Исследование файловой системы Docker-контейнеров: Полное руководство

Узнайте несколько методов исследования файловых систем Docker-контейнеров, включая docker exec, копирование файлов, доступ по SSH и специализированные инструменты вроде Dive. Эффективно исследуйте содержимое и конфигурации контейнеров.

Авторы: НейроАгент

20.11.2025, 09:51

Как исследовать и изучать файловую систему Docker-контейнера? Мне нужно понять, какие файлы и конфигурации существуют внутри контейнера, особенно при работе с образами, загруженными из Docker registry, где содержимое не сразу очевидно. Какие инструменты или методы доступны для проверки файловых систем контейнеров, и возможно ли подключаться к контейнерам по SSH или использовать эквивалентные подходы для исследования?

Вы можете исследовать файловую систему Docker-контейнера с помощью нескольких методов: интерактивный доступ к оболочке через docker exec, копирование файлов с помощью docker cp, создание снимков образов с помощью docker commit, использование специализированных инструментов вроде Dive для пошаговой проверки слоев или настройку SSH-доступа для постоянного исследования. Эти подходы позволяют изучать содержимое контейнеров, конфигурации и структуры файлов независимо от того, работает контейнер или остановлен, а также работать с образами из Docker registry, содержимое которых не сразу видно.

Содержание

Интерактивный доступ к оболочке с Docker Exec
Метод копирования файлов
Создание снимков с Docker Commit
SSH-доступ к контейнерам
Специализированные инструменты исследования
Прямой доступ к файловой системе
Исследование через Docker Desktop UI

Интерактивный доступ к оболочке с Docker Exec

Наиболее прямой метод исследования файловой системы Docker-контейнера - использование docker exec для запуска интерактивной сессии оболочки. Этот подход работает, когда контейнер уже запущен и имеет доступную оболочку.

Базовая команда:

bash

docker exec -it <имя-контейнера-или-id> /bin/bash

Ключевые параметры:

-i - оставляет STDIN открытым для интерактивного использования
-t - выделяет псевдо-TTY
/bin/bash - запускаемая оболочка (для Alpine-контейнеров используйте /bin/sh)

Если в контейнере не установлен bash, может потребоваться использовать другую оболочку:

bash

docker exec -it <имя-контейнера-или-id> /bin/sh

Этот метод особенно полезен для быстрого исследования работающих контейнеров и позволяет перемещаться по файловой системе с помощью стандартных Linux-команд, таких как ls, cd, cat, find и т.д. Согласно официальной документации Docker, это рекомендуемый подход для интерактивного исследования.

Метод копирования файлов

Команда docker cp позволяет копировать файлы между контейнером и хост-системой, что дает возможность изучать конкретные файлы без запуска интерактивной оболочки.

Синтаксис:

bash

# Копирование из контейнера на хост
docker cp <контейнер>:/путь/к/файлу/в/контейнере /путь/на/хосте

# Копирование с хоста в контейнер
docker cp /путь/на/хосте <контейнер>:/путь/к/файлу/в/контейнере

Примеры:

bash

# Копирование всего каталога из контейнера
docker cp my_container:/etc/ ./backup/

# Копирование конкретного файла конфигурации
docker cp my_container:/etc/nginx/nginx.conf ./nginx.conf

# Копирование логов приложения
docker cp my_container:/var/log/app.log ./debug.log

Этот метод особенно полезен, когда нужно изучить только определенные файлы, а не всю файловую систему. Как отмечено в TheCodeBuzz, этот метод также ценен для остановленных или приостановленных контейнеров, так как он работает независимо от состояния контейнера.

Создание снимков с Docker Commit

Когда вам нужно создать постоянный снимок файловой системы контейнера для исследования, вы можете использовать docker commit для создания нового образа из текущего состояния контейнера.

Процесс:

Определите ваш работающий контейнер:

bash

docker ps

Создайте снимок образа:

bash

docker commit <id-контейнера> <новое-имя-образа>

Исследуйте файловую систему с помощью снимка:

bash

docker run -t -i <новое-имя-образа> /bin/bash

Пример рабочего процесса:

bash

# Найти ID контейнера
docker ps

# Создать снимок (ID контейнера: 12345678904b5)
docker commit 12345678904b5 my_snapshot

# Исследовать снимок
docker run -t -i my_snapshot /bin/bash

Этот метод позволяет оценить файловую систему работающего контейнера в конкретный момент времени. Исходный контейнер продолжает работать и не затрагивается процессом исследования. Как объяснено в ответе на Stack Overflow, вы можете позже удалить снимок образа, когда закончите:

bash

docker rmi my_snapshot

SSH-доступ к контейнерам

Для постоянного доступа к файловой системе контейнера вы можете установить и запустить SSH внутри контейнера. Это особенно полезно для контейнеров, которым потребуется постоянный доступ или для удаленного исследования.

