卷

目录

卷是容器的持久数据存储，由 Docker 创建和管理。您可以使用 docker volume create 命令显式创建卷，或者 Docker 可以在创建容器或服务时创建卷。

创建卷时，它存储在 Docker 主机上的一个目录中。将卷挂载到容器中时，挂载到容器中的就是这个目录。这与绑定挂载的工作方式类似，不同之处在于卷由 Docker 管理，并与主机核心功能隔离。

何时使用卷

卷是持久化 Docker 容器生成和使用的数据的首选机制。绑定挂载依赖于主机的目录结构和操作系统，而卷则完全由 Docker 管理。卷适用于以下用例：

  • 卷比绑定挂载更容易备份或迁移。
  • 您可以使用 Docker CLI 命令或 Docker API 管理卷。
  • 卷适用于 Linux 和 Windows 容器。
  • 卷可以更安全地在多个容器之间共享。
  • 新卷的内容可以通过容器或构建进行预填充。
  • 当您的应用程序需要高性能 I/O 时。

如果您需要从主机访问文件，卷不是一个好的选择，因为卷完全由 Docker 管理。如果您需要从容器和主机访问文件或目录，请使用绑定挂载。

卷通常比直接将数据写入容器更好，因为卷不会增加使用它的容器的大小。使用卷也更快；写入容器的可写层需要存储驱动来管理文件系统。存储驱动使用 Linux 内核提供一个联合文件系统。与使用卷直接写入主机文件系统相比，这种额外的抽象会降低性能。

如果您的容器生成非持久状态数据，请考虑使用 tmpfs 挂载，以避免将数据永久存储在任何位置，并通过避免写入容器的可写层来提高容器的性能。

卷使用 rprivate（递归私有）绑定传播，并且卷的绑定传播是不可配置的。

卷的生命周期

卷的内容存在于给定容器的生命周期之外。当容器被销毁时，可写层也随之销毁。使用卷可确保即使使用它的容器被移除，数据也会持久存在。

一个给定的卷可以同时挂载到多个容器中。当没有运行中的容器使用卷时，该卷仍然对 Docker 可用，并且不会自动移除。您可以使用 docker volume prune 移除未使用的卷。

将卷挂载到现有数据之上

如果将一个 *非空卷* 挂载到容器中已存在文件或目录的目录中，则现有文件会被该挂载遮盖。这类似于您将文件保存到 Linux 主机的 /mnt 中，然后将 USB 驱动器挂载到 /mnt。/mnt 的内容将被 USB 驱动器的内容遮盖，直到 USB 驱动器被卸载。

在容器中，没有直接的方法移除挂载来再次显示被遮盖的文件。您最好的选择是移除挂载后重新创建容器。

如果将一个 *空卷* 挂载到容器中已存在文件或目录的目录中，这些文件或目录默认会被传播（复制）到卷中。同样，如果您启动一个容器并指定一个尚不存在的卷，Docker 会为您创建一个空卷。这是预填充其他容器所需数据的好方法。

要阻止 Docker 将容器的现有文件复制到空卷中，请使用 volume-nocopy 选项，参见--mount 选项。

命名卷和匿名卷

卷可以是命名卷或匿名卷。匿名卷被赋予一个随机名称，该名称在给定 Docker 主机内保证唯一。就像命名卷一样，即使移除使用它们的容器，匿名卷也会持久存在，除非在创建容器时使用了 --rm 标志，在这种情况下，与容器关联的匿名卷会被销毁。参见移除匿名卷。

如果连续创建多个容器且每个容器都使用匿名卷，则每个容器都会创建自己的卷。匿名卷不会在容器之间自动重用或共享。要在两个或更多容器之间共享匿名卷，必须使用随机卷 ID 挂载该匿名卷。

语法

要使用 docker run 命令挂载卷，可以使用 --mount 或 --volume 标志。

$ docker run --mount type=volume,src=<volume-name>,dst=<mount-path>
$ docker run --volume <volume-name>:<mount-path>

通常，优先使用 --mount。主要区别在于 --mount 标志更显式，并且支持所有可用选项。

如果要执行以下操作，则必须使用 --mount：

--mount 选项

--mount 标志由多个键值对组成，这些键值对之间用逗号分隔，每个键值对由一个 <key>=<value> 元组构成。键的顺序不重要。

$ docker run --mount type=volume[,src=<volume-name>],dst=<mount-path>[,<key>=<value>...]

