Docker Machine深入学习

笔者在《Docker Machine 简介》一文中简单介绍了 Docker Machine 及其基本用法，但是忽略的细节实在是太多了。比如 Docker 与 Docker Machine 的区别？又如当我们执行 docker-machine create 命令时，Docker Machine 都做了哪些重要的事情使得我们可以远程操作 Docker daemon？这样的远程操作安全吗？本文将试图解读这些问题。注：本文的演示环境为 Ubuntu16.04。

Docker 与 Docker Machine 的区别

Docker 是一个 Client-Server 架构的应用，人家是有官称的：Docker Engine。Docker 只是大家对 Docker Engine 的昵称，当然 Docker 还有其他的意思，比如一家公司的名称。简单起见，本文中的 Docker 等同于 Docker Engine。

提到 Docker 我们必须要知道它包含了三部分内容：

• Docker daemon
• 一套与 Docker daemon 交互的 REST API
• 一个命令行客户端

下图很清晰的展示了它们之间的关系：

Docker Machine 则是一个安装和管理 Docker 的工具。它有自己的命令行工具：docker-machine。

Docker daemon socket

既然 Docker 客户端要和 Docker daemon 通过 REST API 通信，那就让我们看看它们可以采用的方法有哪些：

• Unix socket
• Systemd socket activation
• Tcp

我们可以简单的把 1 和 2 理解成一种方式，就是同一台主机上的进程间通信。至于 3 则很好理解：通过 tcp 协议进行跨网络的通信。

既然 1 和 2 用于同一台机器上的进程间通信，那么我们可以猜想：安装在同一主机上的 Docker 客户端和 Docker daemon 就是通过这种方式来通信的。事实也正是如此，我们可以查看安装 Docker 时默认添加的 Docker daemon 启动配置，打开文件 /etc/systemd/system/multi-user.target.wants/docker.service：

图中的 -H 用来指定 Docker Daemon 监听的 socket，此处指定的类型为 system socket activation。使用类型 1 和 2 进行通信需要进程具有 root 权限。这也是 Docker 安装过程中会自动创建一个具有 root 权限的用户和用户组的主要原因。新创建的用户和用户组名称为 docker，建议大家把需要操作 Docker 的用户都加入到这个组中，否则当你执行命令时就会碰到下图显示的问题：

我们还可以同时指定多个 -H 参数让 Docker daemon 同时监听不同的 socket 类型。比如要添加对 TCP 端口 2376 的监听就可以使用下面的命令行参数：

$ sudo dockerd -H fd:// -H tcp://0.0.0.0:2376