📘 第13课：镜像版本管理

镜像构建

🏷️ 镜像版本管理的重要性

好的版本管理策略让你能精确追溯、快速回滚、并行管理多个版本。混乱的版本管理是运维噩梦的开始。

📐 语义化版本（SemVer）

# 语义化版本格式：MAJOR.MINOR.PATCH
v1.2.3
│ │ │
│ │ └── PATCH：Bug修复（兼容）
│ └──── MINOR：新功能（兼容）
└────── MAJOR：重大变更（不兼容）

# Docker标签策略 ✅
myapp:1.2.3          # 精确版本
myapp:1.2             # 兼容的最新patch
myapp:1               # 兼容的最新minor+patch
myapp:latest          # 最新稳定版
myapp:1.2.3-rc.1      # 候选版本
myapp:1.2.3-20240115  # 带日期戳
myapp:sha-a1b2c3d     # Git SHA

🔄 自动化版本标签

# 使用Git Tag自动构建 ✅
GIT_TAG=$(git describe --tags --always)
docker build -t myapp:${GIT_TAG} .
docker tag myapp:${GIT_TAG} myapp:latest

# CI/CD自动标签（GitHub Actions示例）✅
# .github/workflows/build.yml
- name: Docker meta
  id: meta
  uses: docker/metadata-action@v5
  with:
    images: myregistry.com/myapp
    tags: |
      type=ref,event=branch
      type=semver,pattern={{version}}
      type=semver,pattern={{major}}.{{minor}}
      type=sha

# 输出标签：
# myregistry.com/myapp:1.2.3
# myregistry.com/myapp:1.2
# myregistry.com/myapp:sha-a1b2c3d

📋 版本管理最佳实践

# 1. 永远不要只依赖latest ✅
# ❌ docker run myapp:latest（不可预测）
# ✅ docker run myapp:1.2.3（精确可控）

# 2. 同时推送多个标签
docker tag myapp:v1.2.3 myregistry.com/myapp:1.2.3
docker tag myapp:v1.2.3 myregistry.com/myapp:1.2
docker tag myapp:v1.2.3 myregistry.com/myapp:1
docker tag myapp:v1.2.3 myregistry.com/myapp:latest

# 3. 固定基础镜像版本
FROM node:20.11.0-alpine3.19  # ✅ 精确版本
FROM node:20-alpine            # ⚠️ 浮动版本
FROM node:latest               # ❌ 不可控

# 4. 使用镜像摘要（SHA256）确保不可变性 ✅
docker pull nginx@sha256:abc123...
# 即使同名标签被覆盖，摘要永远指向同一内容

# 5. 环境隔离
myapp:1.2.3          # 生产
myapp:1.2.3-staging  # 预发布
myapp:1.2.3-dev      # 开发

🔄 镜像更新策略

策略	说明	适用场景
滚动更新	逐步替换旧版本容器	在线服务（零停机）
蓝绿部署	同时运行两套环境，切换流量	需要快速回滚
金丝雀发布	先给少量流量到新版本	风险可控的渐进发布

❓ 常见问题

❓ latest标签到底有什么问题？问题在于不确定性：myapp:latest今天拉到的和明天拉到的可能完全不同。这导致：①无法复现问题 ②不同机器版本不一致 ③回滚无望。生产环境必须使用精确版本号。

❓ 如何确保基础镜像更新时自动重建？使用Dependabot/Renovate等工具监控基础镜像版本更新，自动创建PR更新版本号，触发CI重建。不要依赖latest自动获取更新。

🏆 本课成就

掌握语义化版本规范 ✅
学会多标签并行管理
理解镜像摘要的不可变性
掌握CI/CD自动化标签 ✅
理解latest标签的风险
学会版本回滚策略

📚 深度补充：镜像版本管理进阶要点

【镜像进阶阶段】生产环境注意事项

要点	说明	最佳实践
资源规划	根据业务负载合理分配CPU/内存	先压测再上线，设置requests和limits
监控告警	设置关键指标阈值和告警规则	Prometheus + AlertManager，5分钟P99延迟告警
备份策略	定期备份关键数据和配置	自动化备份脚本 + 异地存储 + 定期恢复演练
灰度发布	新版本逐步放量降低风险	金丝雀发布5%→20%→50%→100%
回滚预案	部署前确认回滚方案和步骤	保留前一版本镜像，数据库迁移向前兼容
文档更新	配置变更必须同步更新文档	GitOps管理配置，变更即文档
安全基线	遵循CIS Docker Benchmark	非root运行、只读FS、最小能力
日志规范	结构化日志，统一格式	JSON格式日志，包含traceId

