於從註冊中心下載映像檔。玄貓將以一個極其輕量級的Linux映像檔——BusyBox為例，展示如何下載第一個映像檔：

sudo docker pull busybox

執行此指令後，Docker會從註冊中心下載busybox映像檔。busybox是一個非常小的Linux發行版，它將許多常用的Linux工具（如ls、cp、mv等）整合到一個單一的可執行檔案中，非常適合用於測試和輕量級容器。

Docker映像檔下載流程圖

此圖示描述了從Docker註冊中心下載映像檔的流程。

@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_

skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100

actor "使用者 (User)" as User
participant "Docker 客戶端 (Docker Client)" as Client
participant "Docker 守護進程 (Docker Daemon)" as Daemon
database "Docker 註冊中心 (Docker Registry)" as Registry

User -> Client : 執行 `docker pull busybox`
Client -> Daemon : 發送拉取映像檔請求 (pull busybox)
Daemon -> Registry : 檢查 `busybox` 映像檔是否存在
Registry --> Daemon : 返回映像檔元數據 (metadata)
Daemon -> Registry : 下載 `busybox` 映像檔層 (image layers)
Registry --> Daemon : 傳輸映像檔層數據
Daemon -> Daemon : 儲存映像檔層到本地快取
Daemon --> Client : 映像檔下載完成通知
Client --> User : 顯示下載成功訊息

@enduml

看圖說話：

此圖示描繪了從Docker註冊中心下載映像檔的完整流程。首先，使用者透過Docker客戶端發出docker pull busybox指令。客戶端將此請求傳達給本地運行的Docker守護進程。守護進程隨後與遠端的Docker註冊中心進行通訊，查詢busybox映像檔的元數據。註冊中心返回元數據後，守護進程開始從註冊中心下載構成busybox映像檔的各個層（image layers）。這些映像檔層被傳輸到守護進程，並儲存到本地的Docker快取中。一旦所有層都下載完成並組合成完整的映像檔，守護進程會通知客戶端，客戶端再向使用者顯示映像檔下載成功的訊息。這個過程確保了映像檔的完整性和版本控制，並利用分層儲存的特性，提高下載效率。

結語

無論是在macOS、Windows還是原生Linux環境下，Docker的安裝與映像檔的下載都是踏入容器化世界的重要一步。玄貓認為，理解這些操作背後的原理，特別是虛擬化層在非Linux系統中的作用，以及Docker映像檔的分層下載機制，對於有效利用Docker進行應用程式開發和部署至關重要。隨著對Docker的深入了解，您將能夠更靈活、更安全地管理您的容器化應用程式。

深入剖析Docker從基礎安裝到進階配置的完整路徑後，我們看到一條從工具使用者到技術掌控者的清晰演進軌跡。這不僅是技能的堆疊，更是思維框架的躍升，體現了從應用層面向底層邏輯探索的深度修養。

這段旅程的核心價值，在於辨識不同層次投入的策略回報。從原始碼建構雖能獲取極致的客製化與效能，卻也伴隨高昂的維護成本，對多數追求敏捷交付的團隊而言，並非最具效益的投資。相對地，深刻理解macOS與Windows背後的虛擬化原理，並精通權限與網路安全配置，才是將Docker從開發便利工具轉化為可信賴生產力平台的關鍵。這種從「知其然」到「知其所以然」的轉變，是建立系統韌性與高效除錯能力的基石。

展望未來，隨著DevSecOps理念的深化與基礎設施即程式碼（IaC）的普及，對Docker這類核心工具的深度理解，將不再是少數專家的專利，而是高績效工程團隊的標準能力，是實現技術創新的前提。

玄貓認為，對於追求技術卓越的團隊與個人而言，選擇性地深入這些進階主題，是將工具從「可用」提升至「可控」與「可信賴」的關鍵修煉，也是在複雜系統中建立確定性與競爭優勢的必經之路。

玄貓 BlackCat

玄貓 BlackCat

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。