搞起来。 当前的企业搞运维，Docker 确定是更少不的。但是很更多兄弟有可能只会在服务器上敲 `docker run` 命令，这效率也太较低了啊！为了实现自动化，咱们得学会用 Docker API。这 API way就像是 Docker 的“后门”， 通过它，你的 Java 程序、Python 脚本或者一个简洁的 Shell 都能直接控制容器。不过这玩意儿权限较高得吓人，一把刃刃，用不良好服务器直接就凉凉了。今天哥就来良好良好唠唠，企业里该怎么可靠地接入并自动化玩转当前这个 Docker API。

一、 哪些是 Docker API？

简洁Docker API 就是 Docker Daemon 暴露出来的一组 RESTful 接口。你在用 `docker ps` 命令的时候，其实 CLI 在后台帮你发了一个 HTTP 申请。当前这个接口能让你不用手动敲命令，就能实现创建、启动、终止、删除、看日志等操作。对于企业级的运维平台、CI/CD 系统或者自研的 PaaS 平台这接口就是命根子。

二、 接入方式：Socket 还是 TCP？

归根结底。 接入 Docker API 接入， 最主要有两种路子：一种是 Unix Socket，另一种是 TCP 端口。

1. Unix Socket

如果你的自动化程序和 Docker 跑在同一台机器上，那必须要用 Unix Socket！它通常是 `/var/run/docker.sock`。这种方式最可靠，这是因为它不经过网络，除非黑客拿到了服务器的文件权限，否则根本进不去，事实上...。

示例：用 curl 直接通过 Socket 查看 Docker 系统信息：

curl --unix-socket /var/run/docker.sock http://localhost/v1.43/info

注意啊， 这里路径里的 `/var/run/` 在部分库里有可能需要 URL 编码，但在命令行 curl 里直接写就行，也是醉了...。

2. TCP 端口

客观地说... 如果你想从另一台机器控制这台的 Docker，就得开启 TCP 监听。默认端口一般是 2375或者 2376。听我的，千万别把 2375 直接暴露在公网上！ 谁一扫，直接创建一个挂载宿主机根目录的容器，你服务器就成人家的了。

放心去做... 如果非要开，记住修改 `/etc/systemd/system/docker.service`：

ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H tcp://0.0.0.0:2375

改完记住落实 `systemctl daemon-reload 原来小丑是我。 ` 然后 `systemctl restart docker`。

三、 常用 API 的实操演示

在自动化运维时这几个接口你最常碰到：

1. 查看容器列表

想看看全部容器，用当前这个：

curl --unix-socket /var/run/docker.sock "http://localhost/v1.43/containers/json?all=true"

返回的是个 JSON 数组，里面 ID、状态、创建时间段等信息全都有。

2. 创建并启动容器

创建容器分两步：先 create，再 start，完善一下。。

创建一个 Nginx 容器的示例：

curl --unix-socket /var/run/docker.sock -X POST "http://localhost/v1.43/containers/create?name=my-nginx" -H "Content-Type: application/json" -d '{ "Image": "nginx:latest", "HostConfig": { "PortBindings": { "80/tcp": }, "RestartPolicy": { "Name": "always" } } }'

创建完启动它：

curl --unix-socket /var/run/docker.sock -X POST "http://localhost/v1.43/containers/container_id/start"

3. 获取实时日志

佛系。 自动化监控需要看日志， 能够用 `stream=true`：

curl --unix-socket /var/run/docker.sock "http://localhost/v1.43/containers/container_id/logs?stdout=true&stderr=true&tail=100"

四、 企业级可靠避坑指南

将心比心... 既然是企业用，可靠就是第一位的。下面这几点你得记死：

1. 权限控制

很更多时候你 curl 报错 `permission denied`，那是这是因为当前用户没权限读 `/var/run/docker.sock`。别一上来就用 root 跑！ 他破防了。 正确做法是把用户加入 docker 组：`sudo usermod -aG docker $USER`，然后沉重崭新登录就行。

2. 资源条件约束

自动化创建容器时万不能不约束资源条件。万一某个容器 Bug 把宿主机内存耗光了全完蛋。在 `HostConfig` 里设置 `Memory`和 `NanoCpus`。

{ "HostConfig": { "Memory": 536870912, "NanoCpus": 1000000000 } }

3. 采用 TLS 认证

如果必须要远程访问，一定要开启 TLS。你需要生成 CA 证书、服务器证书和客户端证书。调用时要带上 `--cert`、`--key` 和 `--cacert` 参数。这样才能保证只有你公司的人能调当前这个 API，YYDS...。

4. 审计与日志

企业内部的操作必须要有记录。别让脚本直接去调 API，最良好在你的运维平台里加一层代理。谁在哪些时候删了哪个容器，日志得记在数据库里方便以后溯源，我给跪了。。

五、 自动化开发提议

行吧... 虽然直接写 HTTP 申请很酷，但提议直接用成熟的 SDK：

• Java: 推荐用 `docker-java` 库，Maven 引入一下就能用。
• Python: 官方的 `docker-py` 非常良好用。

另一方面 如果你的容器规模已经较大了几十上百台机器，别死结 Docker API 了赶紧去学 Kubernetes 。 蚌埠住了... Docker API 更更多适合单机管理或者轻巧量级的集成。

Docker API 是自动化运维的利器，但它也是一把双刃剑。企业接入时 优先用 Unix Socket，远程访问必须要上 TLS，创建容器必须要加资源条件约束，操作必须要做审计。做良好这几点，你的 Docker 自动化平台才能稳如老狗，别等服务器崩了才来后悔，是不是？！

---