1. 项目背景与核心价值在当代软件开发流程中持续集成与持续交付CI/CD已成为团队协作的标配基础设施。传统Jenkins等方案虽然功能全面但对于中小团队或初创项目而言往往存在资源消耗大、维护成本高的问题。这正是我们选择在CentOS7系统上基于Docker构建轻量化CI/CD系统的原因——它既能满足日常自动化构建、测试、部署的核心需求又保持了极低的基础设施开销。我曾在三个不同规模的团队中实施过这套方案实测单个Docker容器即可支撑10人开发团队的日常构建需求资源占用仅为传统方案的1/3。特别是在处理微服务架构时容器化的构建环境能够完美解决在我机器上能跑的经典难题。2. 环境准备与基础配置2.1 CentOS7系统优化在开始安装前建议先对基础系统进行必要的优化配置。以下是我在多个生产环境中验证过的标准操作# 更新系统基础软件包 sudo yum update -y # 安装基础工具集 sudo yum install -y yum-utils device-mapper-persistent-data lvm2 # 关闭不必要的防火墙规则测试环境 sudo systemctl stop firewalld sudo systemctl disable firewalld # 设置SELinux为permissive模式 sudo setenforce 0 sudo sed -i s/^SELINUXenforcing$/SELINUXpermissive/ /etc/selinux/config注意生产环境如需保留防火墙需额外开放Docker使用的2375端口以及后续CI/CD工具所需的端口范围2.2 Docker存储驱动选择CentOS7默认使用devicemapper存储驱动但在实际使用中我发现overlay2性能更优。修改方法# 创建或修改daemon.json sudo tee /etc/docker/daemon.json -EOF { storage-driver: overlay2, storage-opts: [ overlay2.override_kernel_checktrue ] } EOF验证配置生效docker info | grep Storage Driver3. Docker引擎安装详解3.1 官方源安装推荐使用官方仓库而非EPEL源确保获得最新稳定版本# 添加官方仓库 sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo # 安装Docker CE sudo yum install -y docker-ce docker-ce-cli containerd.io # 启动并设置开机自启 sudo systemctl start docker sudo systemctl enable docker3.2 国内用户加速配置对于位于国内的服务器建议配置镜像加速器。这是我收集的目前可用的加速地址sudo mkdir -p /etc/docker sudo tee /etc/docker/daemon.json -EOF { registry-mirrors: [ https://docker.mirrors.ustc.edu.cn, https://hub-mirror.c.163.com, https://mirror.baidubce.com ] } EOF sudo systemctl daemon-reload sudo systemctl restart docker验证加速器是否生效docker info | grep -A 1 Registry Mirrors4. 关键组件部署实践4.1 Docker-Compose安装虽然可以使用docker-compose的容器版本但我更推荐二进制安装方式# 获取最新稳定版 COMPOSE_VERSION$(curl -s https://api.github.com/repos/docker/compose/releases/latest | grep tag_name: | sed -E s/.*([^]).*/\1/) # 下载安装 sudo curl -L https://github.com/docker/compose/releases/download/${COMPOSE_VERSION}/docker-compose-$(uname -s)-$(uname -m) -o /usr/local/bin/docker-compose # 设置权限 sudo chmod x /usr/local/bin/docker-compose # 验证安装 docker-compose --version4.2 容器网络规划合理的网络规划能避免后续的端口冲突问题。我通常采用以下策略# 创建专用桥接网络 docker network create --driver bridge --subnet172.28.0.0/16 ci-cd-net # 查看网络配置 docker network inspect ci-cd-net5. 典型问题解决方案5.1 磁盘空间管理Docker默认存储路径为/var/lib/docker随着使用容易爆满。建议通过软链接迁移到大容量分区# 停止Docker服务 sudo systemctl stop docker # 迁移数据 sudo mv /var/lib/docker /data/docker sudo ln -s /data/docker /var/lib/docker # 重启服务 sudo systemctl start docker5.2 容器日志轮转未配置日志轮转会导致容器日志占用大量空间。修改daemon.json添加限制{ log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }6. 安全加固措施6.1 非root用户操作为日常使用添加docker用户组权限# 创建docker用户组如果不存在 sudo groupadd docker # 添加当前用户到组 sudo usermod -aG docker $USER # 生效配置 newgrp docker6.2 API访问控制如需开启远程API务必配置TLS加密。