--mount type=volume 的有效选项包括：

选项描述
source, src挂载的源。对于命名卷，这是卷的名称。对于匿名卷，此字段被省略。
destination, dst, target文件或目录在容器中的挂载路径。
volume-subpath卷中要挂载到容器内的子目录的路径。子目录必须在将卷挂载到容器之前已存在于卷中。参见挂载卷子目录。
readonly, ro如果存在，会导致卷作为只读方式挂载到容器中。
volume-nocopy如果存在，则如果卷为空，则不会将目标位置的数据复制到卷中。默认情况下，如果挂载的卷为空，则目标位置的内容会被复制到卷中。
volume-opt可以指定多次，接受一个由选项名称及其值组成的键值对。
示例
$ docker run --mount type=volume,src=myvolume,dst=/data,ro,volume-subpath=/foo

--volume 选项

--volume 或 -v 标志由三个字段组成，字段之间用冒号 (:) 分隔。字段必须按正确的顺序排列。

$ docker run -v [<volume-name>:]<mount-path>[:opts]

对于命名卷，第一个字段是卷的名称，在给定主机上是唯一的。对于匿名卷，第一个字段被省略。第二个字段是文件或目录在容器中的挂载路径。

第三个字段是可选的，是一个逗号分隔的选项列表。--volume 用于数据卷时的有效选项包括：

选项描述
readonly, ro如果存在，会导致卷作为只读方式挂载到容器中。
volume-nocopy如果存在，则如果卷为空，则不会将目标位置的数据复制到卷中。默认情况下，如果挂载的卷为空，则目标位置的内容会被复制到卷中。
示例
$ docker run -v myvolume:/data:ro

创建和管理卷

与绑定挂载不同，您可以在任何容器的范围之外创建和管理卷。

创建卷

$ docker volume create my-vol

列出卷

$ docker volume ls

local               my-vol

检查卷

$ docker volume inspect my-vol
[
    {
        "Driver": "local",
        "Labels": {},
        "Mountpoint": "/var/lib/docker/volumes/my-vol/_data",
        "Name": "my-vol",
        "Options": {},
        "Scope": "local"
    }
]

移除卷

$ docker volume rm my-vol

使用卷启动容器

如果您启动一个容器并指定一个尚不存在的卷，Docker 会为您创建该卷。以下示例将卷 myvol2 挂载到容器的 /app/ 中。

以下 -v 和 --mount 示例产生相同的结果。您不能同时运行这两个示例，除非在运行第一个示例后移除 devtest 容器和 myvol2 卷。

$ docker run -d \
  --name devtest \
  --mount source=myvol2,target=/app \
  nginx:latest

$ docker run -d \
  --name devtest \
  -v myvol2:/app \
  nginx:latest

使用 docker inspect devtest 来验证 Docker 已创建卷并正确挂载。查找 Mounts 部分

"Mounts": [
    {
        "Type": "volume",
        "Name": "myvol2",
        "Source": "/var/lib/docker/volumes/myvol2/_data",
        "Destination": "/app",
        "Driver": "local",
        "Mode": "",
        "RW": true,
        "Propagation": ""
    }
],

这表明挂载是一个卷，显示了正确的源和目标，并且挂载是读写的。

停止容器并移除卷。请注意，卷的移除是独立的一个步骤。

$ docker container stop devtest

$ docker container rm devtest

$ docker volume rm myvol2

在 Docker Compose 中使用卷

以下示例展示了一个带有卷的单个 Docker Compose 服务

services:
  frontend:
    image: node:lts
    volumes:
      - myapp:/home/node/app
volumes:
  myapp:

首次运行 docker compose up 会创建一个卷。之后再次运行该命令时，Docker 会重复使用同一个卷。

你可以使用 docker volume create 直接在 Compose 之外创建卷，然后按如下方式在 compose.yaml 中引用它

services:
  frontend:
    image: node:lts
    volumes:
      - myapp:/home/node/app
volumes:
  myapp:
    external: true

有关在 Compose 中使用卷的更多信息，请参阅 Compose 规范中的卷部分。

使用卷启动服务

当你启动服务并定义卷时，每个服务容器都会使用其自己的本地卷。如果你使用 local 卷驱动程序，这些容器都无法共享数据。但是，某些卷驱动程序确实支持共享存储。

以下示例启动了一个带有四个副本的 nginx 服务，每个副本都使用一个名为 myvol2 的本地卷。

$ docker service create -d \
  --replicas=4 \
  --name devtest-service \
  --mount source=myvol2,target=/app \
  nginx:latest

使用 docker service ps devtest-service 验证服务是否正在运行

$ docker service ps devtest-service

ID                  NAME                IMAGE               NODE                DESIRED STATE       CURRENT STATE            ERROR               PORTS
4d7oz1j85wwn        devtest-service.1   nginx:latest        moby                Running             Running 14 seconds ago

