arm64v8/docker

注意：这是https://hub.docker.com/_/docker%E7%9A%84%60arm64v8%60%E6%9E%B6%E6%9E%84%E6%9E%84%E5%BB%BA%E7%89%88%E6%9C%AC%E7%9A%84%22%E6%AF%8F%E6%9E%B6%E6%9E%84%22%E4%BB%93%E5%BA%93%E2%80%94%E2%80%94%E6%9B%B4%E5%A4%9A%E4%BF%A1%E6%81%AF%EF%BC%8C%E8%AF%B7%E5%8F%82%E8%A7%81%E5%AE%98%E6%96%B9%E9%95%9C%E5%83%8F%E6%96%87%E6%A1%A3%E4%B8%AD%E7%9A%84https://github.com/docker-library/official-images#architectures-other-than-amd64%E5%92%8C%E5%AE%98%E6%96%B9%E9%95%9C%E5%83%8FFAQ%E4%B8%AD%E7%9A%84https://github.com/docker-library/faq#an-images-source-changed-in-git-now-what%E3%80%82

快速参考

• 维护者：
  https://github.com/docker-library/docker

• 获取帮助：
  https://dockr.ly/comm-slack%E3%80%81Server Fault、https://unix.stackexchange.com/help/on-topic%E6%88%96https://stackoverflow.com/help/on-topic

支持的标签及对应的Dockerfile链接

（参见FAQ中的https://github.com/docker-library/faq#whats-the-difference-between-shared-and-simple-tags%EF%BC%89

简单标签

https://github.com/docker-library/docker/blob/3cb6ed40f1274ee9041835533bb625cf55f63e91/29-rc/cli/Dockerfile

• https://github.com/docker-library/docker/blob/3cb6ed40f1274ee9041835533bb625cf55f63e91/29-rc/dind/Dockerfile

• https://github.com/docker-library/docker/blob/3cb6ed40f1274ee9041835533bb625cf55f63e91/29-rc/dind-rootless/Dockerfile

• https://github.com/docker-library/docker/blob/b510c2bbe64b878dee6480992ab5d8cd9c02027d/28/cli/Dockerfile

• https://github.com/docker-library/docker/blob/b510c2bbe64b878dee6480992ab5d8cd9c02027d/28/dind/Dockerfile

• https://github.com/docker-library/docker/blob/b510c2bbe64b878dee6480992ab5d8cd9c02027d/28/dind-rootless/Dockerfile

共享标签

快速参考（续）

• 问题反馈地址：
  https://github.com/docker-library/docker/issues?q=

• 支持的架构：(https://github.com/docker-library/official-images#architectures-other-than-amd64)
  https://hub.docker.com/r/amd64/docker/%E3%80%81https://hub.docker.com/r/arm32v6/docker/%E3%80%81https://hub.docker.com/r/arm32v7/docker/%E3%80%81https://hub.docker.com/r/arm64v8/docker/%E3%80%81https://hub.docker.com/r/winamd64/docker/

• 镜像 artifact 详情：
  https://github.com/docker-library/repo-info/blob/master/repos/docker%EF%BC%88https://github.com/docker-library/repo-info/commits/master/repos/docker%EF%BC%89
  （镜像元数据、传输大小等）

• 镜像更新：
  https://github.com/docker-library/official-images/issues?q=label%3Alibrary%2Fdocker
  https://github.com/docker-library/official-images/blob/master/library/docker%EF%BC%88https://github.com/docker-library/official-images/commits/master/library/docker%EF%BC%89

• 本描述的来源：
  https://github.com/docker-library/docs/tree/master/docker%EF%BC%88https://github.com/docker-library/docs/commits/master/docker%EF%BC%89

什么是Docker-in-Docker？

尽管通常不推荐在Docker内部运行Docker，但存在一些合理的使用场景，例如Docker自身的开发。

Docker是一个开源项目，通过在Linux、macOS和Windows上提供操作系统级虚拟化的额外抽象层和自动化，自动化应用程序在软件容器中的部署。

***.org/wiki/Docker_(software)

!https://raw.githubusercontent.com/docker-library/docs/c350af05d3fac7b5c3f6327ac82fe4d990d8729c/docker/logo.png

在运行Docker-in-Docker之前，请务必阅读Jérôme Petazzoni关于该主题的优秀博客文章，其中概述了这样做的一些优缺点（以及可能遇到的一些棘手问题）。

