daemon¶

デーモン・ソケットのオプション¶

Docker デーモンは Docker リモート API をリッスンできます。３種類のソケット、 unix 、 tcp 、 fd を通して利用できます。

デフォルトでは unix ドメイン・ソケット（あるいは IPC ソケット）が /var/run/docker.sock に作成されるため、 root 権限か docker グループへの所属が必要です。

Docker デーモンにリモートからの接続を考えているのであれば、 tcp ソケットを有効にする必要があります。デフォルトのセットアップでは、Docker デーモンとの暗号化や認証機能はありませんのでご注意ください。そして、安全に使うには 内蔵の HTTP 暗号化ソケット を使うべきです。あるいは安全なウェブ・プロキシをフロントに準備してください。ポート 2375 をリッスンしている場合は、全てのネットワークインターフェースで -H tcp://0.0.0.0:2375 を使うか、あるいは IP アドレスを -H tcp://192.168.59.103:2375 のように指定します。慣例として、デーモンとの通信が暗号化されていない場合はポート 2375 を、暗号化されている場合はポート 2376 を使います。

systemd をベースとするシステムでは、 Systemd ソケット・アクティベーション を通して、 docker damon -H fd:// で通信が可能です。 fd:// は大部分のセットアップで動作しますが、個々のソケットを docker daemon -H fd://3 のように指定できます。もし指定したソケットが見つからない婆は、Docker は終了します。Docker で Systemd ソケット・アクティベーションを使う例は Docker のソース・ツリー をご覧ください。

Docker デーモンは複数の -H オプションを使い、複数のソケットをリッスンできます。

# デフォルトの unix ソケットと、ホスト上の２つの IP アドレスをリッスンする
docker daemon -H unix:///var/run/docker.sock -H tcp://192.168.59.106 -H tcp://10.10.10.2

Docker クライアントは DOCKER_HOST 環境変数か -H フラグで接続できるようになります。

$ docker -H tcp://0.0.0.0:2375 ps
# あるいは
$ export DOCKER_HOST="tcp://0.0.0.0:2375"
$ docker ps
# どちらも同じです

DOCKER_TLS_VERIFY 環境変数が設定してあれば、コマンド実行時に --tlsverify フラグを都度指定するのと同じです。以下はいずれも同じです。

$ docker --tlsverify ps
# または
$ export DOCKER_TLS_VERIFY=1
$ docker ps

Docker クライアントは HTTP_PROXY 、 HTTPS_PROXY 、 NO_PROXY 環境変数を（あるいは小文字でも）使えます。 HTTPS_PROXY は HTTP_PROXY よりも上位です。

$ docker daemon \
      --storage-opt dm.thinpooldev=/dev/mapper/thin-pool

$ docker daemon --storage-opt dm.basesize=50G

$ sudo service docker stop
$ sudo rm -rf /var/lib/docker
$ sudo service docker start

$ docker daemon --storage-opt dm.basesize=20G

$ docker daemon --storage-opt dm.loopdatasize=200G

$ docker daemon --storage-opt dm.fs=ext4

$ docker daemon --storage-opt "dm.mkfsarg=-O ^has_journal"

$ docker daemon \
      --storage-opt dm.datadev=/dev/sdb1 \
      --storage-opt dm.metadatadev=/dev/sdc1

$ dd if=/dev/zero of=$metadata_dev bs=4096 count=1

$ docker daemon \
      --storage-opt dm.datadev=/dev/sdb1 \
      --storage-opt dm.metadatadev=/dev/sdc1

$ docker daemon --storage-opt dm.blocksize=512K

$ docker daemon --storage-opt dm.blkdiscard=false

$ docker info
[...]
Udev Sync Supported: true
[...]

$ docker daemon --storage-opt dm.override_udev_sync_check=true

$ docker daemon --storage-opt dm.use_deferred_removal=true

$ docker daemon \
      --storage-opt dm.use_deferred_deletion=true \
      --storage-opt dm.use_deferred_removal=true

$ docker daemon -s zfs --storage-opt zfs.fsname=zroot/docker

Docker 実行ドライバのオプション¶

Docker デーモンは Linux カーネルの namespaces 、 cgroups 、 SELinux に対するインターフェースとして、特別に作られた libcontainer 実行ドライバを使います。

lxc 実行ドライバを通して、オリジナルの LXC 名前空間ツール もレガシーとしてサポートします。しかし、新機能を追加するための重要な開発対象ではなくなっています。 -e lxc をデーモンのフラグに追加し、 lxc 実行ドライバを使えます。