你可以移除服务来停止正在运行的任务

$ docker service rm devtest-service

移除服务不会移除服务创建的任何卷。卷的移除是独立的一个步骤。

使用容器填充卷

如果你启动一个创建新卷的容器，并且容器在要挂载的目录（例如 /app/）中有文件或目录，Docker 会将目录的内容复制到卷中。然后容器挂载并使用该卷，而使用该卷的其他容器也可以访问预填充的内容。

为了说明这一点，以下示例启动了一个 nginx 容器，并将容器的 /usr/share/nginx/html 目录内容填充到新卷 nginx-vol 中。这是 Nginx 存储其默认 HTML 内容的位置。

--mount 和 -v 示例具有相同的最终结果。

$ docker run -d \
  --name=nginxtest \
  --mount source=nginx-vol,destination=/usr/share/nginx/html \
  nginx:latest

$ docker run -d \
  --name=nginxtest \
  -v nginx-vol:/usr/share/nginx/html \
  nginx:latest

运行上述任一示例后，运行以下命令清理容器和卷。请注意，卷的移除是独立的一个步骤。

$ docker container stop nginxtest

$ docker container rm nginxtest

$ docker volume rm nginx-vol

使用只读卷

对于某些开发应用，容器需要向绑定挂载写入数据，以便将更改传播回 Docker 主机。在其他情况下，容器只需要对数据具有读取权限。多个容器可以挂载同一个卷。你可以同时将单个卷挂载为某些容器的 read-write（读写）模式，以及其他容器的 read-only（只读）模式。

以下示例修改了前一个示例。它通过在容器内的挂载点之后，向选项列表（默认为空）添加 ro 来将目录挂载为只读卷。存在多个选项时，可以使用逗号分隔它们。

--mount 和 -v 示例具有相同的结果。

$ docker run -d \
  --name=nginxtest \
  --mount source=nginx-vol,destination=/usr/share/nginx/html,readonly \
  nginx:latest

$ docker run -d \
  --name=nginxtest \
  -v nginx-vol:/usr/share/nginx/html:ro \
  nginx:latest

使用 docker inspect nginxtest 验证 Docker 是否正确创建了只读挂载。查找 Mounts 部分

"Mounts": [
    {
        "Type": "volume",
        "Name": "nginx-vol",
        "Source": "/var/lib/docker/volumes/nginx-vol/_data",
        "Destination": "/usr/share/nginx/html",
        "Driver": "local",
        "Mode": "",
        "RW": false,
        "Propagation": ""
    }
],

停止并移除容器，然后移除卷。卷的移除是独立的一个步骤。

$ docker container stop nginxtest

$ docker container rm nginxtest

$ docker volume rm nginx-vol

挂载卷子目录

将卷挂载到容器时，可以使用 --mount 标志的 volume-subpath 参数指定要使用的卷的子目录。你指定的子目录在尝试将其挂载到容器之前必须存在于卷中；如果不存在，则挂载失败。

指定 volume-subpath 在你只想与容器共享卷的特定部分时非常有用。例如，假设你运行了多个容器，并且想要将每个容器的日志存储在一个共享卷中。你可以在共享卷中为每个容器创建一个子目录，并将该子目录挂载到容器。

以下示例创建一个 logs 卷并在其中初始化 app1 和 app2 子目录。然后启动两个容器，并将 logs 卷的一个子目录挂载到每个容器。此示例假设容器中的进程将其日志写入 /var/log/app1 和 /var/log/app2。

$ docker volume create logs
$ docker run --rm \
  --mount src=logs,dst=/logs \
  alpine mkdir -p /logs/app1 /logs/app2
$ docker run -d \
  --name=app1 \
  --mount src=logs,dst=/var/log/app1,volume-subpath=app1 \
  app1:latest
$ docker run -d \
  --name=app2 \
  --mount src=logs,dst=/var/log/app2,volume-subpath=app2 \
  app2:latest

通过此设置，容器将其日志写入 logs 卷的单独子目录中。容器无法访问其他容器的日志。

在机器之间共享数据

构建容错应用时，你可能需要配置同一服务的多个副本来访问相同的文件。

shared storage

开发应用时有几种方法可以实现此目的。一种是在应用中添加逻辑，将文件存储在像 Amazon S3 这样的云对象存储系统上。另一种是使用支持将文件写入外部存储系统（如 NFS 或 Amazon S3）的驱动程序来创建卷。

