docker容器生命周期管理是自动化运维前提，涵盖创建→运行→监控→干预→清理主线；配合ansible可实现跨主机声明式编排、灰度发布与安全闭环。
掌握 docker 容器生命周期管理，是实现自动化运维的前提。它不是一堆零散命令的堆砌，而是围绕“创建→运行→监控→干预→清理”这一主线展开的可控流程。配合 ansible 等工具，就能把重复操作变成可复现、可审计、可批量执行的自动化任务。
容器从创建到运行的关键控制点
容器启动前的配置决定了后期维护成本。推荐用 docker create 分离创建与启动，尤其适合需要精细控制的场景：
- 先创建但不启动：
docker create --name myapp -p 8080:80 -v /data:/app/data -e ENV=prod nginx:1.23，此时容器处于 created 状态，可反复检查配置 - 再手动启动：
docker start myapp，避免run一次性操作带来的不可回退风险 - 对临时任务加
--rm，退出即删；对长期服务设--restart=unless-stopped，保障意外中断后自动恢复
运行中容器的可观测性与干预手段
不能只靠 docker ps 看“是否在跑”，要建立基础监控习惯：
- 查实时资源：用
docker stats myapp观察 CPU、内存、网络 IO，识别异常飙升 - 看详细状态：用
docker inspect myapp查 IP、挂载路径、环境变量、健康检查结果，特别是NetworkSettings.Networks.bridge.IPAddress和Mounts字段 - 快速干预：暂停用
docker pause myapp（冻结进程但保留内存），恢复用docker unpause；强制终止用docker kill -s SIGTERM myapp，比stop更快，适合响应超时或僵死进程
用 Ansible 实现容器生命周期编排
Ansible 不仅能装 Docker，更能统一管理上百台主机上的容器行为：
- 用
docker_container模块声明式定义容器状态，比如确保某 Nginx 容器始终以指定镜像、端口、卷和重启策略运行 - 结合
when条件判断，实现灰度发布：只在标签为env: staging的节点上更新容器，生产环境保持旧版本 - 用
docker_image模块预拉取镜像，避免容器启动时因网络问题拉取失败；配合loop批量处理同类型服务
清理与安全闭环：别让停止的容器堆积
已退出容器（exited）仍占用磁盘空间和元数据，需主动治理：
- 定期清理：
docker rm $(docker ps -aq -f status=exited)删除所有已退出容器 - 清理无用镜像：
docker image prune -f，搭配--filter "until=24h"可限定时间范围 - 禁用默认桥接网络中的容器互联：
--icc=false启动守护进程，或显式用--network none启动敏感容器，减少攻击面