以下是自签名证书生成方法# 创建CA证书 openssl genrsa -aes256 -out ca-key.pem 4096 openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem # 创建服务端证书 openssl genrsa -out server-key.pem 4096 openssl req -subj /CN$(hostname) -sha256 -new -key server-key.pem -out server.csr echo subjectAltName DNS:$(hostname),IP:$(hostname -i) extfile.cnf openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -extfile extfile.cnf # 配置Docker使用TLS sudo mv {ca,server-cert,server-key}.pem /etc/docker/ sudo chmod 0400 /etc/docker/server-key.pem sudo chmod 0444 /etc/docker/{ca,server-cert}.pem7. 性能调优技巧7.1 内核参数优化在/etc/sysctl.conf中添加以下参数提升容器性能# 容器网络性能优化 net.ipv4.ip_forward 1 net.bridge.bridge-nf-call-iptables 1 net.bridge.bridge-nf-call-ip6tables 1 # 文件系统缓存 vm.swappiness 10 vm.overcommit_memory 1应用配置sudo sysctl -p7.2 存储驱动优化对于overlay2驱动可以添加以下mount选项提升性能# 编辑/etc/fstab UUIDyour-disk-uuid /var/lib/docker xfs defaults,pquota,prjquota 0 08. 监控与维护8.1 基础监控方案推荐使用cAdvisorPrometheus的组合# 启动cAdvisor容器 docker run \ --volume/:/rootfs:ro \ --volume/var/run:/var/run:ro \ --volume/sys:/sys:ro \ --volume/var/lib/docker/:/var/lib/docker:ro \ --volume/dev/disk/:/dev/disk:ro \ --publish8080:8080 \ --detachtrue \ --namecadvisor \ --privileged \ --device/dev/kmsg \ gcr.io/cadvisor/cadvisor:v0.47.08.2 日志集中管理使用ELK栈收集容器日志的docker-compose示例version: 3 services: elasticsearch: image: docker.elastic.co/elasticsearch/elasticsearch:7.17.0 environment: - discovery.typesingle-node volumes: - esdata:/usr/share/elasticsearch/data ports: - 9200:9200 kibana: image: docker.elastic.co/kibana/kibana:7.17.0 ports: - 5601:5601 depends_on: - elasticsearch logstash: image: docker.elastic.co/logstash/logstash:7.17.0 volumes: - ./logstash.conf:/usr/share/logstash/pipeline/logstash.conf ports: - 5000:5000 depends_on: - elasticsearch volumes: esdata: driver: local9. 实际应用案例9.1 典型CI/CD流水线配置以下是一个基于Docker的Node.js项目构建示例# Dockerfile.build FROM node:16 as builder WORKDIR /app COPY package*.json ./ RUN npm install COPY . . RUN npm run build # 生产镜像 FROM nginx:alpine COPY --frombuilder /app/dist /usr/share/nginx/html EXPOSE 80对应的Jenkinsfile配置pipeline { agent any stages { stage(Build) { steps { sh docker build -t app-builder -f Dockerfile.build . } } stage(Test) { steps { sh docker run --rm app-builder npm test } } stage(Deploy) { steps { sh docker build -t production-image -f Dockerfile.prod . sh docker tag production-image registry.example.com/app:v${BUILD_NUMBER} sh docker push registry.example.com/app:v${BUILD_NUMBER} } } } }9.2 多阶段构建优化对于Java项目我推荐使用多阶段构建大幅减小镜像体积# 第一阶段构建环境 FROM maven:3.8.6-openjdk-11 as builder WORKDIR /app COPY pom.xml . RUN mvn dependency:go-offline COPY src/ ./src/ RUN mvn package -DskipTests # 第二阶段运行时环境 FROM openjdk:11-jre-slim WORKDIR /app COPY --frombuilder /app/target/*.jar ./app.jar EXPOSE 8080 ENTRYPOINT [java,-jar,app.jar]这种构建方式可以将典型Spring Boot应用的镜像体积从500MB降低到150MB左右。