如果您仍然确定需要Docker-in-Docker，而不仅仅是访问容器主机的Docker服务器，请继续阅读。

如何使用此镜像

https://asciinema.org/a/378669.svg](https://asciinema.org/a/378669)

TLS

从18.09+版本开始，此镜像的dind变体将在DOCKER_TLS_CERTDIR环境变量指定的目录中自动生成TLS证书。

警告：在18.09版本中，默认禁用此行为（为了兼容性）。如果使用--network=host、共享网络命名空间（如Kubernetes Pod中），或容器可通过网络访问（包括通过网关接口在dind实例内启动的容器），这可能存在安全问题（例如可能导致对主机系统的访问）。建议通过将变量设置为适当的值（如-e DOCKER_TLS_CERTDIR=/certs）启用TLS。在19.03+版本中，默认启用此行为。

启用时，Docker守护进程将以--host=tcp://0.0.0.0:2376 --tlsverify ...启动；禁用时，将以--host=tcp://0.0.0.0:2375启动。

在DOCKER_TLS_CERTDIR指定的目录中，入口点脚本将创建/使用三个子目录：

• ca：证书颁发机构文件（cert.pem、key.pem）
• server：dockerd（守护进程）证书文件（cert.pem、ca.pem、key.pem）
• client：docker（客户端）证书文件（cert.pem、ca.pem、key.pem；适用于DOCKER_CERT_PATH）

为了从"客户端"容器使用此功能，至少需要共享$DOCKER_TLS_CERTDIR目录的client子目录（如以下示例所示）。

要禁用此镜像行为，只需覆盖容器命令或入口点以直接运行dockerd（... arm64v8/docker:dind dockerd ...或... --entrypoint dockerd arm64v8/docker:dind ...）。

启动守护进程实例

console
$ docker run --privileged --name some-docker -d \
	--network some-network --network-alias docker \
	-e DOCKER_TLS_CERTDIR=/certs \
	-v some-docker-certs-ca:/certs/ca \
	-v some-docker-certs-client:/certs/client \
	arm64v8/docker:dind

注意：--privileged（特权模式）是Docker-in-Docker正常运行所必需的，但应谨慎使用，因为它提供对主机环境的完全访问权限，如https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linux-capabilities%E6%89%80%E8%BF%B0%E3%80%82

从第二个容器连接到守护进程

console
$ docker run --rm --network some-network \
	-e DOCKER_TLS_CERTDIR=/certs \
	-v some-docker-certs-client:/certs/client:ro \
	arm64v8/docker:latest version
Client: Docker Engine - Community
 Version:           18.09.8
 API version:       1.39
 Go version:        go1.10.8
 Git commit:        0dd43dd87f
 Built:             Wed Jul 17 17:38:58 2019
 OS/Arch:           linux/amd64
 Experimental:      false

Server: Docker Engine - Community
 Engine:
  Version:          18.09.8
  API version:      1.39 (minimum version 1.12)
  Go version:       go1.10.8
  Git commit:       0dd43dd87f
  Built:            Wed Jul 17 17:48:49 2019
  OS/Arch:          linux/amd64
  Experimental:     false

console
$ docker run -it --rm --network some-network \
	-e DOCKER_TLS_CERTDIR=/certs \
	-v some-docker-certs-client:/certs/client:ro \
	arm64v8/docker:latest sh
/ # docker version
Client: Docker Engine - Community
 Version:           18.09.8
 API version:       1.39
 Go version:        go1.10.8
 Git commit:        0dd43dd87f
 Built:             Wed Jul 17 17:38:58 2019
 OS/Arch:           linux/amd64
 Experimental:      false

Server: Docker Engine - Community
 Engine:
  Version:          18.09.8
  API version:      1.39 (minimum version 1.12)
  Go version:       go1.10.8
  Git commit:       0dd43dd87f
  Built:            Wed Jul 17 17:48:49 2019
  OS/Arch:          linux/amd64
  Experimental:     false