卷驱动程序允许你将底层存储系统从应用逻辑中抽象出来。例如，如果你的服务使用带有 NFS 驱动程序的卷，你可以更新服务以使用不同的驱动程序（例如将数据存储在云中），而无需更改应用逻辑。

使用卷驱动

使用 docker volume create 创建卷时，或者启动使用尚未创建的卷的容器时，可以指定卷驱动程序。以下示例使用 rclone/docker-volume-rclone 卷驱动程序，首先在创建独立卷时使用，然后在启动创建新卷的容器时使用。

注意

如果你的卷驱动程序接受逗号分隔的列表作为选项，你必须从外部 CSV 解析器中转义该值。要转义 volume-opt，请将其用双引号 (") 括起来，并将整个挂载参数用单引号 (') 括起来。

例如，local 驱动程序在 o 参数中接受逗号分隔的挂载选项列表。此示例显示了正确转义列表的方法。

$ docker service create \
 --mount 'type=volume,src=<VOLUME-NAME>,dst=<CONTAINER-PATH>,volume-driver=local,volume-opt=type=nfs,volume-opt=device=<nfs-server>:<nfs-path>,"volume-opt=o=addr=<nfs-address>,vers=4,soft,timeo=180,bg,tcp,rw"'
 --name myservice \
 <IMAGE>

初始设置

以下示例假设你有两个节点，其中第一个是 Docker 主机，并且可以使用 SSH 连接到第二个节点。

在 Docker 主机上，安装 rclone/docker-volume-rclone 插件

$ docker plugin install --grant-all-permissions rclone/docker-volume-rclone --aliases rclone

使用卷驱动创建卷

此示例将主机 1.2.3.4 上的 /remote 目录挂载到名为 rclonevolume 的卷中。每个卷驱动程序可能有零个或多个可配置选项，你可以使用 -o 标志指定每个选项。

$ docker volume create \
  -d rclone \
  --name rclonevolume \
  -o type=sftp \
  -o path=remote \
  -o sftp-host=1.2.3.4 \
  -o sftp-user=user \
  -o "sftp-password=$(cat file_containing_password_for_remote_host)"

现在可以将此卷挂载到容器中。

启动一个使用卷驱动创建卷的容器

注意

如果卷驱动程序要求你传递任何选项，则必须使用 --mount 标志挂载卷，而不是 -v。

$ docker run -d \
  --name rclone-container \
  --mount type=volume,volume-driver=rclone,src=rclonevolume,target=/app,volume-opt=type=sftp,volume-opt=path=remote, volume-opt=sftp-host=1.2.3.4,volume-opt=sftp-user=user,volume-opt=-o "sftp-password=$(cat file_containing_password_for_remote_host)" \
  nginx:latest

创建一个创建 NFS 卷的服务

以下示例展示了如何在创建服务时创建一个 NFS 卷。它使用 10.0.0.10 作为 NFS 服务器，并使用 /var/docker-nfs 作为 NFS 服务器上的导出目录。请注意，指定的卷驱动程序是 local。

NFSv3

$ docker service create -d \
  --name nfs-service \
  --mount 'type=volume,source=nfsvolume,target=/app,volume-driver=local,volume-opt=type=nfs,volume-opt=device=:/var/docker-nfs,volume-opt=o=addr=10.0.0.10' \
  nginx:latest

NFSv4

$ docker service create -d \
    --name nfs-service \
    --mount 'type=volume,source=nfsvolume,target=/app,volume-driver=local,volume-opt=type=nfs,volume-opt=device=:/var/docker-nfs,"volume-opt=o=addr=10.0.0.10,rw,nfsvers=4,async"' \
    nginx:latest

创建 CIFS/Samba 卷

你可以直接在 Docker 中挂载 Samba 共享，而无需在主机上配置挂载点。

$ docker volume create \
	--driver local \
	--opt type=cifs \
	--opt device=//uxxxxx.your-server.de/backup \
	--opt o=addr=uxxxxx.your-server.de,username=uxxxxxxx,password=*****,file_mode=0777,dir_mode=0777 \
	--name cif-volume

如果指定的是主机名而不是 IP 地址，则需要 addr 选项。这允许 Docker 执行主机名查找。

块存储设备

你可以将块存储设备（例如外部驱动器或驱动器分区）挂载到容器。以下示例展示了如何创建文件并将其用作块存储设备，以及如何将块设备作为容器卷挂载。

重要

以下过程仅为一个示例。此处展示的解决方案不建议作为一般实践。除非你对自己正在做的事情有信心，否则请勿尝试此方法。

块设备挂载的工作原理

在底层，使用 local 存储驱动程序的 --mount 标志会调用 Linux 的 mount 系统调用，并将其接收到的选项原封不动地转发过去。Docker 并未在 Linux 内核支持的原生挂载功能之上实现任何额外的功能。

