3.5. Save, load, export, import

   docker save / load                    docker export / import
   ───────────────────                   ──────────────────────
   объект: ОБРАЗ                         объект: CONTAINER

   ┌──────────────────┐                  ┌──────────────────┐
   │ manifest         │                  │                  │
   │ config           │                  │  плоский срез    │
   │ ├─ Cmd           │                  │  файловой        │
   │ ├─ Env           │                  │  системы         │
   │ ├─ User          │                  │                  │
   │ └─ history       │                  │  (слои образа +  │
   │ слой 1           │                  │   writable layer,│
   │ слой 2           │                  │   объединённые)  │
   │ слой 3           │                  │                  │
   │ теги             │                  │                  │
   └──────────────────┘                  └──────────────────┘

   после load:                           после import:
   образ идентичен исходному             образ БЕЗ Cmd, Env, User,
                                         истории и слоёв — один слой

docker export mycontainer | docker import - myimage:1
docker run myimage:1

docker: Error response from daemon: No command specified

docker save --platform linux/amd64 -o image.tar myapp:1.0

image.tar
├── oci-layout                 версия формата
├── index.json                 корневой index: какие образы и теги внутри
├── manifest.json              совместимость с прежним форматом Docker
└── blobs/
    └── sha256/
        ├── 1a2b3c...          манифест
        ├── 4d5e6f...          конфигурация
        ├── 7a8b9c...          слой 1 (tar, возможно сжатый)
        └── 0d1e2f...          слой 2

docker pull -q python:3.13-slim
mkdir -p /tmp/transfer && cd /tmp/transfer

docker save -o python-slim.tar python:3.13-slim
ls -lh python-slim.tar

-rw------- 1 evg evg 128M Jul 29 16:20 python-slim.tar

BEFORE="$(docker image inspect python:3.13-slim --format '{{.Id}}')"
docker rmi python:3.13-slim > /dev/null
docker images python 2>/dev/null | tail -1

docker load -i python-slim.tar
AFTER="$(docker image inspect python:3.13-slim --format '{{.Id}}')"

echo "до:    $BEFORE"
echo "после: $AFTER"
[ "$BEFORE" = "$AFTER" ] && echo "Image ID совпал — образ идентичен"

Loaded image: python:3.13-slim
до:    sha256:c2f1e0d9b8a7c6d5e4f3a2b1908877665544332211aabbccddeeff0011223344
после: sha256:c2f1e0d9b8a7c6d5e4f3a2b1908877665544332211aabbccddeeff0011223344
Image ID совпал — образ идентичен

docker save python:3.13-slim | gzip > python-slim.tar.gz
ls -lh python-slim.tar python-slim.tar.gz

-rw------- 1 evg evg 128M Jul 29 16:20 python-slim.tar
-rw-rw-r-- 1 evg evg  46M Jul 29 16:22 python-slim.tar.gz

docker load -i python-slim.tar.gz

docker save myapp:1.0 | gzip | ssh user@remote 'gunzip | docker load'

# docker pull принимает РОВНО один образ:
# `docker pull a b` отвечает «docker pull requires 1 argument»
for img in alpine:3.21 debian:trixie-slim; do docker pull -q "$img"; done
docker save -o bundle.tar python:3.13-slim alpine:3.21 debian:trixie-slim
ls -lh bundle.tar

-rw------- 1 evg evg 232M Jul 29 16:25 bundle.tar

tar -xOf bundle.tar index.json 2>/dev/null | python3 -c "
import json, sys
d = json.load(sys.stdin)
for m in d['manifests']:
    name = m.get('annotations', {}).get('io.containerd.image.name') \
        or m.get('annotations', {}).get('org.opencontainers.image.ref.name', '?')
    print(f\"  {name}\")
" 2>/dev/null || tar -xOf bundle.tar manifest.json | python3 -c "
import json, sys
for e in json.load(sys.stdin):
    print(' ', ', '.join(e.get('RepoTags') or ['<без тега>']))
"

  python:3.13-slim
  alpine:3.21
  debian:trixie-slim

docker load -i bundle.tar

mkdir -p unpacked && tar -xf python-slim.tar -C unpacked
find unpacked -maxdepth 2 -type f | head -6

unpacked/oci-layout
unpacked/index.json
unpacked/manifest.json
unpacked/blobs/sha256/1a2b3c4d5e6f...
unpacked/blobs/sha256/7a8b9c0d1e2f...

