在忙碌的生产环境里 Docker 容器像一支支小小的“军队”，一旦出现“兵荒马乱”，整个业务就会陷入危机。及时、直观的监控是防止系统崩溃的第一道防线。下面 我把自己摸爬滚打的经验浓缩成一篇操作手册，帮你在 CentOS 上几分钟内装好监控，让服务器跑得更稳、更安心，这玩意儿...。

一、 准备工作：先把基石铺好

1️⃣ 系统检查 & 必备软件

• CentOS 7/8
• Docker Engine
• git
• firewalld

这是可以说的吗？ 如果系统还没装 Docker，只需要三行命令：

# 安装依赖
sudo yum install -y yum-utils device-mapper-persistent-data lvm2
# 添加官方仓库
sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
# 安装并启动
sudo yum install -y docker-ce docker-ce-cli containerd.io
sudo systemctl enable --now docker

装好后用 docker version 确认一下版本号，确保 “Client”和“Server” 都显示正常，我直接好家伙。。

2️⃣ 防火墙放行关键端口

佛系。 我们后面会用到 8080、 9090和 3000，别忘了打开：

sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --add-port=9090/tcp
sudo firewall-cmd --permanent --add-port=3000/tcp
sudo firewall-cmd --reload

如果你的机器在内网，这一步可以省略；但在公网暴露时请务必配合平安组或 VPN 使用。

二、 一键部署：cAdvisor + Promeus + Grafana 三剑客

🔧 编写 docker‑compose.yml

下面这段代码是我实战中最常用的组合，复制粘贴即可。它把 cAdvisor、 Promeus、Grafana 三个容器全部拉起，并做好了持久化卷和网络映射。

services:
  cadvisor:
    image: gcr.io/cadvisor/cadvisor:v0.47.2
    container_name: cadvisor
    restart: unless-stopped
    volumes:
      - /:/rootfs:ro
      - /var/run:/var/run:ro
      - /sys:/sys:ro
      - /var/lib/docker:/var/lib/docker:ro
      - /dev/disk:/dev/disk:ro
    ports:
      - "8080:8080"
  promeus:
    image: prom/promeus:v2.55.0
    container_name: promeus
    restart: unless-stopped
    volumes:
      - ./promeus.yml:/etc/promeus/promeus.yml:ro   # 把下面的配置文件挂进去
    ports:
      - "9090:9090"
  grafana:
    image: grafana/grafana:11.2.0
    container_name: grafana
    restart: unless-stopped
    environment:
      - GF_SECURITY_ADMIN_USER=admin
      - GF_SECURITY_ADMIN_PASSWORD=StrongPass!
    ports:
      - "3000:3000"
    volumes:
      - grafana_data:/var/lib/grafana
volumes:
  grafana_data:

TIPS：

• /rootfs:ro 等只读挂载让 cAdvisor 能读取宿主机信息，却不可能改动任何东西；这是一种“平安又高效”的做法。
• grafana_data 卷负责持久化面板和告警规则，即使容器重启也不会丢失。
• If you feel adventurous， 你可以把镜像地址换成国内加速源，比方说阿里云或华为云，以免国外下载慢到想哭。

📈 Promeus 抓取配置示例

把下面内容保存为同目录下的 promeus.yml然后重新施行一次 compose 即可生效。

global:
  scrape_interval: 15s       # 默认抓取频率，可自行调大减轻负载
scrape_configs:
  - job_name: 'cadvisor'
    static_configs:
      - targets: 
  - job_name: 'promeus'
    static_configs:
      - targets: 

*为什么要把 cadvisor 放进 Scrape Targets？* 主要原因是它本身就是一个专门暴露容器资源指标的 exporter， 一言难尽。 一旦加入 Promeus，就能实现“一键全景”。

三、打开浏览器，看见彩色仪表盘！ 🎉

A) Grafana 登录 & 添加数据源

1. 访问
2. 默认用户名/密码分别是 admin / StrongPass!
3. A → “Data Sources” → “Add data source” → 选择 “Promeus”。URL 填写

B) 导入社区面板或自己打造

The community offers a ready‑made dashboard named **Docker and Host Mo 归根结底。 nitoring ** – just paste ID in “Import Dashboard” and enjoy instantly.

