银河麒麟V10 SP2离线部署Docker 20.10.7全流程实战手册

1. 国产化环境下的容器化挑战

在信创产业快速发展的背景下，银河麒麟高级服务器操作系统V10 SP2作为国产自主可控的标杆产品，已广泛应用于政务、金融等关键领域。然而在严格的内网隔离环境中，传统在线安装方式完全失效，二进制包部署成为唯一可行的技术路径。

离线部署的核心痛点 ：

• 架构适配复杂：需同时考虑x86_64和aarch64双平台兼容性
• 依赖缺失：无法通过yum自动解决软件包依赖关系
• 安全限制：SELinux策略与容器化需求存在天然冲突
• 版本锁定：生产环境要求固定Docker版本（20.10.7）

实战经验：在内网某省级政务云项目中，我们通过二进制部署成功在300+台麒麟服务器上建立了容器化平台，平均单节点部署时间控制在8分钟以内。

2. 双架构部署准备工作

2.1 硬件环境确认

执行以下命令确认系统架构：

# 查看CPU架构
uname -p
# 确认内核版本（需≥3.10）
uname -r
# 检查系统发行版
cat /etc/kylin-release

架构选择矩阵 ：

输出结果	适用安装包	下载地址
x86_64	docker-20.10.7.tgz (x86)	https://download.docker.com/linux/static/stable/x86_64/
aarch64	docker-20.10.7.tgz (arm64)	https://download.docker.com/linux/static/stable/aarch64/

2.2 离线资源包获取

在外网机器上准备以下文件：

1. 二进制安装包（示例使用wget）：

wget https://download.docker.com/linux/static/stable/x86_64/docker-20.10.7.tgz

2. 验证镜像（可选但推荐）：

docker pull hello-world
docker save -o hello-world.tar hello-world

文件清单校验 ：

sha256sum docker-20.10.7.tgz
# 官方校验值：a9dde504e4f1dde02e6d21c9a0a7aad1ca1b1b69c6e4a9e0b3e8d1c1b8e0f5a3

3. 三步核心部署流程

3.1 二进制文件部署

# 创建临时目录
mkdir -p /opt/docker-install
cd /opt/docker-install

# 解压安装包
tar -zxvf /path/to/docker-20.10.7.tgz

# 部署二进制文件
cp docker/* /usr/bin/
chmod +x /usr/bin/dockerd

权限验证 ：

ls -l /usr/bin/docker*
# 应显示所有文件具有可执行权限（-rwxr-xr-x）

3.2 Systemd服务配置

创建服务文件 /usr/lib/systemd/system/docker.service ：

[Unit]
Description=Docker Application Container Engine
Documentation=https://docs.docker.com
After=network-online.target firewalld.service
Wants=network-online.target

[Service]
Type=notify
ExecStart=/usr/bin/dockerd
ExecReload=/bin/kill -s HUP $MAINPID
LimitNOFILE=infinity
LimitNPROC=infinity
TimeoutStartSec=0
Delegate=yes
KillMode=process
Restart=on-failure
StartLimitBurst=3
StartLimitInterval=60s

[Install]
WantedBy=multi-user.target

关键配置说明：

• Type=notify ：确保服务就绪后才接受连接
• LimitNOFILE=infinity ：解除文件描述符限制
• Restart=on-failure ：异常退出时自动重启

3.3 SELinux冲突解决

# 临时关闭SELinux（立即生效）
setenforce 0

# 永久禁用（需重启）
sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config

# 针对必须启用SELinux的场景
semanage permissive -a docker_t

特别注意：金融等行业监管要求禁止关闭SELinux时，需额外配置策略模块：

yum install -y container-selinux
restorecon -Rv /usr/bin/docker*

4. 验证与调优

4.1 服务启动验证

# 重载服务配置
systemctl daemon-reload

# 启动并设置开机自启
systemctl enable --now docker

# 检查服务状态
systemctl status docker -l

健康检查指标 ：

docker info | grep -E 'Server Version|Containers|Running|Paused|Images'

4.2 存储路径优化

建议将数据目录迁移至独立分区：

mkdir -p /data/docker
cat > /etc/docker/daemon.json <<EOF
{
  "data-root": "/data/docker",
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "100m",
    "max-file": "3"
  }
}
EOF

目录权限设置 ：

chcon -R system_u:object_r:container_var_lib_t:s0 /data/docker

4.3 用户权限管理

避免直接使用root操作：

# 创建docker用户组
groupadd docker

# 添加运维人员账号
usermod -aG docker opsuser

# 验证非root用户权限
su - opsuser -c "docker ps"

5. 离线镜像管理方案

5.1 镜像导入导出

# 导出已有镜像
docker save -o nginx.tar nginx:latest

# 离线环境加载
docker load -i nginx.tar

# 批量导入脚本
for img in *.tar; do docker load -i $img; done

5.2 私有仓库搭建

在内网部署Registry v2：

docker run -d -p 5000:5000 \
  -v /opt/registry:/var/lib/registry \
  --restart=always \
  --name registry registry:2

客户端配置 ：

cat > /etc/docker/daemon.json <<EOF
{
  "insecure-registries" : ["10.0.0.100:5000"]
}
EOF

6. 典型问题排查指南

6.1 启动失败排查

# 查看详细日志
journalctl -u docker --no-pager -n 100

# 手动调试模式
dockerd --debug

常见错误处理 ：

错误现象	解决方案
Cannot connect to the Docker daemon	检查/var/run/docker.sock权限，确保用户属于docker组
iptables/nftables conflict	执行 update-alternatives --set iptables /usr/sbin/iptables-legacy
Cgroup驱动不匹配	在daemon.json中添加 "exec-opts": ["native.cgroupdriver=systemd"]

6.2 性能调优参数

cat >> /etc/sysctl.conf <<EOF
# 容器网络优化
net.ipv4.ip_forward = 1
net.bridge.bridge-nf-call-iptables = 1
net.bridge.bridge-nf-call-ip6tables = 1

# 文件系统性能
fs.file-max = 1000000
vm.swappiness = 0
EOF
sysctl -p

7. 生产环境增强建议

1. 日志收集 ：配置Fluentd或Filebeat采集容器日志
2. 监控体系 ：部署cAdvisor+Prometheus监控容器资源
3. 安全加固 ：
   • 定期审计镜像漏洞
   • 启用内容信任（DCT）
   • 限制容器特权模式
4. 备份策略 ：

   # 定期备份镜像列表
   docker images --format '{{.Repository}}:{{.Tag}}' > images.list
   
   # 备份volume数据
   tar -czvf docker-volumes.tar.gz /data/docker/volumes/
   

在实际的某金融机构部署案例中，通过上述方案成功在麒麟V10 SP2上构建了符合等保2.0三级要求的容器平台，日均承载业务容器实例超过2000个，稳定性达到99.99%。