BLOB="$(find unpacked/blobs/sha256 -type f | head -1)"
echo "имя файла:  $(basename "$BLOB")"
echo "sha256:     $(sha256sum "$BLOB" | cut -d' ' -f1)"

имя файла:  1a2b3c4d5e6f7890abcdef1234567890abcdef1234567890abcdef1234567890
sha256:     1a2b3c4d5e6f7890abcdef1234567890abcdef1234567890abcdef1234567890

MANIFEST="$(tar -xOf python-slim.tar index.json 2>/dev/null \
    | python3 -c "import json,sys; print(json.load(sys.stdin)['manifests'][0]['digest'].split(':')[1])" 2>/dev/null)"

if [ -n "${MANIFEST:-}" ] && [ -f "unpacked/blobs/sha256/$MANIFEST" ]; then
    CONFIG="$(python3 -c "
import json
d = json.load(open('unpacked/blobs/sha256/$MANIFEST'))
print(d['config']['digest'].split(':')[1])
")"
    python3 -c "
import json
c = json.load(open('unpacked/blobs/sha256/$CONFIG'))
print('Cmd:', c['config'].get('Cmd'))
print('Env:', len(c['config'].get('Env', [])), 'переменных')
print('слоёв:', len(c['rootfs']['diff_ids']))
"
fi

Cmd: ['python3']
Env: 4 переменных
слоёв: 3

# найти слои и их размеры
for b in unpacked/blobs/sha256/*; do
    if file "$b" | grep -q 'tar archive\|gzip'; then
        printf '%-12s %s\n' "$(du -h "$b" | cut -f1)" "$(basename "$b" | cut -c1-16)..."
    fi
done | sort -hr | head -3

LAYER="$(for b in unpacked/blobs/sha256/*; do
    file "$b" | grep -q 'tar archive' && echo "$(stat -c%s "$b") $b"
done | sort -rn | head -1 | cut -d' ' -f2)"

tar -tf "$LAYER" 2>/dev/null | head -10

bin/
bin/bash
bin/cat
bin/chgrp
bin/chmod
etc/
etc/apt/
...

cd /tmp/transfer
cat > Dockerfile.leak <<'EOF'
FROM alpine:3.21
COPY secret.txt /tmp/secret.txt
RUN cat /tmp/secret.txt > /dev/null && rm /tmp/secret.txt
EOF
echo "API_TOKEN=super-secret-value-12345" > secret.txt

docker build -q -f Dockerfile.leak -t leaky:1 . > /dev/null

echo "=== в container файла нет ==="
docker run --rm leaky:1 ls /tmp/secret.txt 2>&1 | tail -1

echo "=== но в слоях он есть ==="
docker save leaky:1 -o leaky.tar
mkdir -p leakdir && tar -xf leaky.tar -C leakdir
for b in leakdir/blobs/sha256/*; do
    tar -tf "$b" 2>/dev/null | grep -q 'tmp/secret.txt' && {
        echo "найден в слое $(basename "$b" | cut -c1-16)..."
        tar -xOf "$b" tmp/secret.txt 2>/dev/null
    }
done

=== в container файла нет ===
ls: /tmp/secret.txt: No such file or directory
=== но в слоях он есть ===
найден в слое 3c4d5e6f7a8b9c0d...
API_TOKEN=super-secret-value-12345

docker run -d --name exp-demo python:3.13-slim sleep 300 > /dev/null
docker exec exp-demo sh -c 'echo "данные container" > /container-data.txt'

docker export -o container.tar exp-demo
ls -lh container.tar

docker import container.tar flat:1

-rw------- 1 evg evg 126M Jul 29 16:40 container.tar
sha256:9a8b7c6d5e4f3a2b190877665544332211aabbccddeeff00112233445566

echo "=== слоёв ==="
printf 'исходный образ: %s\n' "$(docker image inspect python:3.13-slim --format '{{len .RootFS.Layers}}')"
printf 'после import:   %s\n' "$(docker image inspect flat:1 --format '{{len .RootFS.Layers}}')"