如果你熟悉 Linux mount 命令，你可以认为 --mount 选项是以以下方式转发给 mount 命令的

$ mount -t <mount.volume-opt.type> <mount.volume-opt.device> <mount.dst> -o <mount.volume-opts.o>

为了进一步解释这一点，考虑以下 mount 命令示例。此命令将 /dev/loop5 设备挂载到系统上的 /external-drive 路径。

$ mount -t ext4 /dev/loop5 /external-drive

以下 docker run 命令从正在运行的容器的角度来看，可以实现类似的结果。使用此 --mount 选项运行容器会以与执行前一个示例中的 mount 命令相同的方式设置挂载。

$ docker run \
  --mount='type=volume,dst=/external-drive,volume-driver=local,volume-opt=device=/dev/loop5,volume-opt=type=ext4'

你不能直接在容器内部运行 mount 命令，因为容器无法访问 /dev/loop5 设备。这就是 docker run 命令使用 --mount 选项的原因。

示例：在容器中挂载块设备

以下步骤创建一个 ext4 文件系统并将其挂载到容器中。你的系统对文件系统的支持取决于你使用的 Linux 内核版本。

  1. 创建文件并为其分配一些空间

    $ fallocate -l 1G disk.raw

  2. 在 disk.raw 文件上构建文件系统

    $ mkfs.ext4 disk.raw

  3. 创建回环设备

    $ losetup -f --show disk.raw
/dev/loop5

    注意

    losetup 会创建一个临时回环设备，该设备在系统重启后或使用 losetup -d 手动移除后就会消失。

  4. 运行一个将回环设备作为卷挂载的容器

    $ docker run -it --rm \
  --mount='type=volume,dst=/external-drive,volume-driver=local,volume-opt=device=/dev/loop5,volume-opt=type=ext4' \
  ubuntu bash

    容器启动时，路径 /external-drive 将主机文件系统中的 disk.raw 文件作为块设备挂载。

  5. 完成后，且设备已从容器中卸载，分离回环设备以将设备从主机系统中移除

    $ losetup -d /dev/loop5

备份、恢复或迁移数据卷

卷对于备份、恢复和迁移非常有用。使用 --volumes-from 标志创建一个新的容器来挂载该卷。

备份卷

例如，创建一个名为 dbstore 的新容器

$ docker run -v /dbdata --name dbstore ubuntu /bin/bash

在下一个命令中

  • 启动一个新容器并挂载 dbstore 容器中的卷
  • 将本地主机目录挂载为 /backup
  • 传递一个命令，将 dbdata 卷的内容打包（tar）到 /backup 目录中的 backup.tar 文件。
$ docker run --rm --volumes-from dbstore -v $(pwd):/backup ubuntu tar cvf /backup/backup.tar /dbdata

当命令完成且容器停止时，它会创建 dbdata 卷的备份。

从备份恢复卷

使用刚刚创建的备份，你可以将其恢复到同一容器，或恢复到你在其他地方创建的另一个容器。

例如，创建一个名为 dbstore2 的新容器

$ docker run -v /dbdata --name dbstore2 ubuntu /bin/bash

然后，在新容器的数据卷中解包 (un-tar) 备份文件

$ docker run --rm --volumes-from dbstore2 -v $(pwd):/backup ubuntu bash -c "cd /dbdata && tar xvf /backup/backup.tar --strip 1"

你可以使用这些技术，利用你偏好的工具来自动化备份、迁移和恢复测试。

移除卷

Docker 数据卷在删除容器后仍然会保留。有两种类型的卷需要考虑

  • 命名卷有一个来自容器外部的特定源，例如 awesome:/bar。
  • 匿名卷没有特定的源。因此，当容器被删除时，你可以指示 Docker Engine daemon 将其移除。

移除匿名卷

要自动移除匿名卷，请使用 --rm 选项。例如，此命令会创建一个匿名的 /foo 卷。当你移除容器时，Docker Engine 会移除 /foo 卷，但不会移除 awesome 卷。

$ docker run --rm -v /foo -v awesome:/bar busybox top

注意

如果另一个容器使用 --volumes-from 绑定卷，则卷定义会被复制，并且在第一个容器移除后，匿名卷也会保留。

移除所有卷

移除所有未使用的卷并释放空间

$ docker volume prune

下一步

页面选项