Shell脚本如何配置容器治理策略

wen 实用脚本 2026-07-15 1

Shell脚本如何配置容器治理策略：从入门到生产级自动化实践

目录导读

【核心问题】为什么需要Shell脚本实现容器治理？
【基础搭建】Shell操作Docker/容器运行时核心命令
【策略配置】用Shell实现资源限制、日志轮转、健康检查
【自动化治理】脚本化容器生命周期管理与安全策略
【实战案例】生产环境容器批量治理脚本解析
【问答环节】常见问题与最佳实践

核心问题：为什么需要Shell脚本实现容器治理？

Q：为什么不用Kubernetes或Docker Compose，反而要用Shell脚本配置治理策略？ A：Kubernetes适合大规模集群编排，但Shell脚本在以下场景中更轻量、灵活：

Shell脚本如何配置容器治理策略

单机多容器环境或开发测试环境
需要与现有Bash运维体系集成
快速实现特定治理逻辑（如定时清理、定制资源限制）
最小化依赖,适合资源受限的CI/CD流水线

关键统计：据DevOps调研，约43%的企业仍在使用纯Shell+Docker方式管理中小规模容器环境，正确配置治理策略可减少30%的容器异常退出率。

基础搭建：Shell操作容器运行时核心命令

要配置治理策略,首先掌握基础命令，以下为最常用的Docker Shell命令模式：

# 基本的容器创建与运行
docker run -d --name web-app nginx:latest
# 检查当前运行中容器
docker ps --format "table {{.ID}}\t{{.Names}}\t{{.Status}}"
# 核心治理命令体系
docker stats --no-stream   # 实时资源监控
docker inspect container_id  # 获取完整配置

最佳实践：在Shell脚本中使用set -euo pipefail确保错误处理严谨。

策略配置：用Shell实现三位一体治理

资源限制策略（CPU/内存）

#!/bin/bash
# 限制内存500M，CPU核心数为1.5
docker run -d --name limited-app \
  --memory="500m" \
  --cpus="1.5" \
  myapp:latest
# 检查限制是否生效
MEMORY_USAGE=$(docker stats --no-stream --format "{{.MemPerc}}" limited-app | tr -d '%')
if (( $(echo "$MEMORY_USAGE > 80" | bc -l) )); then
    echo "[WARNING] 容器内存使用超过80%"
fi

日志轮转策略

# 启动时直接配置日志上限
docker run -d --log-opt max-size=10m --log-opt max-file=3 myapp
# 批量治理：扫描并清理日志过大容器
for container in $(docker ps -q); do
    LOG_SIZE=$(docker inspect --format='{{.LogPath}}' $container | xargs du -m | cut -f1)
    if [ $LOG_SIZE -gt 100 ]; then
        echo "清理容器 $container 日志"
        truncate -s 0 $(docker inspect --format='{{.LogPath}}' $container)
    fi
done

健康检查与自动重启

#!/bin/bash
check_and_restart() {
    local container=$1
    STATUS=$(docker inspect --format='{{.State.Health.Status}}' $container)
    if [ "$STATUS" = "unhealthy" ]; then
        echo "$(date): 检测到容器 $container 不健康，重启中..."
        docker restart $container
    fi
}
# 每30秒检查一次
while true; do
    check_and_restart "web-service"
    sleep 30
done

自动化治理：脚本化容器生命周期与安全策略

批量清理过期容器

# 清理运行超过24小时的容器
for container in $(docker ps --filter "status=running" --format "{{.ID}} {{.RunningFor}}"); do
    id=$(echo $container | cut -d' ' -f1)
    running_time=$(docker inspect -f '{{.State.StartedAt}}' $id | xargs -I{} date -d {} +%s)
    now=$(date +%s)
    elapsed=$(( (now - running_time) / 3600 ))
    if [ $elapsed -ge 24 ]; then
        docker rm -f $id
    fi
done

容器网络治理策略

# 为容器指定独立网络并限制访问
docker network create --driver bridge --subnet 172.20.0.0/24 secure-net
docker run -d --network secure-net --ip 172.20.0.10 myapp
# 配置iptables规则（需root权限）
iptables -A FORWARD -d 172.20.0.0/24 -p tcp --dport 3306 -j DROP

安全补丁自动化

# 检查是否有CVE漏洞的基础镜像
IMAGES=$(docker images --format "{{.Repository}}:{{.Tag}}")
for image in $IMAGES; do
    if docker scan $image | grep -q "CRITICAL"; then
        echo "发现高危漏洞：$image"
        # 触发自动镜像重建（假设有CI）
        curl -X POST http://ci-server/api/rebuild?image=$image
    fi
done

实战案例：生产环境容器批量治理脚本

以下为综合脚本示例（节选核心部分），包含资源监控、自动扩缩容、异常处理：

#!/bin/bash
# 文件名: container_governor.sh
# 用途：对指定容器组实施资源限制、监控与自动修复
CONTAINER_PREFIX="prod-app"
TARGET_MEM="2g"
TARGET_CPU="2.0"
governor_mem_limit() {
    for cid in $(docker ps --filter "name=$CONTAINER_PREFIX" -q); do
        current_mem=$(docker stats --no-stream --format "{{.MemUsage}}" $cid | cut -d'/' -f1 | sed 's/MiB//')
        if [ "$current_mem" -gt 1800 ]; then
            docker update --memory "$TARGET_MEM" $cid
            logger "容器 $cid 内存使用过高，已限制至$TARGET_MEM"
        fi
    done
}
auto_scaling() {
    WHITE_LIST=("prod-app-main" "prod-app-worker")  # 定义白名单
    for container in "${WHITE_LIST[@]}"; do
        CPU_USAGE=$(docker stats --no-stream --format "{{.CPUPerc}}" "$container" | sed 's/%//')
        if [ "$(echo "$CPU_USAGE > 85" | bc)" -eq 1 ]; then
            echo "触发扩容：$container"
            # 执行扩容操作（假设调用负载均衡API）
            curl -X POST http://load-balancer/add-instance?service=$container
        fi
    done
}
main() {
    echo "=== 容器治理调度开始 ==="
    governor_mem_limit
    auto_scaling
    echo "=== 本轮治理完成 ==="
}
main

执行方式：通过Crontab每5分钟运行：*/5 * * * * /opt/scripts/container_governor.sh

问答环节：常见问题与最佳实践

Q1: Shell脚本治理容器时，如何处理权限问题？ A: 始终使用Docker Socket权限控制，安全做法是创建专用组docker，将脚本用户加入该组，切勿在脚本中硬编码密码或生成root权限容器。

Q2: 如何避免Shell脚本对生产容器误操作？ A: 实施三项策略：1) 在脚本中写入DRY_RUN=true模式，仅输出不执行；2) 操作前先记录当前状态docker inspect；3) 使用trap捕获异常并回滚。

Q3: 治理脚本如何与监控系统集成？ A: 典型方法是输出结构化JSON日志：

echo "{\"level\":\"info\", \"action\":\"limit_memory\", \"container\":\"$cid\", \"to\":\"$TARGET_MEM\"}"

Prometheus的Loki或ELK可直接采集。

Q4: 容器治理策略是否应写入Dockerfile？ A: 建议分离，Dockerfile负责构建镜像，治理策略（资源限制、网络策略）通过Shell脚本或Docker Compose在部署层实现，保持镜像通用性。

延伸阅读：结合Jenkins Pipeline使用Shell实现容器治理时，可配置Pipeline钩子实现CI/CD过程中的自动策略注入，最佳的治理脚本应满足幂等性——多次执行结果一致。