echo
echo "=== конфигурация ==="
printf 'исходный Cmd: %s\n' "$(docker image inspect python:3.13-slim --format '{{.Config.Cmd}}')"
printf 'flat Cmd:     %s\n' "$(docker image inspect flat:1 --format '{{.Config.Cmd}}')"
printf 'исходный Env: %s переменных\n' "$(docker image inspect python:3.13-slim --format '{{len .Config.Env}}')"
printf 'flat Env:     %s переменных\n' "$(docker image inspect flat:1 --format '{{len .Config.Env}}')"

echo
echo "=== история ==="
printf 'исходный: %s записей\n' "$(docker history python:3.13-slim -q | wc -l)"
printf 'flat:     %s записей\n' "$(docker history flat:1 -q | wc -l)"

=== слоёв ===
исходный образ: 3
после import:   1

=== конфигурация ===
исходный Cmd: [python3]
flat Cmd:     []
исходный Env: 4 переменных
flat Env:     1 переменных

=== история ===
исходный: 12 записей
flat:     1 записей

# head -1, а не tail: Docker 29 после ошибки печатает пустую строку
# и подсказку «Run 'docker run --help'» — tail забрал бы именно их
docker run --rm flat:1 2>&1 | head -1

docker: Error response from daemon: No command specified

docker run --rm flat:1 cat /container-data.txt

данные container

docker import \
    --change 'CMD ["python3"]' \
    --change 'ENV PATH=/usr/local/bin:/usr/local/sbin:/usr/sbin:/usr/bin:/sbin:/bin' \
    --change 'ENV LANG=C.UTF-8' \
    container.tar flat:2

docker run --rm flat:2 python3 --version

Python 3.13.9

cd /tmp/transfer
IMAGES="python:3.13-slim alpine:3.21"

for img in $IMAGES; do docker pull -q "$img"; done
docker save $IMAGES | gzip > bundle.tar.gz
sha256sum bundle.tar.gz > bundle.tar.gz.sha256

# зафиксировать ожидаемые Image ID для последующей сверки
for img in $IMAGES; do
    printf '%s %s\n' "$(docker image inspect "$img" --format '{{.Id}}')" "$img"
done > expected-ids.txt

ls -lh bundle.tar.gz bundle.tar.gz.sha256 expected-ids.txt

# 1. Проверить целостность передачи
sha256sum -c bundle.tar.gz.sha256

# 2. Загрузить
docker load -i bundle.tar.gz

# 3. Сверить Image ID с ожидаемыми
while read -r expected img; do
    actual="$(docker image inspect "$img" --format '{{.Id}}' 2>/dev/null)"
    if [ "$actual" = "$expected" ]; then
        echo "  [+] $img"
    else
        echo "  [!] $img — расхождение!"
        echo "      ожидалось: $expected"
        echo "      получено:  ${actual:-образ отсутствует}"
    fi
done < expected-ids.txt

bundle.tar.gz: OK
Loaded image: python:3.13-slim
Loaded image: alpine:3.21
  [+] python:3.13-slim
  [+] alpine:3.21

# docker pull принимает РОВНО один образ:
# `docker pull a b` отвечает «docker pull requires 1 argument»
for img in --platform linux/amd64 alpine:3.21; do docker pull -q "$img"; done
docker save --platform linux/amd64 -o alpine-amd64.tar alpine:3.21
ls -lh alpine-amd64.tar

tar -xOf alpine-amd64.tar index.json | python3 -m json.tool | head -20

cd /tmp
docker rm -f exp-demo 2>/dev/null || true
docker rmi flat:1 flat:2 leaky:1 2>/dev/null || true
rm -rf /tmp/transfer

docker pull -q alpine:3.21
ID_BEFORE=$(docker image inspect alpine:3.21 --format '{{.Id}}')
docker save alpine:3.21 | gzip > /tmp/a.tar.gz
docker rmi alpine:3.21 > /dev/null
docker load -i /tmp/a.tar.gz
ID_AFTER=$(docker image inspect alpine:3.21 --format '{{.Id}}')
[ "$ID_BEFORE" = "$ID_AFTER" ] && echo "перенос без искажений"
rm /tmp/a.tar.gz