探索Docker容器的文件系统

问题描述 投票：464回答：24

我注意到docker我需要了解容器内发生的事情或者那里存在的文件。一个例子是从docker索引下载图像 - 你不知道图像包含什么，因此无法启动应用程序。

什么是理想的是能够ssh到他们或等同。有没有一个工具可以做到这一点，或者我认为码头工作者的错误认为我应该能够做到这一点。

linux docker filesystems
24个回答
564
投票

方法1：快照

您可以通过以下方式评估容器文件系统：

# find ID of your running container:
docker ps

# create image (snapshot) from container filesystem
docker commit 12345678904b5 mysnapshot

# explore this filesystem using bash (for example)
docker run -t -i mysnapshot /bin/bash

这样，您可以在精确的时间内评估正在运行的容器的文件系统。容器仍在运行，不包括将来的更改。

您可以稍后使用（正在运行的容器的文件系统不受影响！）删除快照：

docker rmi mysnapshot

方法2：ssh

如果需要连续访问，可以将sshd安装到容器中并运行sshd守护程序：

 docker run -d -p 22 mysnapshot /usr/sbin/sshd -D

 # you need to find out which port to connect:
 docker ps

这样，您可以使用ssh运行您的应用程序（连接并执行您想要的）。

更新 - 方法3：nsenter

使用nsenter，请参阅http://blog.docker.com/2014/06/why-you-dont-need-to-run-sshd-in-docker/

简短版本是：使用nsenter，即使该容器不运行SSH或任何类型的专用守护进程，您也可以将shell放入现有容器中

更新 - 方法4：docker exec

Docker 1.3版（最新版本，您可能需要使用docker apt repo来安装最新版本，截至2014年11月）支持新命令exec，其行为类似于nsenter。此命令可以在已经运行的容器中运行新进程（容器必须已经运行PID 1进程）。您可以运行/bin/bash来探索容器状态：

docker exec -t -i mycontainer /bin/bash

见Docker command line documentation

10
投票

尝试使用

docker exec -it <container-name> /bin/bash

可能有可能没有实现bash。为此你可以使用

docker exec -it <container-name> sh
4
投票

对我来说，这个很好用（感谢最后的注释指出目录/ var / lib / docker /）：

chroot /var/lib/docker/containers/2465790aa2c4*/root/

这里，2465790aa2c4是正在运行的容器的短ID（由docker ps显示），后跟一个星号。

4
投票

对于驱动程序上的docker：

该脚本将找到容器根目录（在docker 1.7.1和1.10.3上测试）

if [ -z "$1" ] ; then
 echo 'docker-find-root $container_id_or_name '
 exit 1
fi
CID=$(docker inspect   --format {{.Id}} $1)
if [ -n "$CID" ] ; then
    if [ -f  /var/lib/docker/image/aufs/layerdb/mounts/$CID/mount-id ] ; then
        F1=$(cat /var/lib/docker/image/aufs/layerdb/mounts/$CID/mount-id)
       d1=/var/lib/docker/aufs/mnt/$F1
    fi
    if [ ! -d "$d1" ] ; then
        d1=/var/lib/docker/aufs/diff/$CID
    fi
    echo $d1
fi
4
投票

在我的情况下，除了sh之外，容器中没有支持shell。所以，这就像一个魅力

docker exec -it <container-name> sh
3
投票

在较新版本的Docker上，您可以运行docker exec [container_name]，它在容器内运行shell

因此，要获取容器中所有文件的列表，只需运行docker exec [container_name] ls

3
投票

我理解容器内部情况的首选方法是：

  1. 揭露-p 8000 docker run -it -p 8000:8000 image
  2. 在其中启动服务器 python -m SimpleHTTPServer
3
投票

