Docker CLI cheat sheet

Команды по группам. Каждая запись — что набрать; объяснение механизма в разделе, на который ведёт ссылка.

Клиент docker — преобразователь аргументов в HTTP-запросы к сокету. Всё делает демон (урок 17.1).

Содержание

• Образы
• Container: запуск и управление
• Сети
• Тома
• Система и место
• Выражения --format
• Комбинации для типовых задач

Образы

Digest опубликованного образа без загрузки:

docker buildx imagetools inspect registry/имя:тег

Подробнее: раздел 03, раздел 05.

Container: запуск и управление

Подробнее: раздел 04.

Сети

Разрешение имён работает только в пользовательских сетях. В сети по умолчанию bridge — нет.

Подробнее: раздел 08, networking cheat sheet.

Тома

docker volume prune удаляет данные безвозвратно. Перед запуском — посмотреть, что удалится: docker volume ls -f dangling=true.

Подробнее: раздел 07, storage cheat sheet.

Система и место

Логи container'ов в docker system df не входят. Искать отдельно:

du -sh /var/lib/docker/containers/*/*-json.log | sort -h | tail -5

Подробнее: урок 13.4, cleanup checklist.

Выражения --format

Формат — шаблон Go. Полезен, когда ответ нужен скрипту, а не человеку.

Важно про inspect. Он показывает запрошенное при создании, а не применённое. Проверять применённое нужно изнутри container'а (урок 17.4):

docker exec имя cat /sys/fs/cgroup/memory.max

Комбинации для типовых задач

Найти причину исчезнувшего container'а:

docker inspect имя --format '{{.State.ExitCode}} {{.State.OOMKilled}}'
docker logs --previous --tail 50 имя
docker events --filter "container=имя" --since 1h

Проверить, слушает ли приложение нужный адрес, без утилит в образе:

docker exec имя python -c "
import socket
s = socket.socket(); s.settimeout(1)
print('слушает' if s.connect_ex(('0.0.0.0', 8000)) == 0 else 'нет')"

Проверить время мягкой остановки:

docker run -d --name t образ && sleep 2 && time docker stop t

Доли секунды — обработчик есть. Ровно grace period — нет.

Проверить, что образ не запускается от root:

docker image inspect образ --format '{{.Config.User}}' | grep -qE '^[1-9][0-9]*(:[0-9]+)?$' \
  && echo "непривилегированный, числовой" || echo "ПРОБЛЕМА"

Найти секреты в истории образа:

docker history --no-trunc образ | grep -iE 'password|secret|token|api_key' \
  || echo "в истории не найдено"

Отсутствие находок здесь не доказывает отсутствия секрета: он мог попасть в слой как файл. Надёжнее — распаковать docker save и искать по содержимому.

Отладить сеть container'а без утилит в его образе:

docker run --rm -it --network container:имя nicolaka/netshoot

Второй container подключается к тому же network namespace (урок 13.5).

Посмотреть, что реально записано в слой container'а:

docker diff имя

A — добавлено, C — изменено, D — удалено. Полезно, чтобы понять, что приложение пишет мимо тома.

Чего в этом списке нет

Навигация

Вернуться к справочникам
Dockerfile cheat sheet
Compose cheat sheet
Debugging checklist
Главное оглавление