watchtower是linux下docker容器自动更新镜像的轻量工具，支持命令行快速部署、docker compose生产化管理、私有仓库认证、邮件通知及标签过滤等精细化控制。
如果您希望在Linux系统中通过Docker运行的容器能够自动检查并更新镜像，Watchtower是一个轻量且可靠的工具。以下是部署Watchtower实现自动更新的具体步骤：
一、使用Docker命令直接运行Watchtower
此方法无需创建配置文件或持久化数据，适合快速启用基础自动更新功能，Watchtower将以守护进程模式拉取最新镜像并重启对应容器。
1、执行以下命令启动Watchtower容器，监控所有正在运行的容器：
2、docker run -d --name watchtower -v /var/run/docker.sock:/var/run/docker.sock containrrr/watchtower --interval 300
3、其中--interval 300表示每5分钟检查一次更新，可根据需要调整为其他秒数值。
4、若仅需监控特定容器（例如名为nginx和redis的容器），将命令末尾替换为容器名称：
5、docker run -d --name watchtower -v /var/run/docker.sock:/var/run/docker.sock containrrr/watchtower nginx redis --interval 300
二、通过Docker Compose部署Watchtower
该方式便于管理配置、实现重启策略与日志控制，适用于生产环境或需长期维护的部署场景。
1、创建docker-compose.yml文件，内容如下：
2、version: "3.8"
3、services:
4、 watchtower:
5、 image: containrrr/watchtower
6、 volumes:
7、 - /var/run/docker.sock:/var/run/docker.sock
8、 command: --interval 3600 --cleanup --include-restartable
9、 restart: unless-stopped
10、 environment:
11、 - WATCHTOWER_POLL_INTERVAL=3600
12、保存文件后，在该目录下执行docker-compose up -d启动服务。
三、配置Watchtower使用私有镜像仓库认证
当受管容器基于私有Registry（如Harbor、GitLab Registry）构建时，Watchtower需加载对应登录凭证才能拉取新镜像。
1、确保宿主机已执行docker login <registry-url></registry-url>，凭据将保存在~/.docker/config.json中。
2、启动Watchtower时挂载该配置文件：
3、docker run -d --name watchtower -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/.docker/config.json:/config.json:ro containrrr/watchtower
4、若使用Docker Compose，需在volumes中添加对应映射行：
5、- $HOME/.docker/config.json:/config.json:ro
四、启用邮件通知机制
Watchtower支持在更新成功或失败时发送邮件提醒，便于及时掌握容器状态变更。
1、在启动命令中加入SMTP相关环境变量：
2、docker run -d --name watchtower -v /var/run/docker.sock:/var/run/docker.sock containrrr/watchtower --smtp-server smtp.gmail.com --smtp-port 587 --smtp-user your_email@gmail.com --smtp-password "app-specific-password" --notification-email-from your_email@gmail.com --notification-email-to alert@example.com --notification-email-subject-prefix "[Watchtower]"
3、注意Gmail需使用应用专用密码而非账户密码；其他邮箱服务商请参照其SMTP设置文档。
4、若通过Docker Compose配置，应在environment块中逐条声明上述参数，格式为WATCHTOWER_NOTIFICATION_EMAIL_FROM: "..."等。
五、限制Watchtower作用范围与更新行为
为避免误更新关键服务或干扰调试流程，可通过参数精确控制Watchtower的行为边界。
1、添加标签过滤：仅处理带有com.centurylinklabs.watchtower.enable=true标签的容器：
2、docker run -d --name watchtower -v /var/run/docker.sock:/var/run/docker.sock containrrr/watchtower --label-enable
3、为待监控容器添加该标签，例如运行Nginx时加入--label com.centurylinklabs.watchtower.enable=true。
4、禁用自动重启，仅更新镜像不重启容器（需配合外部编排工具手动触发）：
5、--no-restart
6、跳过某容器更新，为其添加com.centurylinklabs.watchtower.enable=false标签即可。