对于已经运行的容器，您可以执行以下操作：

dockerId=$(docker inspect -f {{.Id}} [docker_id_or_name])

cd /var/lib/docker/btrfs/subvolumes/$dockerId

你需要root才能进入那个dir。如果你不是root用户，请在运行命令之前尝试'sudo su'。

编辑：在v1.3之后，看到Jiri的答案 - 它更好。

3
投票

这个答案将帮助那些想要探索docker卷文件系统的人（比如我自己），即使容器没有运行。

列出正在运行的docker容器：

docker ps

=>容器ID“4c721f1985bd”

查看本地物理机器上的docker卷装入点（https://docs.docker.com/engine/tutorials/dockervolumes/）：

docker inspect -f {{.Mounts}} 4c721f1985bd

=> [{/ tmp / container-garren / tmp true rprivate}]

这告诉我本地物理机器目录/ tmp / container-garren映射到/ tmp docker卷目标。

知道本地物理机器目录（/ tmp / container-garren）意味着我可以探索文件系统，无论docker容器是否正在运行。这对于帮助我弄清楚即使在容器未运行之后仍然存在一些残留数据至关重要。

3
投票

另一个技巧是使用atomic工具做类似的事情：

mkdir -p /path/to/mnt && atomic mount IMAGE /path/to/mnt

Docker镜像将挂载到/ path / to / mnt以供您检查。

1
投票

您可以使用以下命令在容器内运行bash： $ docker run -it ubuntu /bin/bash

175
投票

更新：探索！

此命令可让您探索正在运行的docker容器：

docker exec -it name-of-container bash

在docker-compose中的等价物将是：

docker-compose exec web bash

（在这种情况下，web是服务名称，默认情况下它具有tty。）

一旦你在里面做：

ls -lsa

或任何其他bash命令，如：

cd ..

此命令可让您浏览泊坞窗图像：

docker run --rm -it --entrypoint=/bin/bash name-of-image

一旦进去：

ls -lsa

或任何其他bash命令，如：

cd ..

-it代表互动...而tty。

此命令可让您检查正在运行的docker容器或映像：

docker inspect name-of-container-or-image

您可能想要这样做，并找出那里是否有任何bash或sh。在json返回中查找entrypoint或cmd。

见docker exec documentation

见docker-compose exec documentation

见docker inspect documentation

1
投票

在运行容器中运行命令的docker exec命令可以在多种情况下提供帮助。


Usage:  docker exec [OPTIONS] CONTAINER COMMAND [ARG...]

Run a command in a running container

Options:
  -d, --detach               Detached mode: run command in the background
      --detach-keys string   Override the key sequence for detaching a
                             container
  -e, --env list             Set environment variables
  -i, --interactive          Keep STDIN open even if not attached
      --privileged           Give extended privileges to the command
  -t, --tty                  Allocate a pseudo-TTY
  -u, --user string          Username or UID (format:
                             [:])
  -w, --workdir string       Working directory inside the container

例如 ：

1）在bash中访问正在运行的容器文件系统：

docker exec -it containerId bash

2）以root身份访问bash到正在运行的容器文件系统，以便能够拥有所需的权限：

docker exec -it -u root containerId bash

这对于能够在容器中以root身份进行某些处理特别有用。

3）使用特定的工作目录访问bash到正在运行的容器文件系统：

docker exec -it -w /var/lib containerId bash
0
投票

如果您使用的是AUFS存储驱动程序，则可以使用我的docker-layer脚本查找任何容器的文件系统根目录（mnt）和readwrite图层：

# docker-layer musing_wiles
rw layer : /var/lib/docker/aufs/diff/c83338693ff190945b2374dea210974b7213bc0916163cc30e16f6ccf1e4b03f
mnt      : /var/lib/docker/aufs/mnt/c83338693ff190945b2374dea210974b7213bc0916163cc30e16f6ccf1e4b03f

