Урок 9. Обновление и очистка места

Контейнеры работают годами, а образы тем временем обновляются: выходят исправления ошибок и уязвимостей. Старые образы, остановленные контейнеры и кэш сборки при этом копятся на диске. В этом уроке — как обновлять и как чистить, ничего не потеряв.

Обновить сам Docker

Docker из официального репозитория обновляется вместе с системой:

sudo apt update
sudo apt upgrade

При обновлении служба Docker перезапускается, а с ней — контейнеры. Контейнеры с политикой unless-stopped или always поднимутся сами; остальные придётся запустить вручную. Обновлять сервер лучше в спокойное время.

Обновить контейнер до нового образа

Работающий контейнер привязан к тому образу, из которого создан, и сам не обновится. Порядок всегда один: скачать новый образ, удалить контейнер, создать его заново с теми же ключами.

docker pull nginx:alpine
docker stop web
docker rm web
docker run -d --name web -p 8080:80 --restart unless-stopped nginx:alpine

Всё, что лежит в томах и подключённых папках, сохраняется. Всё, что было в слое контейнера, — нет; поэтому данные и держат в томах.

С Docker Compose то же самое — две команды в папке проекта:

docker compose pull
docker compose up -d

pull скачивает свежие образы для всех сервисов, up -d пересоздаёт только те контейнеры, чей образ изменился.

Сколько места занимает Docker

Всё хранится в /var/lib/docker. Разбивку показывает команда:

docker system df

Столбцы: TYPE (образы, контейнеры, тома, кэш сборки), TOTAL, ACTIVE (сколько используется), SIZE (сколько занято) и RECLAIMABLE — сколько можно освободить. С ключом -v — подробно по каждому образу, контейнеру и тому.

Очистка по шагам

От безопасного к опасному:

Каждая команда сначала спрашивает подтверждение (y — да); ключ -f убирает вопрос — в скриптах осторожнее с ним.

Обычная уборка после обновлений:

docker image prune
docker builder prune

Удалённый образ не страшен: при следующем docker run или docker compose up он скачается снова. Остановленный контейнер — другое дело: вместе с ним пропадают данные из его слоя.

Всё сразу: docker system prune

docker system prune

Удаляет остановленные контейнеры, неиспользуемые сети, висячие образы и кэш сборки — перед этим показывает список и спрашивает подтверждение. Тома не трогает.

Более сильные варианты:

• docker system prune -a — ещё и все образы, из которых не создано ни одного контейнера;
• docker system prune --volumes — ещё и неиспользуемые анонимные тома.

Логи растут

По умолчанию Docker хранит вывод контейнера в JSON-файле без ограничения размера. У разговорчивого сервиса за месяцы набегают гигабайты. Ограничение для всех новых контейнеров задаётся в файле /etc/docker/daemon.json (создайте его, если нет):

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}

Каждый контейнер будет хранить не больше трёх файлов по 10 МБ. Примените настройку:

sudo systemctl restart docker

Настройка действует только на контейнеры, созданные после неё. Уже работающие нужно пересоздать (для Compose — docker compose up -d --force-recreate). Одному контейнеру лимит можно задать при запуске: docker run --log-opt max-size=10m --log-opt max-file=3 ….

Коротко

• Docker обновляется через apt upgrade; контейнеры с политикой перезапуска поднимаются сами.
• Контейнер обновляют пересозданием: pull, rm, run — или docker compose pull и up -d.
• Смена основной версии базы данных — только с копией и по инструкции образа.
• docker system df показывает, что занимает место; файлы в /var/lib/docker руками не трогают.
• Безопасная уборка — docker image prune и docker builder prune; system prune -a и volume prune -a — только после проверки списков.
• Рост логов ограничивают max-size и max-file в daemon.json; действует на новые контейнеры.

Проверьте себя