ネイティブ実行ドライバのオプション¶

native (libcontainer) 実行ドライバは、 --exec-opt フラグを使ってオプションを指定できます。全てのオプションのフラグには、先頭に native が付きます。 native.cgroupdriver オプションが利用可能です。

native.cgroupdriver オプションはコンテナの cgroups 管理を指定します。 systemd の cgroupfs で指定可能です。 systemd で指定した時、対象が利用可能でなければ、システムは cgroupfs を使います。デフォルトでは、オプションの指定がない場合、実行ドライバはまず systemd と cgroupfs のフェイルバックを試みます。次の例は cgroupfs を実行ドライバに設定します。

$ sudo docker daemon --exec-opt native.cgroupdriver=cgroupfs

このオプション設定は、デーモンが起動した全てのコンテナに対して適用されます。

デーモンの DNS オプション¶

全ての Docker コンテナに向けての DNS サーバを設定するには、 docker damon --dns 8.8.8.8 を使います。

全ての Docker コンテナに向けて DNS 検索ドメインを設定するには、 docker daemon --dns-search example.com を使います。

安全ではないレジストリ¶

Docker はプライベート・レジストリが安全かそうでないかを確認します。このセクションでは、 レジストリ として プライベート・レジストリ (private registry) を使い、例としてプライベート・レジストリが myregistry:5000 で動作しているものとします。

安全なレジストリは、TLS を使い、CA 証明書のコピーが /etc/docker/certs.d/myregistry:5000/ca.crt にあります。安全ではないレジストリとは、TLS を使っていない場合（例：平文の HTTP をリッスン）や、TLS を使っていても Docker デーモンが知らない CA 証明書を使う場合を指します。後者であれば、証明書が /etc/docker/certs.d/myregistry:5000/ 以下に存在しないか、証明書の照合に失敗しています（例：CA が違う）。

デフォルトでは、Docker はローカルにあるレジストリ（以下のローカル・レジストリについてをご覧ください）は安全であるとみなします。Docker はレジストリが安全とみなさない限り、安全ではないレジストリとの通信はできません。安全ではないレジストリと通信できるようにするには、Docker デーモンに --insecure-registry という２つの形式のオプションが必要です。

• --insecure-registry myregistry:5000 Docker デーモンに対して、myregistry:5000 は安全ではないと考えられると伝えます。
• --insecure-registry 10.1.0.0/16 は Docker デーモンに対して、ドメインを逆引きすると、CIDR 構文で記述した対象のサブネット上の IP アドレスを持つ全てが安全ではないと伝えます。

このフラグは、複数のレジストリに対して安全ではないと複数回指定できます。

安全ではないレジストリを「安全ではない」と指定しなければ、 docker pull 、 docker push 、 docker search を実行してもエラーメッセージが帰ってきます。ユーザは安全なレジストリを使うか、あるいは先ほどのように --insecure-registry フラグで Docker デーモンに対して明示する必要があります。

IP アドレスが 127.0.0.0/8 の範囲にあるローカルのレジストリは、Docker 1.3.2 以降、自動的に安全ではないレジストリとしてマークされます。ですが、これを信用するのは推奨しません。将来のバージョンでは変更される可能性があります。

--insecure-registry を有効にするとは、暗号化されていない、あるいは信頼できない通信を可能にします。そのため、ローカル環境でのレジストリ実行には便利でしょう。しかし、セキュリティ上の脆弱性を生み出してしまうため、テスト目的のみで使うべきです。セキュリティを高めるには、 --insecure-registry を有効にするのではなく、信頼できる CA 機関が発行する CA を使うべきです。

過去のレジストリ¶

--disable-legacy-registry を有効にすると、Docker は V2 プロトコルをサポートしているデーモンとしか通信しないように強制します。この指定によって、デーモンは v1 レジストリへの push 、 pull 、 login を阻止します。例外として、v1 レジストリでも search のみ実行できます。

Docker デーモンを HTTPS_PROXY の背後で動かす¶

LAN の内部で HTTPS プロキシを使う場合、Docker Hub の証明書がプロキシの証明書に置き換えられます。これら証明書を、Docker ホストの設定に追加する必要があります。

1. 各ディストリビューションに対応する ca-certificates パッケージをインストールします。

2. ネットワーク管理者にプロキシの CA 証明書を訊ね、 /etc/pki/tls/certs/ca-bundle.crt に追加します。

3. Docker デーモンに HTTPS_PROXY=http://username:password@proxy:port/ docker daemon を付けて起動します。 username: と password@ はオプションです。そして、プロ指揮の認証設定も必要であれば追加します。