编辑2018-03-28： docker-layer已被docker-backup取代

0
投票

您可以使用潜水以TUI交互式查看图像内容

https://github.com/wagoodman/dive

enter image description here

0
投票

这将为图像启动一个bash会话：

docker run --rm -it --entrypoint = / bin / bash

0
投票

仅适用于LINUX

我使用的最简单的方法是使用proc目录，这是必须运行的容器才能检查docker容器文件。

  1. 找出容器的进程ID（PID）并存储到某个变量中 PID = $（docker inspect -f'{{。State.Pid}}'你的容器名 - 这里）
  2. 确保容器进程正在运行，并使用变量名称进入容器文件夹 cd / proc / $ PID / root

如果你想通过dir而不是通过使用这个长命令找到PID号

cd /proc/$(docker inspect -f '{{.State.Pid}}' your-container-name-here)/root

希望能帮助到你

**注意：此方法仅在容器仍在运行时才有效，否则如果容器已停止或已移除，则该目录将不再存在

134
投票

您可以将容器的文件系统存档到tar文件中：

docker export adoring_kowalevski > contents.tar

即使您的容器已停止且没有任何shell程序（如/bin/bash），这种方式仍然有效。我的意思是像Docker documentation的hello-world这样的图像。

40
投票

容器的文件系统位于docker的数据文件夹中，通常位于/ var / lib / docker中。要启动和检查正在运行的容器文件系统，请执行以下操作：

hash=$(docker run busybox)
cd /var/lib/docker/aufs/mnt/$hash

现在，当前工作目录是容器的根目录。

19
投票

在容器创建之前：

如果要探索容器内安装的映像的结构，可以执行此操作

sudo docker image save image_name > image.tar
tar -xvf image.tar

这将使您可以看到图像的所有图层及其在json文件中的配置。

容器创建后：

为此，上面已经有很多答案了。我这样做的首选方式是 - 

docker exec -t -i container /bin/bash
17
投票

在运行Docker 1.3.1的Ubuntu 14.04上，我在以下目录中的主机上找到了容器根文件系统：

/var/lib/docker/devicemapper/mnt/<container id>/rootfs/

完整的Docker版本信息：

Client version: 1.3.1
Client API version: 1.15
Go version (client): go1.3.3
Git commit (client): 4e9bbfa
OS/Arch (client): linux/amd64
Server version: 1.3.1
Server API version: 1.15
Go version (server): go1.3.3
Git commit (server): 4e9bbfa
13
投票

当容器实际启动时，最受欢迎的答案是为我工作，但是当它无法运行时，例如你想要从容器中复制文件时，这已经保存了我：

docker cp <container-name>:<path/inside/container> <path/on/host/>

感谢docker cp（link），您可以直接从容器中复制，因为它是文件系统的任何其他部分。例如，恢复容器内的所有文件：

mkdir /tmp/container_temp
docker cp example_container:/ /tmp/container_temp/

请注意，您不需要指定要递归复制。

11
投票

我使用的另一个脏技巧是aufs / devicemapper不可知。

我查看容器正在运行的命令，例如docker ps，如果它是apache或java，我只需执行以下操作：

sudo -s
cd /proc/$(pgrep java)/root/

并且你在容器里面。

基本上，只要该进程由容器运行，您就可以以root身份进入/proc/<PID>/root/文件夹。谨防符号链接使用该模式是没有意义的。

11
投票

除非您的容器不是真正的Linux系统，否则投票最多的答案是好的。

许多容器（尤其是基于go的容器）没有任何标准二进制文件（没有/bin/bash或/bin/sh）。在这种情况下，您需要直接访问实际的容器文件：

奇迹般有效：

name=<name>
dockerId=$(docker inspect -f {{.Id}} $name)
mountId=$(cat /var/lib/docker/image/aufs/layerdb/mounts/$dockerId/mount-id)
cd /var/lib/docker/aufs/mnt/$mountId

注意：您需要以root身份运行它。

最新问题
© www.soinside.com 2019 - 2024. All rights reserved.