Образы контейнеров — слои, теги, реестр и digest

Образ — шаблон, из которого Docker создаёт контейнеры. В нём лежат файлы будущего контейнера — программа, библиотеки, конфиги — и настройки запуска: команда, переменные окружения, рабочий каталог, порт. Образ не меняется. Контейнер пишет в свой слой поверх образа, поэтому из одного образа можно создать сколько угодно контейнеров.

На машине тренажёра сети наружу нет. Образы лежат файлами в /opt/images, docker load загружает их в Docker. На этой машине student не входит в группу docker, поэтому все команды идут через sudo.

student@ubuntu:~$ sudo docker load -i /opt/images/alpine.tar
Loaded image: alpine:latest
student@ubuntu:~$ sudo docker images
IMAGE            ID             DISK USAGE   CONTENT SIZE   EXTRA
alpine:latest    d1e016453729       17.8MB         8.71MB
busybox:latest   27be924c62a0       9.26MB         4.68MB   U
nginx:alpine     1acb5b0222ee        144MB         70.4MB

После таблицы docker images печатает предупреждение This output is designed for human readability: вид таблицы может поменяться с версией Docker. Скрипту нужен --format — рецепт ниже.

Имя образа и реестр

Реестр — сервер, где хранятся образы: Docker Hub, GitLab Registry, свой реестр компании. docker pull скачивает образ из реестра, docker push отправляет. Полное имя образа говорит, где он лежит:

registry.example.com:5000/team/app:1.4
└── реестр ─────────────┘└ путь ─┘└ тег

Без реестра в имени Docker идёт в Docker Hub, без тега берёт latest. nginx:alpine — это docker.io/library/nginx:alpine. Полное имя видно в ошибке, когда образа нет на машине: failed to resolve reference "docker.io/library/nginx:alpine".

Слои

Образ собран из слоёв. Слой — архив с изменениями файлов: что добавлено, изменено или удалено относительно слоёв под ним. Каждая инструкция dockerfile, которая меняет файлы, даёт слой. Историю слоёв показывает docker history, новые сверху:

student@ubuntu:~$ sudo docker history nginx:alpine
IMAGE          CREATED      CREATED BY                         SIZE
1acb5b0222ee   5 days ago   RUN /bin/sh -c set -x && apkArch…  52.4MB
<missing>      5 days ago   CMD ["nginx" "-g" "daemon off;"]   0B
<missing>      5 days ago   EXPOSE map[80/tcp:{}]              0B
<missing>      5 days ago   COPY docker-entrypoint.sh / # bu…  8.19kB
…
<missing>      4 weeks ago  ADD alpine-minirootfs-3.24.2-x86…  9.08MB

Нижняя строка — слой Alpine: nginx:alpine собран поверх образа Alpine. Строки с размером 0B (CMD, EXPOSE, ENV) файлов не меняют — они записывают настройки запуска. <missing> в столбце IMAGE значит, что у шага нет отдельного образа на этой машине: так выглядит история любого скачанного или загруженного образа.

Одинаковые слои хранятся один раз. Десять образов на основе Alpine держат на диске одну копию его слоя.

Слой контейнера

Слои образа только читаются. Контейнер получает поверх них свой слой для записи — слой контейнера. Файл, изменённый внутри контейнера, копируется в этот слой (копирование при записи), а образ остаётся прежним.

Слой контейнера живёт, пока жив контейнер: docker stop и docker start его сохраняют, docker rm удаляет вместе со всеми данными. Данные, которые должны пережить пересоздание контейнера, хранят в томе — раздел «Тома» статьи о Docker.

Тег

Тег — подвижное имя образа: часть после двоеточия. docker tag даёт тому же образу второе имя, ID у имён один:

student@ubuntu:~$ sudo docker tag busybox:latest app:1.0
student@ubuntu:~$ sudo docker images
IMAGE            ID             DISK USAGE   CONTENT SIZE   EXTRA
app:1.0          27be924c62a0       9.26MB         4.68MB   U
busybox:latest   27be924c62a0       9.26MB         4.68MB   U

latest — просто тег по умолчанию. Он ставится, когда тег не указан, и ничего не говорит о свежести: alpine:latest на машине — тот образ, который в неё загрузили.

Тег переезжает при сборке. docker build -t app:1.1 второй раз отдаёт имя новому образу, а прежний остаётся без имени, <none>:<none> — висячий образ (dangling). Обычный docker images его не показывает, найти можно фильтром:

student@ubuntu:~$ sudo docker images --filter dangling=true \
    --format '{{.ID}} {{.Repository}}:{{.Tag}}'
a4eab66e5237 <none>:<none>

docker images -a показывает такие образы строкой <untagged>.

docker rmi <имя> снимает тег. Если у образа есть другие имена, образ остаётся: Untagged: busybox:latest. Последнее имя docker rmi удаляет вместе с образом — если образ не нужен ни одному контейнеру.

Digest и ID

Digest — SHA-256 от манифеста образа, описания слоёв и настроек. Поменяется хоть один байт в любом слое — поменяется и digest. Поэтому nginx@sha256:1acb… всегда означает одно и то же содержимое, а nginx:alpine завтра может указывать на другой образ.

student@ubuntu:~$ sudo docker image ls --digests
REPOSITORY   TAG      DIGEST            IMAGE ID       …   SIZE
nginx        alpine   sha256:1acb5b0…   1acb5b0222ee   …   144MB
busybox      latest   sha256:27be924…   27be924c62a0   …   9.26MB

В Docker 29 образы хранит containerd, и у загруженного образа ID совпадает с digest.

docker load и docker save

docker save пишет образ в tar-архив со всеми слоями, docker load загружает его обратно — на этой же или другой машине. Так образ попадает туда, где нет доступа к реестру. Внутри архива — формат OCI: index.json, manifest.json и каталог blobs/sha256, где каждый файл назван своим SHA-256.

• docker — запуск контейнеров, тома, сети, inspect.
• dockerfile — как собрать свой образ и откуда берутся слои.
• docker-compose — несколько контейнеров из одного файла.
• cgroups-namespaces — чем контейнер изолирован от хоста.
• tar — формат архива docker save.
• disk-usage — куда ушло место на диске.