Docker 版本升级时怎么在生产环境中平滑更新而不中断业务-Docker-PHP中文网

生产环境docker引擎平滑升级必须分层隔离、逐级验证、可逆回退：仅允许同主版本小版本升级或升至下一lts版，需前置确认内核兼容性、固化containerd/overlay2/网络插件依赖，通过灰度节点验证容器重启、metrics、dns等硬指标，并预置apt回退方案。

docker 版本升级时怎么在生产环境中平滑更新而不中断业务

生产环境 Docker 版本升级，核心目标不是“换新版本”，而是“不中断业务”。这和应用镜像更新不同——Docker 引擎本身是宿主机级基础设施，升级过程若操作不当，会导致所有容器瞬时停运、网络中断、存储挂载失效，甚至节点不可控。真正的平滑升级，靠的不是跳过检查，而是分层隔离 + 逐级验证 + 可逆回退。

必须前置确认：当前 Docker 是否支持原地升级

Docker 官方自 20.10 起明确不推荐跨大版本原地升级（如 19.x → 24.x），尤其禁止跳过中间 LTS 版本。生产环境只允许：

同一主版本内小版本升级（如 24.0.0 → 24.0.7）
或升级到下一个官方认证的 LTS 版本（如 24.0.x → 26.0.x），且需经完整兼容性验证

执行前运行命令确认当前状态：

docker version --format '{{.Server.Version}}'  # 查看服务端版本
docker info | grep "Kernel Version\|Operating System"  # 检查内核与系统兼容性

升级前锁定关键依赖链

Docker 升级常引发连锁反应，必须提前固化三类依赖：

容器运行时：确认是否使用 containerd（Docker 20.10+ 默认），避免混用 cri-o 或旧版 runc
存储驱动：生产环境强烈建议固定为 overlay2，禁用 devicemapper（已弃用）或 vfs（性能差）
网络插件：若使用 calico/cilium，确认其版本明确支持目标 Docker 版本（查对应 release note）

示例：某次升级失败源于 calico v3.24 未适配 Docker 24.0 的 containerd 1.7.0 API 变更，导致 Pod 网络初始化超时。

分阶段灰度升级策略（非全量一刀切）

Docker Cli

使用 Docker CLI 构建、运行、停止、检查和管理容器与镜像的助手。用于执行容器相关任务。

下载

直接在所有生产节点上 apt upgrade docker-ce 是高危操作。正确路径是：

第一步：选 1 台非核心节点（如日志采集节点、监控探针节点）作为灰度试点
第二步：停掉该节点上所有非关键容器（保留 prometheus-node-exporter、fluent-bit 等基础组件）

第三步：执行升级并验证

sudo apt-get update && sudo apt-get install docker-ce=5:26.0.0~3-0~ubuntu-jammy
sudo systemctl restart docker
docker ps -q | xargs -r docker kill  # 清理残留旧容器（可选）
docker run --rm hello-world  # 验证引擎可用

第四步：观察 2 小时，重点检查：
✅ 容器自动重启是否正常（restart: always 生效）
✅ docker stats 输出是否稳定（无 panic 或 metrics 失效）
✅ docker network inspect 是否能正确解析服务发现 DNS

升级后必须验证的三项硬指标

光跑通 hello-world 不代表安全。以下检查项任一失败，立即回退：

存储一致性验证
运行一个挂载了生产卷的测试容器，写入文件后 exec 进入确认内容未损坏：

docker run -d --name test-vol -v /data:/mnt alpine:latest tail -f /dev/null
docker exec test-vol sh -c 'echo "test-$(date)" > /mnt/upgrade-check.txt'
docker kill test-vol && docker rm test-vol
# 手动检查宿主机 /data/upgrade-check.txt 内容是否完整

健康检查穿透验证
若业务容器配置了 HEALTHCHECK，升级后需确认：

docker inspect <container-id> | jq '.[].State.Health'
# 状态必须为 healthy，且 `FailingStreak` 为 0</container-id>

API 兼容性快照比对
对接 CI/CD 或运维脚本的团队，务必比对升级前后 /var/run/docker.sock 的 API 响应：

curl --unix-socket /var/run/docker.sock http://localhost/v1.43/version | jq '.Version'
# 确保客户端 SDK（如 python-docker 6.x）仍能调用 v1.43 接口

回退方案必须提前准备好，而非“出了事再想”

Docker 升级失败时，最稳妥回退方式不是卸载重装，而是快速切回旧包版本：

Ubuntu/Debian 环境：

apt list --installed | grep docker  # 记录旧版本号，如 5:24.0.7~3-0~ubuntu-jammy
sudo apt-get install docker-ce=5:24.0.7~3-0~ubuntu-jammy docker-ce-cli=... containerd.io=...
sudo systemctl restart docker

回退后第一件事：docker system prune -a 清理可能残留的新版元数据，再逐个 docker start 关键服务

不复杂但容易忽略