Настройка SSH в контейнере:

Установить SSH-сервер в контейнере:

bash

# Для контейнеров на базе Ubuntu/Debian
apt-get update && apt-get install -y openssh-server

# Для Alpine-контейнеров
apk add openssh-server

Настроить SSH:

bash

mkdir -p /var/run/sshd
echo 'root:вашпароль' | chpasswd
sed -i 's/#PermitRootLogin prohibit-password/PermitRootLogin yes/' /etc/ssh/sshd_config

Запустить SSH-демон:

bash

/usr/sbin/sshd -D

Запустить контейнер с SSH:

bash

docker run -d -p 22:22 my_image /usr/sbin/sshd -D

Подключиться через SSH:

bash

ssh root@localhost -p <порт>

Альтернативный метод с использованием существующих контейнеров:
Если у вас есть работающий контейнер без SSH, вы можете изменить его:

bash

# Войти в контейнер
docker exec -it <контейнер> /bin/bash

# Установить SSH (пример для Ubuntu)
apt-get update && apt-get install -y openssh-server

# Запустить службу SSH
service ssh start

Согласно Netmaker, SSH-доступ обеспечивает безопасный и стандартизированный удаленный доступ, что особенно полезно в распределенных средах, где контейнеры могут работать на разных хостах или облачных провайдерах. Он также бесценен для отладки производственных проблем, когда логов недостаточно.

Специализированные инструменты исследования

Существует несколько специализированных инструментов для исследования файловых систем Docker-контейнеров с расширенными функциями, такими как проверка слоев и визуальное представление.

Dive

Dive - это инструмент с открытым исходным кодом, специально разработанный для визуализации содержимого Docker-образов слой за слоем.

Установка:

bash

# macOS
brew install dive

# Linux
curl -L https://github.com/wagoodman/dive/releases/latest/download/dive_*.deb -o dive.deb
sudo dpkg -i dive.deb

# Установка через Go
go install github.com/wagoodman/dive@latest

Использование:

bash

dive <имя-образа>

Dive предоставляет графический интерфейс на основе терминала, который показывает:

Изменения файловой системы в каждом слое
Анализ размера файлов и каталогов
Навигацию слой за слоем
Интерактивное древовидное浏览 файлов

Как описано в HowToGeek, Dive использует подход на основе слоев и выделяет изменения файловой системы, сделанные с каждым новым слоем, что делает его идеальным для понимания состава образа и оптимизации размеров контейнеров.

Метод извлечения Tar

Вы можете извлечь содержимое файловой системы контейнера в виде tar-файла и изучить его локально:

bash

# Сохранить файловую систему контейнера как tar
docker save <имя-образа> > image.tar

# Извлечь tar-файл
mkdir extracted
cd extracted
tar -xvf ../image.tar

# Исследовать файловую систему
find . -name "*.conf" | head -20

Как показано в руководстве Baeldung, вы можете использовать tar -tvf для просмотра содержимого без извлечения:

bash

tar -tvf hello.tar

Этот метод особенно полезен для анализа образов контейнеров без необходимости их запуска.

Прямой доступ к файловой системе

Docker хранит файловые системы контейнеров на файловой системе хоста, обычно в каталоге /var/lib/docker/overlay2. Вы можете получить к ним прямой доступ для расширенного исследования.

Расположение файловых систем контейнеров:

bash

# Найти расположение каталога overlay2
docker info | grep "Docker Root Dir"

# Перечислить работающие контейнеры и пути к их файловым системам
ls /var/lib/docker/containers/

# Получить доступ к файловой системе конкретного контейнера
ls /var/lib/docker/overlay2/<id-контейнера>/

Понимание структуры overlay2:

LowerDir - содержит только для чтения слои из образа
UpperDir - содержит записываемый слой контейнера
Merged - объединенный вид всех слоев

Как объяснено в Pixie Labs, файлы контейнера хранятся на файловой системе хоста, но организованы в сложную структуру overlay2, которая объединяет несколько слоев. Понимание этой структуры помогает в прямом доступе к файловой системе и отладке.

Исследование через Docker Desktop UI

Для пользователей, работающих с Docker Desktop, существует встроенный интерфейс для исследования файловой системы.

Использование Docker Desktop:

Откройте Docker Desktop
Перейдите на вкладку “Контейнеры”
Щелкните правой кнопкой мыши по контейнеру (работающему или остановленному)
Выберите “Файлы” для исследования файловой системы

Согласно официальной документации Docker, это предоставляет удобный графический интерфейс для исследования файловых систем контейнеров без необходимости использования командной строки.

Заключение

Исследование файловых систем Docker-контейнеров можно выполнить несколькими способами в зависимости от ваших конкретных потребностей:

Для быстрого интерактивного исследования используйте docker exec для запуска сессии оболочки в работающих контейнерах
Для целевого изучения файлов используйте docker cp для копирования конкретных файлов без полного доступа к контейнеру
Для постоянного анализа создавайте снимки образов с помощью docker commit или настраивайте SSH-доступ
Для расширенного анализа образов используйте специализированные инструменты вроде Dive для пошаговой проверки слоев
Для прямого доступа к файловой системе исследуйте структуру overlay2 на хост-системе

Выбор метода зависит от того, работает контейнер или нет, нужен ли временный или постоянный доступ, и уровня детализации, требуемого для исследования. Каждый метод имеет свои преимущества - от простоты docker exec до всестороннего анализа, предоставляемого инструментами вроде Dive.

Для большинства пользователей начинать с docker exec для интерактивного исследования и docker cp для целевого копирования файлов будет охватывать большинство случаев использования. При работе с загруженными образами из Docker registry, содержимое которых не сразу очевидно, инструменты вроде Dive предоставляют бесценную информацию о составе образа и структуре слоев.

Источники

Авторы

НейроАгент

Автор

Проверено модерацией

НейроОтветы

Модерация