ubuntu 22.04/24.04服务器容器化环境搭建核心是安全稳定部署docker：先系统更新升级并重启，再创建docker组并加当前用户，配置ufw仅开放必要端口，最后用官方脚本安装docker及compose并启用镜像加速。

Ubuntu 服务器容器化环境搭建，核心是用 Docker 实现应用隔离、可复现和易运维。它不是装个 Docker 就完事，而是要兼顾安全、稳定、日志可控和后续扩展能力。下面分四块说清楚关键动作和实操要点。

系统准备与基础加固

选 Ubuntu 22.04 LTS 或 24.04 LTS，长期支持、内核兼容性好。登录后先执行：

• 更新系统：`sudo apt update && sudo apt upgrade -y`，再重启确保内核和关键组件生效
• 创建专用用户组：`sudo groupadd docker && sudo usermod -aG docker $USER`，登出重进，避免全程 sudo
• 配置 UFW 防火墙：默认禁用 SSH 外网访问，只放行必要端口（如 22、80、443），Docker 映射的端口需显式添加规则，防止被绕过

Docker 与 Compose 安装配置

推荐使用官方一键脚本（含国内镜像加速）：

minimax-mcp-docker版（适配极空间）

MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。

下载

• 运行 `bash
• 验证：`docker --version` 和 `docker compose version` 都应有输出
• 配置 `/etc/docker/daemon.json`，关键项包括：
    – 日志轮转（"log-driver": "json-file", "log-opts": {"max-size": "100m", "max-file": "10"}）
    – 存储驱动（"storage-driver": "overlay2"）
    – 镜像加速（填入阿里云、USTC 等可信源）
• 改完配置后执行 `sudo systemctl restart docker`

容器运行时安全与资源约束

生产环境不能让容器“裸奔”：

• 禁止特权模式：除非明确需要，所有容器启动时加 `--security-opt=no-new-privileges`
• 限制资源：在 `docker run` 或 `docker-compose.yml` 中设置 `mem_limit`、`cpus`、`pids_limit`，防止单个容器吃光主机资源
• 镜像来源管控：只拉取 Docker Hub 官方镜像或内部可信仓库镜像；自建镜像必须带 SHA256 摘要校验，不依赖 latest 标签
• 挂载最小化：宿主机目录挂载只给容器真正需要的路径，避免 `/` 或 `/etc` 全量映射

服务编排与可观测性起步

单容器够测试，真上线得靠编排+监控：

• 用 `docker compose` 管理多容器协作（如模型服务 + Nginx + 日志收集器），所有配置写进 `docker-compose.yml`，版本控制、一键启停
• 暴露服务时，优先走反向代理（Nginx 或 Traefik），不直接映射容器端口到宿主机 80/443
• 启用容器健康检查（`healthcheck` 字段），配合 `restart: unless-stopped` 提升自愈能力
• 日志统一输出到 stdout/stderr，用 `docker logs -f` 查看；长期运行建议接入 Filebeat 或 Loki 做集中收集