これは Docker デーモンのリクエストに対してプロキシと認証の設定を追加しただけです。 docker build でコンテナを実行する時は、プロキシを使うために更なる追加設定が必要です。

Ulimits のデフォルト¶

--default-ulimit を使い、全てのコンテナに対するデフォルトの ulimit オプションを指定できます。 docker run 時に --ulimit オプションを指定するのと同じです。デフォルトを設定しなければ、 ulimit 設定は継承されます。 docker run 時に設定されなければ、Docker デーモンから継承します。docker run 時のあらゆる --ulimit オプションは、デフォルトを上書きします。

noproc と ulimit フラグを使う時は注意してください。 noproc は Linux がユーザに対して利用可能な最大プロセス数を設定するものであり、コンテナ向けではありません。詳細については、 run リファレンスをご確認ください。

ノードのディスカバリ（検出）¶

--cluster-advertise オプションは、 ホスト:ポート あるいは インターフェース:ポート の組み合わせを指定します。これは、この特定のデーモン・インスタンスがクラスタに自分自身の存在を伝える（advertising）ために使います。リモートホストに到達するデーモンの情報を、ここに指定します。インターフェースを指定する場合は、実際の Docker ホスト上の IP アドレスも含められます。たとえば、 docker-machine を使ってインストールする時、典型的なインターフェースは eth1 です。

デーモンはクラスタ内のノードに存在を伝えるため、 libkv を使います。キーバリュー・バックエンドは同じ TLS をサポートします。デーモンが使用するクライアント TLS の設定は --cluster-store-opt フラグを使い、PEM エンコード・ファイルのパスを指定します。実行例：

docker daemon \
    --cluster-advertise 192.168.1.2:2376 \
    --cluster-store etcd://192.168.1.2:2379 \
    --cluster-store-opt kv.cacertfile=/path/to/ca.pem \
    --cluster-store-opt kv.certfile=/path/to/cert.pem \
    --cluster-store-opt kv.keyfile=/path/to/key.pem

現在サポートされているクラスタ・ストアのオプションは：

• kv.cacertfile

信頼すべき CA 証明書がエンコードされた PEM のローカル・パスを指定します。

• kv.certfile

証明書でエンコードされた PEM のローカル・パスを指定。この証明書はクライアントがキーバリュー・ストアとの通信の証明に使います。

• kv.keyfile

秘密鍵がエンコードされた PEM のローカル・パスを指定します。この秘密鍵はクライアントがキーバリュー・ストアと通信時に鍵として使います。

• kv.path

キーバリュー・ストアのパスを指定します。指定しなければ、デフォルトの docker/nodes が使われます。

アクセス認証¶

Docker のアクセス認証は認証プラグインの拡張であり、組織が組織自身で購入・構築できます。認証プラグイン（authorization plugin）を使うには、Docker daemon で --authorization-plugin=PLUGIN_ID オプションを使って起動します。

docker daemon --authorization-plugin=plugin1 --authorization-plugin=plugin2,...

PLUGIN_ID の値とは、プラグイン名かファイルのパスを指定します。どのプラグインを実装するかを決めるのは、名前またはパスです。あなたの Docker 管理者に対して、利用可能なプラグインの情報をお訊ねください。

プラグインをインストール後は、コマンドラインや Docker のリモート API を実行する時、プラグインを許可するか許可しないかを選べます。複数のプラグインをインストールした場合は、最後の１つだけが処理されます。

認証プラグインの作成方法については、この Docker ドキュメントの拡張に関するセクションにある 認証プラグイン をご覧ください。

デーモンのユーザ名前空間オプション¶

Linux カーネルの ユーザ名前空間(user namespace)サポート はプロセスに対する追加のセキュリティを提供します。これを使えば、コンテナでユーザ ID とグループ ID を使う場合、それをコンテナの外、つまり Docker ホスト上で使うユーザ ID とグループ ID のユニークな範囲を指定できます。これは重要なセキュリティ改善になる可能性があります。デフォルトでは、コンテナのプロセスは root ユーザとして実行されるので、コンテナ内で管理特権（と制限）を持っていることが予想されます。しかし、その影響はホスト上の権限の無い uid に対して割り当てられます。

