linuxkit/containerd Docker 镜像 - 轩辕镜像

LinuxKit containerd 镜像文档

一、镜像概述和主要用途

本镜像基于 LinuxKit 项目的 containerd 包构建（源码路径：[***]），提供轻量级、可定制的 containerd 容器运行时环境。

containerd 是一个工业级容器运行时，专注于容器生命周期管理的核心功能。本镜像旨在将 containerd 与 LinuxKit 的轻量级、模块化特性结合，提供适用于资源受限环境的容器运行时支持，可作为独立容器运行时或集成到容器编排系统中。

二、核心功能和特性

核心功能

• 容器生命周期管理：支持容器的创建、启动、停止、暂停、恢复及删除等全生命周期操作。
• 镜像管理：提供镜像拉取、存储、校验及分发能力，支持OCI（开放容器倡议）标准镜像格式。
• 存储管理：支持多种存储后端（如overlayfs、devicemapper），管理容器镜像和数据卷的持久化存储。
• 网络管理：集成基础网络功能，支持容器网络命名空间、桥接网络等配置。
• OCI兼容：完全兼容OCI运行时规范和镜像规范，可与符合OCI标准的工具链（如Docker、CRI-O）协同工作。

特性

• 轻量级：基于LinuxKit最小化系统构建，镜像体积小，资源占用低。
• 模块化：继承LinuxKit的模块化设计，可按需裁剪功能组件。
• 可定制：支持通过LinuxKit工具链自定义镜像配置（如内核版本、组件集成）。
• 安全性：遵循LinuxKit的安全最佳实践，默认启用最小权限原则。

三、使用场景和适用范围

适用场景

• 边缘计算环境：适用于资源受限的边缘设备（如物联网网关、工业控制器），提供轻量级容器运行时。
• 嵌入式系统：作为嵌入式Linux系统的容器引擎，支持应用容器化部署。
• CI/CD流水线：用于构建、测试环境中的容器生命周期管理，提升环境一致性。
• Kubernetes节点运行时：可作为Kubernetes集群的容器运行时（需配合CRI插件），替代Docker等运行时。
• 微服务部署：在轻量级基础设施中运行微服务容器，降低资源开销。

四、使用方法和配置说明

4.1 基本使用（docker run 命令）

启动容器时需注意：containerd 需访问主机内核功能，因此需以特权模式运行，并挂载必要的系统目录。

bash
docker run -d \
  --name linuxkit-containerd \
  --privileged \
  --restart always \
  -v /var/lib/containerd:/var/lib/containerd \  # 持久化containerd数据
  -v /run/containerd:/run/containerd \          # 运行时socket目录
  -v /sys/fs/cgroup:/sys/fs/cgroup \            # cgroup支持（如需限制容器资源）
  linuxkit/containerd:latest

4.2 docker-compose 配置示例

yaml
version: '3.8'
services:
  containerd:
    image: linuxkit/containerd:latest
    container_name: linuxkit-containerd
    privileged: true
    restart: always
    volumes:
      - /var/lib/containerd:/var/lib/containerd
      - /run/containerd:/run/containerd
      - /sys/fs/cgroup:/sys/fs/cgroup
    # 可选：暴露metrics端口（如需监控）
    ports:
      - "1338:1338"  # containerd metrics默认端口

4.3 配置文件说明

containerd 的核心配置文件为 config.toml，默认路径为 /etc/containerd/config.toml。如需自定义配置，可通过挂载外部配置文件覆盖默认配置：

bash
docker run -d \
  --name linuxkit-containerd \
  --privileged \
  -v /path/to/custom/config.toml:/etc/containerd/config.toml \  # 挂载自定义配置
  -v /var/lib/containerd:/var/lib/containerd \
  -v /run/containerd:/run/containerd \
  linuxkit/containerd:latest

关键配置项示例（config.toml）：

toml
version = 2

# 根目录配置（数据存储路径）
root = "/var/lib/containerd"
# 状态目录（运行时状态文件）
state = "/run/containerd"

# 镜像仓库配置（如私有仓库）
[plugins."io.containerd.grpc.v1.cri".registry.mirrors]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
    endpoint = ["[***]"]  # Docker Hub镜像源

# 运行时配置（默认使用runc）
[plugins."io.containerd.runtime.v2.task"]
  runtime = "io.containerd.runc.v2"

4.4 环境变量配置

示例：通过环境变量设置日志级别为debug

bash
docker run -d \
  --name linuxkit-containerd \
  --privileged \
  -e CONTAINERD_LOG_LEVEL=debug \
  -v /var/lib/containerd:/var/lib/containerd \
  -v /run/containerd:/run/containerd \
  linuxkit/containerd:latest

4.5 验证运行状态

容器启动后，可通过 ctr（containerd命令行工具）验证功能：

1. 进入容器：

   bash
   docker exec -it linuxkit-containerd sh
   

2. 拉取测试镜像并运行容器：

   bash
   ctr images pull docker.io/library/busybox:latest
   ctr run -t --rm docker.io/library/busybox:latest test-container sh
   

   若成功进入busybox容器的sh终端，表明containerd运行正常。

五、注意事项

1. 特权模式：containerd 依赖内核命名空间、cgroup等功能，必须以 --privileged 模式运行。
2. 数据持久化：/var/lib/containerd 目录需挂载至主机，避免容器重启后数据丢失（如镜像、容器元数据）。
3. 内核兼容性：需确保主机内核版本 ≥ 4.19（containerd 最低内核要求），且启用必要内核模块（如overlay、netfilter）。
4. 资源限制：若需限制 containerd 自身资源（如CPU/内存），可通过 --cpus、--memory 参数配置（需挂载/sys/fs/cgroup）。
5. 网络配置：默认不包含高级网络插件（如Calico、Flannel），如需复杂网络功能，需额外部署CNI插件并挂载配置目录（如 -v /etc/cni/net.d:/etc/cni/net.d）。