console
$ docker run --rm --network some-network \
	-e DOCKER_TLS_CERTDIR=/certs \
	-v some-docker-certs-client:/certs/client:ro \
	arm64v8/docker:latest info
Containers: 0
 Running: 0
 Paused: 0
 Stopped: 0
Images: 0
Server Version: 18.09.8
Storage Driver: overlay2
 Backing Filesystem: extfs
 Supports d_type: true
 Native Overlay Diff: true
Logging Driver: json-file
Cgroup Driver: cgroupfs
Plugins:
 Volume: local
 Network: bridge host macvlan null overlay
 Log: awslogs fluentd gcplogs gelf journald json-file local logentries splunk syslog
Swarm: inactive
Runtimes: runc
Default Runtime: runc
Init Binary: docker-init
containerd version: 894b81a4b802e4eb2a91d1ce216b8817763c29fb
runc version: 425e105d5a03fabd737a126ad93d62a9eeede87f
init version: fec3683
Security Options:
 apparmor
 seccomp
  Profile: default
Kernel Version: 4.19.0-5-amd64
Operating System: Alpine Linux v3.10 (containerized)
OSType: linux
Architecture: x86_64
CPUs: 12
Total Memory: 62.79GiB
Name: e174d61a4a12
ID: HJXG:3OT7:MGDL:Y2BL:WCYP:CKSP:CGAM:4BLH:NEI4:IURF:4COF:AH6N
Docker Root Dir: /var/lib/docker
Debug Mode (client): false
Debug Mode (server): false
Registry: https://index.docker.io/v1/
Labels:
Experimental: false
Insecure Registries:
 127.0.0.0/8
Live Restore Enabled: false
Product License: Community Engine

WARNING: bridge-nf-call-iptables is disabled
WARNING: bridge-nf-call-ip6tables is disabled

console
$ docker run --rm -v /var/run/docker.sock:/var/run/docker.sock arm64v8/docker:latest version
Client: Docker Engine - Community
 Version:           18.09.8
 API version:       1.39
 Go version:        go1.10.8
 Git commit:        0dd43dd87f
 Built:             Wed Jul 17 17:38:58 2019
 OS/Arch:           linux/amd64
 Experimental:      false

Server: Docker Engine - Community
 Engine:
  Version:          18.09.7
  API version:      1.39 (minimum version 1.12)
  Go version:       go1.10.8
  Git commit:       2d0083d
  Built:            Thu Jun 27 17:23:02 2019
  OS/Arch:          linux/amd64
  Experimental:     false

自定义守护进程标志

console
$ docker run --privileged --name some-docker -d \
	--network some-network --network-alias docker \
	-e DOCKER_TLS_CERTDIR=/certs \
	-v some-docker-certs-ca:/certs/ca \
	-v some-docker-certs-client:/certs/client \
	arm64v8/docker:dind --storage-driver overlay2

运行时设置考虑

受https://github.com/docker/docker-ce-packaging/blob/57ae892b13de399171fc33f878b70e72855747e6/systemd/docker.service#L30-L45%E5%90%AF%E5%8F%91%EF%BC%8C%E6%82%A8%E5%8F%AF%E8%83%BD%E9%9C%80%E8%A6%81%E8%80%83%E8%99%91%E4%BB%A5%E4%B8%8B%E8%BF%90%E8%A1%8C%E6%97%B6%E9%85%8D%E7%BD%AE%E9%80%89%E9%A1%B9%E7%9A%84%E4%B8%8D%E5%90%8C%E5%80%BC%EF%BC%8C%E5%B0%A4%E5%85%B6%E6%98%AF%E7%94%9F%E4%BA%A7%E7%8E%AF%E5%A2%83%E7%9A%84Docker%E5%AE%9E%E4%BE%8B%EF%BC%9A

console
$ docker run --privileged --name some-docker -d \
	... \
	--ulimit nofile=-1 \
	--ulimit nproc=-1 \
	--ulimit core=-1 \
	--pids-limit -1 \
	--oom-score-adj -500 \
	arm64v8/docker:dind

其中一些可能不受主机dockerd的设置支持，例如--ulimit nofile=-1可能会给出类似error setting rlimit type 7: operation not permitted的错误，有些可能从主机dockerd实例继承合理值，或者可能不适用于您的Docker-in-Docker使用场景（例如，您可能希望将--oom-score-adj设置为比主机Docker实例更高的值，以便Docker-in-Docker实例在主机Docker实例之前被终止）。

数据存储位置

重要提示：运行在Docker容器中的应用程序有多种数据存储方式。我们建议docker镜像的用户熟悉可用选项，包括：

• 让Docker通过使用其自己的内部卷管理[在主机系统上写入磁盘来管理数据存储](https://docs.docker.com/storage/volumes