ユーザ名前空間のサポートを有効化すると、Docker はデーモンが扱うマッピングを作成します。これは、同じ Engine のインスタンス上で実行する全コンテナと対応するものです。マッピングを使い、従属ユーザ（subordinate user）ID と従属グループ ID を活用します。この機能は最近の全ての Linux ディストリビューション上において利用可能です。 --userns-remap パラメータを指定することで、 /etc/subuid と /etc/subguid ファイルがユーザとオプションのグループ用に使われます。このフラグに自分でユーザとグループを指定しなければ、ここでは default が指定されます。 default のユーザとは dockremap と言う名前であり、各ディストリビューションの一般的なユーザとグループ作成ツールを使い、 /etc/passwd と /etc/group にエントリが追加されます。

$ docker daemon --userns-remap=default

$ cat /etc/subuid
user1:100000:65536
dockremap:165536:65536

その他のオプション¶

IP マスカレードはコンテナがパブリック IP を持っていなくても、インターネット上の他のマシンと通信するための仕組みです。これにより、インターフェースは複数のネットワーク・トポロジを持ちますが、 --ip-masq=false を使って無効化できます。

Docker は Docker データ／ディレクトリ（ /var/lib/docker ）と /var/lib/docker/tmp に対するソフトリンクをサポートしています。 DOCKER_TMPDIR を使っても、データディレクトリを次のように指定可能です。

DOCKER_TMPDIR=/mnt/disk2/tmp /usr/local/bin/docker daemon -D -g /var/lib/docker -H unix:// > /var/lib/docker-machine/docker.log 2>&1
# あるいは
export DOCKER_TMPDIR=/mnt/disk2/tmp
/usr/local/bin/docker daemon -D -g /var/lib/docker -H unix:// > /var/lib/docker-machine/docker.log 2>&1

デフォルトの親 cgroup¶

--cgroup-parent オプションは、コンテナがデフォルトで使う親 cgroup （cgroup parent）を指定できます。オプションを設定しないと、 /docker を fs cgroup ドライバとして使います。また system.slice を systemd cgroup ドライバとして使います。

cgroup はスラッシュ記号（ / ）で始まるルート cgroup の下に作成されますが、他の cgroup は daemon cgroup の下に作成されます。

デーモンが cgroup daemoncgroup で実行されており、--cgroup-parent=/foobar で /sys/fs/cgroup/memory/foobar の中に cgroup を作成すると仮定すると、 --cgroup-parent=foobar は /sys/fs/cgroup/memory/daemoncgroup/foobar に cgroup を作成します。

これらの指定はコンテナに対しても可能です。 docker create と docker run の実行時に --cgroup-parent を使うと、デーモンのオプションで指定した --cgroup-parent よりも優先されます。

デーモン設定ファイル¶

--config-file オプションを使うと、デーモンに対する設定オプションを JSON 形式で指定できます。このファイルでは、フラグと同じ名前をキーとします。ただし、複数の項目を指定可能なフラグの場合は、キーを複数形で指定します（例： label フラグの指定は labels になります ）。デフォルトは、 Linux の場合は /etc/docker/daemon.json にある設定ファイルを Docker が読み込もうとします。Windows の場合は %programdata%\docker\config\daemon.json です。

設定ファイル上のオプションは、フラグで指定するオプションと競合してはいけません。ファイルとフラグが重複したまま docker デーモンを起動しようとしても、どのような値を指定しても、起動に失敗します。例えば、デーモンの起動時にラベルを設定ファイルで定義し、かつ、 --label フラグを指定すると、デーモンは起動に失敗します。

デーモン起動時、ファイルに記述しないオプション項目は無視します。次の例は、利用可能な全てのオプションをファイルに記述したものです。

{
     "authorization-plugins": [],
     "dns": [],
     "dns-opts": [],
     "dns-search": [],
     "exec-opts": [],
     "exec-root": "",
     "storage-driver": "",
     "storage-opts": "",
     "labels": [],
     "log-driver": "",
     "log-opts": [],
     "mtu": 0,
     "pidfile": "",
     "graph": "",
     "cluster-store": "",
     "cluster-store-opts": [],
     "cluster-advertise": "",
     "debug": true,
     "hosts": [],
     "log-level": "",
     "tls": true,
     "tlsverify": true,
     "tlscacert": "",
     "tlscert": "",
     "tlskey": "",
     "api-cors-headers": "",
     "selinux-enabled": false,
     "userns-remap": "",
     "group": "",
     "cgroup-parent": "",
     "default-ulimits": {},
       "ipv6": false,
       "iptables": false,
       "ip-forward": false,
       "ip-mask": false,
       "userland-proxy": false,
       "ip": "0.0.0.0",
       "bridge": "",
       "bip": "",
       "fixed-cidr": "",
       "fixed-cidr-v6": "",
       "default-gateway": "",
       "default-gateway-v6": "",
       "icc": false
}