Docker 配置文件 daemon.json 的高级调优参数详解-Docker-PHP中文网

docker日志防爆盘必须配置log-opts下的max-size和max-file，如"max-size":"100m","max-file":"5"，单位后缀不可省略，且仅对新容器生效。

docker 配置文件 daemon.json 的高级调优参数详解

daemon.json 不是“配完就能用”的配置文件，而是 Docker 守护进程的行为总开关。真正影响生产稳定性和性能的，往往不是基础功能开启与否，而是那些被忽略的高级参数——它们控制着资源边界、网络行为、日志生命周期和存储策略。下面聚焦 5 类高频调优场景，讲清关键参数的作用逻辑和实操要点。

国内拉取镜像慢，本质是默认走 registry-1.docker.io（海外节点），且不支持 HTTP 私仓。仅加一个镜像源远远不够：

多镜像源可自动 fallback：配置数组形式的 "registry-mirrors"，Docker 会按顺序尝试，首个失败即切下一个。推荐至少配两个可用源，如 ["https://docker.m.daocloud.io", "https://hub-mirror.c.163.com"]
HTTP 私仓必须显式声明：若自建 registry 运行在 10.10.20.100:5000（无 TLS），需加入 "insecure-registries": ["10.10.20.100:5000"]，否则 pull/push 直接报错 x509 certificate signed by unknown authority
避免镜像源污染：不要混用不同厂商的镜像源（如阿里云 + 华为云），部分镜像索引同步延迟会导致 manifest 不一致，引发 pull access denied

默认 json-file 日志驱动不限大小，单个容器跑一周可能生成 20GB+ 日志，直接挤爆 /var 分区：

Json Schema Toolkit

使用 JSON Schema 验证 JSON 数据，从示例 JSON 生成 schema，并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。

下载

必须嵌套在 log-opts 下设置："log-driver": "json-file" 本身只是声明驱动，真正生效的是其子项："log-opts": {"max-size": "100m", "max-file": "5"}
单位必须带后缀："100m" 合法，100 或 "100" 会被忽略，日志照常疯长
对已有容器无效：该配置只影响新创建的容器。旧容器需 docker container update --log-driver json-file --log-opt max-size=100m --log-opt max-file=5 <container></container> 手动更新

默认 /var/lib/docker 在系统盘，容易因镜像/层堆积导致磁盘告警；同时 overlay2 驱动在某些内核版本下存在 inode 泄漏风险：

迁移数据根目录：通过 "data-root": "/data/docker" 指向大容量独立盘。注意：修改后首次重启会清空原 /var/lib/docker 下所有数据（镜像、容器、卷全丢），务必提前 docker save 备份
限制单镜像层大小：添加 "storage-opts": ["overlay2.override_kernel_check=true"] 可绕过内核版本检查（慎用）；更安全的是用 "storage-opts": ["overlay2.mountopt=nodev,metacopy=on"] 启用元数据复制，减少写放大
避免误配 dm.basesize：该参数仅对 devicemapper 生效，overlay2 下设了也无效，还可能引发 daemon 启动失败

默认 docker0 使用 172.17.0.0/16，若公司内网也是此段，容器无法访问宿主机内网服务：

重设网桥子网：用 "bip": "192.168.100.1/24" 强制指定 docker0 IP 和掩码，值必须是 CIDR 格式，且宿主机不能已占用该网段
固定容器 DNS：避免继承宿主机 /etc/resolv.conf 导致解析异常，显式配置 "dns": ["114.114.114.114", "8.8.8.8"]
禁用 IPv6 省开销：若业务不用 IPv6，加 "ipv6": false 可跳过 IPv6 地址分配流程，容器启动快约 120ms（实测）

不设限的容器可能吃光宿主机内存或打开过多文件句柄，引发 OOM 或连接拒绝：

全局 ulimit 控制：通过 "default-ulimits": {"nofile": {"Soft": 65536, "Hard": 65536}} 统一提升文件描述符上限，避免 Too many open files
禁止特权容器默认启动：加 "no-new-privileges": true 可防止容器内进程通过 setuid 提权，增强隔离性
GPU 容器需额外注册：启用 NVIDIA 支持需先装 nvidia-container-toolkit，再在 daemon.json 中声明 "runtimes": {"nvidia": {"path": "nvidia-container-runtime"}}，否则 docker run --gpus all 报错