Если удалить образ, который используется в контейнере, то почему контейнер не падает?

Question

[wideShift]

1)Если контейнер создается на основе образа, то почему я не могу удалить образ? Зачем это зависимость? - Нельзя удалить образ (не принудительно), который используется.
2)Если удалить образ, который используется в контейнере, то почему контейнер не падает?

Answer 1

[shurshur]

Образ - это не какой-то набор файлов. Это по сути список слоёв (fslayer), которые могут быть общими у разных образов. Имя образа (с тэгом) - это ссылка на id образа. У образа может быть несколько имён (например, foobar:1.2.3 и foobar:latest). Удаление образа по имени имени не удаляет образ, оно удаляет лишь имя, затем если у id образа больше нет других имён и образ не используется больше никем удаляет те fslayer образа, которые заведомо не нужны другим образам и контейнерам. Поэтому иногда docker rmi говорит всего лишь "untagged имя_образа", а иногда реально удаляет какие-то слои.

$ docker pull alpine
Using default tag: latest
latest: Pulling from library/alpine
540db60ca938: Pull complete 
Digest: sha256:69e70a79f2d41ab5d637de98c1e0b055206ba40a8145e7bddb55ccc04e13cf8f
Status: Downloaded newer image for alpine:latest
docker.io/library/alpine:latest
$ docker tag alpine foo/bar/lorem/ipsum:some.tag
$ docker rmi alpine
Untagged: alpine:latest
Untagged: alpine@sha256:69e70a79f2d41ab5d637de98c1e0b055206ba40a8145e7bddb55ccc04e13cf8f
$ docker rmi foo/bar/lorem/ipsum:some.tag
Untagged: foo/bar/lorem/ipsum:some.tag
Deleted: sha256:6dbb9cc54074106d46d4ccb330f2a40a682d49dda5f4844962b7dce9fe44aaec
Deleted: sha256:b2d5eeeaba3a22b9b8aa97261957974a6bd65274ebd43e1d81d0a7b8b752b116

При создании контейнера поверх слоённой файловой системы образа создаётся новый слой для собственных файлов контейнера. Поэтому физически образ нельзя до конца удалить, пока есть хоть один контейнер на его базе.

Comments

[wideShift]

Вот я удалил образ, который используется в контейнере. Потом же нельзя запустить контейнер из этого образа? Команда docker run принимает только имя образа?

[shurshur]

wideShift, небольшая защита от удаления образа есть, но её можно обойти, если назначить такое же имя другому образу:

docker run -itd --name test alpine /bin/sh -c 'while true; do sleep 1; done'
docker rmi alpine # ругнётся
docker pull hello-world
docker tag hello-world alpine # теперь alpine это то же что и hello-world
docker rmi alpine # не ругнётся
docker ps -a # тут контейнер test будет виден уже не по имени а по id=6dbb9cc54074
docker run -itd --name test2 6dbb9cc54074 /bin/sh -c 'while true; do sleep 1; done' # как ни в чём не бывало запустили ещё один alpine по id, хотя вроде как его уже нет

Но физически образ с этим id удалить нельзя, пока есть хотя бы один контейнер, на нём основанный.