Dockerfile — рецепт образа и docker build

Dockerfile — текстовый файл, по которому docker build собирает образ. Каждая строка — инструкция: взять основу, скопировать файлы, выполнить команду, задать команду запуска. Инструкции выполняются сверху вниз, каждая, что меняет файлы, даёт слой.

student@ubuntu:~/app$ sudo docker build -t app:1.1 .
#0 building with "default" instance using docker driver
…
#4 [1/4] FROM docker.io/library/busybox:latest@sha256:27be924c62a0…
#4 DONE 0.1s
#5 [internal] load build context
#5 transferring context: 31B done
#6 [2/4] WORKDIR /www
#6 DONE 0.1s
#7 [3/4] COPY index.html .
#7 DONE 0.1s
…
#9 naming to docker.io/library/app:1.1 done

-t app:1.1 даёт образу имя и тег, точка в конце — каталог, откуда брать файлы. Строки сборки пронумерованы #1, #2…: сначала служебные шаги [internal], потом инструкции по порядку — [2/4] значит вторая из четырёх. Последняя строка шага — чем он кончился: DONE и время или CACHED. CMD, EXPOSE и ENV своих шагов не получают: они записывают настройки образа.

На машине тренажёра сборку ведёт BuildKit (компонент buildx, пакет docker-buildx).

Инструкции

FROM — первая инструкция. Основу Docker ищет среди образов на машине, а если её нет — идёт в реестр. На машине тренажёра сети нет, поэтому FROM — только из загруженных: alpine, nginx:alpine, busybox.

RUN выполняется при сборке, CMD — при каждом запуске контейнера. RUN apk add … без сети падает: пакеты эта команда берёт из интернета.

EXPOSE ничего не открывает: порт на хосте публикует docker run -p («Порты»). ENV из образа можно переопределить при запуске: docker run -e MODE=dev. VOLUME /data в образе значит, что каждый docker run без -v подключит в /data новый пустой том, — см. «Тома».

Контекст сборки

Контекст сборки — каталог, который docker build отправляет службе Docker целиком: последний аргумент команды, обычно точка. Сколько отправлено, говорит шаг [internal] load build context: transferring context: 31B done.

COPY берёт файлы только из контекста. Путь в COPY считается от его корня, выйти выше нельзя: COPY ../secret.txt . ищет /secret.txt внутри контекста и падает:

ERROR: failed to build: failed to solve: failed to compute cache key:
failed to calculate checksum of ref …: "/secret.txt": not found

Нужный файл лежит снаружи — скопируй его в каталог сборки или собирай из каталога выше: docker build -f app/Dockerfile ..

Лишнее из контекста убирает .dockerignore рядом с Dockerfile — по шаблону на строку:

*.log
.env
.git

Так в образ не попадут журналы и секреты, а сборка не будет гонять гигабайты, если в каталоге лежат данные.

Кэш сборки

Повторная сборка без изменений не делает ничего заново: каждый шаг берётся из кэша сборки.

#6 [2/4] WORKDIR /www
#6 CACHED
#7 [3/4] COPY index.html .
#7 CACHED

Шаг берётся из кэша, если не изменились инструкция, слой под ней и — для COPY — содержимое копируемых файлов. Изменился один шаг — он и все шаги ниже собираются заново. После правки index.html из кэша идёт только WORKDIR, а COPY и шаги ниже выполняются заново.

Отсюда правило порядка: то, что меняется редко (основа, пользователь, установка зависимостей), — выше; файлы приложения, которые правишь часто, — ниже. --no-cache собирает всё заново.

RUN кэш сравнивает только по тексту команды. RUN date > /built в кэше сохранит дату первой сборки.

CMD и ENTRYPOINT

CMD пишут в двух формах:

В форме exec каждое слово — отдельная строка в кавычках. Одна строка на всю команду — CMD ["httpd -f -p 80"] — значит «запусти программу с именем httpd -f -p 80». Сборка пройдёт, а контейнер не стартует: exec: "httpd -f -p 80": executable file not found in $PATH.

В форме shell главный процесс — оболочка, и переменные в строке раскрываются. sh из busybox с одной командой заменяет себя ею: в docker top виден только httpd.

Слова после имени образа в docker run заменяют CMD целиком: docker run --rm app:1.1 ls /www. Если в образе есть ENTRYPOINT, эти слова дописываются к нему:

student@ubuntu:~$ cat Dockerfile.ep
FROM busybox
ENTRYPOINT ["echo", "hello"]
CMD ["world"]
student@ubuntu:~$ sudo docker run --rm ep:1
hello world
student@ubuntu:~$ sudo docker run --rm ep:1 student
hello student

Главный процесс должен работать на переднем плане: контейнер живёт, пока он жив («Главный процесс»). httpd без -f уходит в фон, и контейнер сразу выходит с Exited (0).

• container-images — слои, теги, digest и что делает docker load.
• docker — запуск контейнера из образа: порты, тома, перезапуск.
• docker-compose — сборка и запуск нескольких сервисов из одного файла.
• env-vars — переменные окружения и ENV.
• users-groups — пользователи и UID для USER.
• exit-codes — что значат коды 0, 1, 127 и 137.