CentOS7下Docker引擎部署与优化全攻略

1. CentOS7环境下Docker引擎完整部署指南

在Linux服务器环境中部署容器化平台，CentOS 7依然是当前企业级应用的主流选择。作为最稳定的企业级Linux发行版之一，CentOS 7与Docker的组合能够为应用提供可靠的运行环境。不同于简单的apt-get安装，在RHEL系系统上部署Docker需要特别注意内核版本、存储驱动、防火墙配置等一系列技术细节。本文将基于官方文档和多年运维经验，详细解析CentOS 7环境下Docker CE的完整安装流程及关键配置要点。

提示：本文所有操作均需root权限执行，建议先通过sudo -i切换至root账户

1.1 环境预检与依赖处理

在安装前必须检查系统环境是否符合Docker运行要求。执行以下命令验证内核版本：

bash复制uname -r

输出应显示3.10.0-693或更高版本的内核。若版本过低，需先通过yum update kernel -y升级内核并重启系统。

接下来清理可能存在的旧版本Docker组件：

bash复制yum remove docker \
           docker-client \
           docker-client-latest \
           docker-common \
           docker-latest \
           docker-latest-logrotate \
           docker-logrotate \
           docker-engine

配置稳定的yum源是保证安装成功的关键。推荐使用阿里云镜像源：

bash复制yum install -y yum-utils
yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo

1.2 Docker CE核心安装流程

执行以下命令安装Docker社区版及其依赖：

bash复制yum makecache fast
yum install -y docker-ce docker-ce-cli containerd.io

安装完成后验证各组件版本：

bash复制rpm -qa | grep docker
docker --version
containerd --version

启动Docker服务并设置开机自启：

bash复制systemctl start docker
systemctl enable docker

1.3 存储驱动优化配置

CentOS 7默认使用devicemapper存储驱动，但在生产环境中建议改为overlay2。编辑配置文件：

bash复制vi /etc/docker/daemon.json

加入以下内容（若文件不存在则新建）：

json复制{
  "exec-opts": ["native.cgroupdriver=systemd"],
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "100m"
  },
  "storage-driver": "overlay2",
  "storage-opts": [
    "overlay2.override_kernel_check=true"
  ]
}

保存后重新加载服务：

bash复制systemctl daemon-reload
systemctl restart docker

验证存储驱动是否生效：

bash复制docker info | grep "Storage Driver"

2. 关键配置与网络调优

2.1 国内镜像加速配置

为提升镜像拉取速度，需要配置国内镜像仓库。修改daemon.json文件：

json复制{
  "registry-mirrors": [
    "https://registry.docker-cn.com",
    "https://hub-mirror.c.163.com",
    "https://mirror.baidubce.com"
  ]
}

重新加载配置后，可通过以下命令测试加速效果：

bash复制docker pull ubuntu
docker images

2.2 防火墙与SELinux整合

在启用SELinux的环境下，需要特殊配置才能保证容器正常运行：

bash复制setenforce 0
sed -i 's/SELINUX=enforcing/SELINUX=permissive/g' /etc/selinux/config

防火墙需放行Docker相关端口：

bash复制firewall-cmd --permanent --zone=public --add-port=2375/tcp
firewall-cmd --permanent --zone=public --add-port=2376/tcp
firewall-cmd --reload

2.3 用户组权限管理

为避免每次使用docker命令都需要sudo，可将当前用户加入docker组：

bash复制usermod -aG docker $(whoami)
newgrp docker

验证权限是否生效：

bash复制docker run hello-world

3. 生产环境关键问题排查

3.1 存储空间不足处理

Docker默认使用/var/lib/docker作为存储目录，可通过以下步骤迁移至大容量分区：

bash复制systemctl stop docker
rsync -avz /var/lib/docker /new/path/
mv /var/lib/docker /var/lib/docker.bak
ln -s /new/path/docker /var/lib/docker
systemctl start docker

3.2 容器日志轮转配置

为防止容器日志占用过多磁盘空间，创建日志轮转策略：

bash复制vi /etc/logrotate.d/docker

加入以下内容：

code复制/var/lib/docker/containers/*/*.log {
  rotate 7
  daily
  compress
  delaycompress
  missingok
  copytruncate
}

3.3 内核参数优化

对于高并发场景，需要调整内核参数：

bash复制vi /etc/sysctl.conf

添加以下内容：

code复制net.ipv4.ip_forward = 1
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1
vm.swappiness = 0
vm.max_map_count=262144

使配置立即生效：

bash复制sysctl -p

4. 企业级部署进阶技巧

4.1 离线环境安装方案

在没有外网连接的环境中，可通过以下步骤离线安装：

1. 在有网络的机器上下载安装包：

bash复制yum install --downloadonly --downloaddir=./docker-packages docker-ce docker-ce-cli containerd.io

2. 将整个目录拷贝到目标服务器后安装：

bash复制yum localinstall -y ./docker-packages/*.rpm

4.2 多版本共存管理

使用yum versionlock插件管理Docker版本：

bash复制yum install -y yum-plugin-versionlock
yum versionlock docker-ce

查看可用版本：

bash复制yum list docker-ce --showduplicates | sort -r

安装指定版本：

bash复制yum install docker-ce-<VERSION_STRING>

4.3 容器网络性能调优

对于网络密集型应用，建议使用macvlan驱动：

bash复制docker network create -d macvlan \
  --subnet=192.168.1.0/24 \
  --gateway=192.168.1.1 \
  -o parent=eth0 \
  macvlan-net

验证网络性能：

bash复制docker run --rm -it --network macvlan-net alpine ping -c 4 192.168.1.1

5. 安全加固与监控方案

5.1 容器运行时保护

启用用户命名空间隔离：

bash复制vi /etc/docker/daemon.json

添加：

json复制{
  "userns-remap": "default"
}

创建映射用户和组：

bash复制echo "dockremap:100000:65536" >> /etc/subuid
echo "dockremap:100000:65536" >> /etc/subgid

5.2 审计日志配置

启用Docker守护进程审计：

bash复制vi /etc/audit/rules.d/docker.rules

加入：

code复制-w /usr/bin/docker -p wa
-w /var/lib/docker -p wa
-w /etc/docker -p wa
-w /etc/default/docker -p wa
-w /etc/docker/daemon.json -p wa
-w /usr/bin/docker-containerd -p wa
-w /usr/bin/docker-runc -p wa

重启审计服务：

bash复制service auditd restart

5.3 资源监控方案

部署cAdvisor进行容器监控：

bash复制docker run \
  --volume=/:/rootfs:ro \
  --volume=/var/run:/var/run:ro \
  --volume=/sys:/sys:ro \
  --volume=/var/lib/docker/:/var/lib/docker:ro \
  --volume=/dev/disk/:/dev/disk:ro \
  --publish=8080:8080 \
  --detach=true \
  --name=cadvisor \
  google/cadvisor:latest

访问http://服务器IP:8080即可查看监控数据。对于生产环境，建议配合Prometheus和Grafana构建完整监控体系。