常见误区与避坑指南

过度配置：不是所有服务都需要高可用，根据实际需求选择架构复杂度，避免过度工程
忽略日志：日志是排障的关键，确保日志格式统一、级别合理、采集完整
资源超卖：容器资源限制不是摆设，超卖会导致性能下降甚至OOM Kill
安全忽视：默认配置不等于安全配置，生产环境必须加固（非root、只读FS、最小能力）
监控缺失：没有监控等于盲飞，至少要有基础的健康检查和资源监控
手动运维：能自动化的绝不手动，手动操作容易出错且不可追溯
忽略网络策略：默认所有容器互通不安全，应按最小权限原则配置网络

进阶阅读与参考

Docker官方文档：https://docs.docker.com/
Docker最佳实践指南：Dev Best Practices
CIS Docker Benchmark：容器安全基线检查标准
12-Factor App方法论：https://12factor.net/
Google SRE Book：运维可靠性工程实践
Kubernetes官方文档：https://kubernetes.io/docs/

Docker命令速查卡

# 容器生命周期
docker create/start/stop/restart/rm/pause/unpause
docker logs/top/stats/inspect/exec diff

# 镜像构建
docker build/pull/push/tag/rmi/images/history
docker save/load/import/manifest

# 网络与存储
docker network create/ls/inspect/connect/disconnect/rm/prune
docker volume create/ls/inspect/rm/prune

# Docker Compose
docker compose up/down/ps/logs/build/exec
docker compose config/stop/start/scale/top/cp

# 系统维护
docker system df/prune/info
docker builder prune
docker container/prune/image prune

# K8s常用命令
kubectl get/describe/logs/exec/apply/delete
kubectl rollout status/undo/history
kubectl scale/autoscale/set

本阶段知识脉络

镜像进阶阶段知识体系：核心概念 → 实操演练 → 最佳实践 → 故障排查每一课都遵循：概念讲解 → 命令实操 → 代码示例 → 常见问题 → 练习巩固确保学完即能上手，理论实践并重。

镜像层与存储驱动

overlay2 存储驱动上层（可写） ← 容器运行时修改 ┌─────────────────────┐ │ Container Layer │ ← docker diff 可查看变更 ├─────────────────────┤ │ Image Layer N │ ← COPY app.py ├─────────────────────┤ │ Image Layer N-1 │ ← RUN pip install ├─────────────────────┤ │ ... │ ├─────────────────────┤ │ Image Layer 1 │ ← RUN apt-get install ├─────────────────────┤ │ Base Layer │ ← FROM ubuntu:22.04 └─────────────────────┘ 关键特性： • 每层只存储与下层的差异（CoW - Copy on Write） • 只读层可被多个容器共享 • 删除文件不会减小镜像大小（只是标记删除） • 多阶段构建只保留最终阶段的层

OCI标准与镜像规范

标准	内容	作用
OCI Image Spec	镜像格式规范	镜像可跨运行时使用
OCI Runtime Spec	容器运行时规范	runc/crun/kata等兼容
OCI Distribution Spec	镜像分发规范	Registry API标准化

实战案例：故障排查流程

# Step 1: 检查容器状态
docker ps -a                          # 查看所有容器
docker inspect <container>            # 查看详细配置

# Step 2: 查看日志
docker logs --tail 100 <container>    # 最近100行日志
docker logs --since 1h <container>    # 最近1小时

# Step 3: 进入容器排查
docker exec -it <container> sh        # 进入容器shell

# Step 4: 检查资源
docker stats --no-stream              # 资源使用概览
docker system df                      # 磁盘使用

# Step 5: 网络排查
docker network ls                     # 网络列表
docker exec <c> ping <target>        # 网络连通性
docker exec <c> nslookup <svc>       # DNS解析

# Step 6: 检查健康状态
docker inspect --format '{{.State.Health}}' <c>
docker inspect --format '{{.State.ExitCode}}' <c>
docker inspect --format '{{.State.OOMKilled}}' <c>

Dockerfile模板：多语言通用

# 通用最佳实践模板
FROM alpine:3.19 AS builder
# ... 构建步骤 ...

FROM alpine:3.19
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
WORKDIR /app
COPY --from=builder /app/output .
USER appuser
HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
  CMD wget -qO- http://localhost:8080/health || exit 1
EXPOSE 8080
CMD ["./app"]

Docker Compose健康检查模板

services:
  app:
    build: .
    healthcheck:
      test: ["CMD", "wget", "-qO-", "http://localhost:8080/health"]
      interval: 30s
      timeout: 5s
      retries: 3
      start_period: 30s
    restart: unless-stopped
    deploy:
      resources:
        limits:
          cpus: '1'
          memory: 512M

← 第12课 📂 目录第14课 →