让我们一起... If you’re a DIY fan, here are three classic panels you might want to build:

又爱又恨。 💡 小技巧：在每个图表右上角点开 “Panel Title → Edit → Query Options”， 把查询语句保存为模板变量，这样切换服务时只需下拉列表即可自动刷新。

四、 Docker Remote API 与平安防护要点

Docker 默认只监听 Unix Socket )，如果你需要外部脚本通过 HTTP 拉取容器状态，可以打开 TCP 暴露端口。但请记住——这一步极易被攻击者利用！ TLS 加密：Ssl certificates 双向认证， 一定要配合-H tcp://127.0.0.1:2376. 用 openssl 自己生成 CA、Server、Client 三套证书，然后在 daemon.json 中声明路径；这样即使端口对外开放，也只能通过合法证书访问。 `--tlsverify` 参数：Docker daemon 启动时加上此参数后只接受的请求。 If you truly need plain HTTP for internal network , at least limit来源 IP 段， 并在 firewalld 中加入白名单：. # 示例，仅允许内网192.168.1.100/24访问2375端口 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100/24" port protocol="tcp" port="2375" accept' sudo firewall-cmd --reload ⚠️ 强烈不建议直接在公网暴露 2375 端口——除非你已经做好层层防护，否则后果不堪设想，观感极佳。。 五、常见问题 & 故障排查小秘籍 🛠️ a) Grafana 登录失败？ •  →   # 停止容器 docker stop grafana docker exec grafana rm /etc/grafana/.admin_password docker start grafana b) Promeus 报错 “scrape timeout” •  → `docker exec cadvisor curl localhost:`808`?, 若返回404说明cAdvisor未成功启动；检查 volume 挂载是否完整。 •  → `docker network ls` 看是否自定义网络导致跨容器 DNS 不解析；如有必要添加 `network_mode:"host"` 或手动创建桥接网络并将三服务加入同一网络。 c) 高CPU告警却看不到异常进程？   •  使用 `cadvisor` 的 **container_cpu_user_seconds_total** 指标配合 **rate** 函数查看最近一分钟趋势。如果曲线异常但单容器 CPU 占比仍低，则可能是宿主机 kernel 引发的 I/O 阻塞——此时请结合 `node_exporter` 或 `iostat` 排查磁盘延迟。 六、 性能调优锦囊 ✨ # 调优方向 推荐工具/指标 操作建议  ①CPU 限额 & 实际使用率 container_cpu_user_seconds_total node_cpu_seconds_total通过 Docker run –cpus=NUM 设置硬限制； 我服了。 PromQL 检查 avg_over_time) 是否逼近上限 ②内存软限制 vs 硬限制 container_memory_working_set_bytesdocker run –memory=SIZE –memory‑swap=SIZE；Grafana 设置阈值报警，当占比≥90% 时触发 Slack/Webhook 通知 ③磁盘 I/O 延迟 container_fs_io_time_seconds_total启用 `fio` 压力测试定位热点磁盘；若出现长时间 IO 队列，可考虑挂载 SSD 或开启 Docker overlay2 优化参数 ④网络吞吐量 & 丢包率container_network_receive_bytes_total, container_network_transmit_packets_dropped_total ⑤  服务发现与标签化管理 container_labels{label_key = ”com.docker.swarm.service.name”} t h e n 手动编写脚本自动给新建容器贴标签，PromQL 可直接聚合同类服务。 七、 小结：从零到可视化，你已拥有完整闭环 为何要选 cAdvisor+Prometeus+Grafana？  – cAdvisor 天然兼容 Docker，无需额外 exporter；  – Prome us 强大的抓取与告警体系让数据可靠且易 ；  – Graf ana 的灵活面板让运维大佬们爱不释手，吃瓜。。 最快速上线步骤安装 Docker → 写好 docker-compose.yml 与 promeus.yml → docker compose up -d → 浏览器打开 Graf ana 导入社区 Dashboard，探探路。。 别忘了平安生产环境务必关闭裸露 API，使用 TLS 或仅保留 Unix Socket。 持续迭代当业务增长到百台节点时 只需把 Compose 改为 Swarm/Kubernetes 模式，把每台机器上的 Exporter 集中到统一的 Prome us Server，即可实现横向 。 祝你的服务器永远平稳运行，让业务飞起来 🚀！有任何疑问或想交流经验， 欢迎留言或加入我们的技术交流群，一起玩转 Docker 可观测世界~ 😄💪🏻" ©2026 作者原创 | 如需转载，请注明出处 | 本文采用 CC BY‑NC‑SA 许可协议发布。 .