Вы запускаете базу данных в контейнере, добавляете данные, удаляете контейнер и запускаете новый. Данные пропали. Почти каждый усваивает этот урок на собственном горьком опыте. Тома Docker и привязки существуют для того, чтобы поддерживать данные в актуальном состоянии после окончания срока службы любого одного контейнера.

В этом руководстве объясняется, как каждый из них работает и как выбрать. Команды и файлы здесь представляют собой стандартные примеры, основанные на задокументированном поведении Docker, и мы не запускали их для этой статьи, поэтому сначала попробуйте их на одноразовых данных. Подробности могут различаться в разных версиях Docker и в Docker Desktop. Если вы новичок в контейнерах, начните с нашего учебника по Docker для начинающих.

Почему данные контейнера исчезают

Образ Docker состоит из слоев, доступных только для чтения. Когда контейнер запускается, Docker добавляет сверху тонкий записываемый слой, и все изменения передаются туда. Этот слой выдерживает остановку и перезапуск, но удаляется при удалении контейнера.

docker run -d --name db -e POSTGRES_PASSWORD=devonly postgres:17
# ... create tables and add data ...
docker rm -f db
docker run -d --name db -e POSTGRES_PASSWORD=devonly postgres:17
# The data you added is not there

Это сделано специально, поскольку позволяет свободно заменять контейнеры. Это означает, что все, что вам нужно сохранить, должно находиться вне контейнера. Есть три способа сделать это:

Тома Docker и привязка монтируются рядом

Именованные тома

Том — это хранилище, созданное и управляемое Docker. Вы обращаетесь к нему по имени, и вам не нужно заботиться о том, где он физически находится.

docker volume create pgdata

docker run -d --name db \
  -e POSTGRES_PASSWORD=devonly \
  -v pgdata:/var/lib/postgresql/data \
  postgres:17

Теперь файлы базы данных находятся в pgdata. Удалите контейнер и запустите новый с тем же томом, и ваши данные все равно останутся там. В Linux тома обычно находятся в папке /var/lib/docker/volumes/, но вам не следует редактировать эти файлы напрямую. В Docker Desktop они живут внутри виртуальной машины, а не в обычной папке.

Путь внутри контейнера зависит от изображения, поэтому проверьте документацию изображения. Монтирование по неправильному пути — классическая ошибка: кажется, что все работает, но данные по-прежнему записываются на уровень контейнера. Более новые основные версии образа также могут изменить этот путь, поэтому перед обновлением прочтите примечания к выпуску.

Docker автоматически создаст именованный том, если он не существует. анонимный том, созданный без имени, также работает, но он получает длинный случайный идентификатор, и его легко потерять. Всегда давайте имена томам.

Привязать ездовых животных

Привязка подключения отображает определенный путь хоста непосредственно в контейнер. Обе стороны сразу видят одни и те же файлы. Это делает его идеальным для разработки, поскольку изменения в вашем редакторе вступают в силу в работающем контейнере без пересборки:

docker run -d --name web \
  -p 8080:80 \
  -v "$(pwd)/site:/usr/share/nginx/html:ro" \
  nginx:1.27

Отредактируйте файл в site/, обновите браузер, и вы увидите изменения. :ro делает монтирование доступным только для чтения внутри контейнера, что является хорошей привычкой, когда контейнеру нет необходимости писать туда.

Привязные крепления имеют некоторые компромиссы:

• Они привязывают вас к хосту. Путь должен существовать на каждой машине, поэтому настройки менее переносимы.
• Они скрывают содержимое изображения. Если вы смонтируете поверх /app, все, что там было, станет невидимым. Типичным примером является пропажа node_modules.
• Они раскрывают хост. Контейнер с доступным для записи монтированием может изменять или удалять реальные файлы хоста. Никогда не монтируйте чувствительные пути, такие как / или сокет Docker, если вы полностью не понимаете риск.
• Производительность может варьироваться. В Docker Desktop для macOS и Windows общий доступ к файлам пересекает границы виртуализации и может быть медленнее, чем в Linux.

tmpfs монтирует

Монтирование tmpfs находится в памяти хоста и никогда не записывается на уровень контейнера. Он исчезает, когда контейнер останавливается, поэтому подходит для временных файлов, кешей и недолговечных конфиденциальных данных:

docker run -d --tmpfs /app/cache:size=64m myapp:1.0

tmpfs доступен на хостах Linux. Он также может ускорить работу баз данных в одноразовых тестовых средах, где вам не нужно заботиться о хранении данных.

-v или –mount?

Оба флага работают. --mount длиннее, но он более явный, и многие предпочитают его в скриптах:

# Short form
docker run -v pgdata:/var/lib/postgresql/data postgres:17

# Explicit form
docker run --mount type=volume,source=pgdata,target=/var/lib/postgresql/data postgres:17

# Bind mount, read-only
docker run --mount type=bind,source="$(pwd)"/site,target=/usr/share/nginx/html,readonly nginx:1.27

Есть одно существенное отличие. При выборе -v для вас создается отсутствующий путь к хосту в виде пустой папки, которая может скрыть опечатку. При использовании --mount и типа привязки Docker вместо этого сообщает об ошибке. Кроме того, в -v левая сторона определяет тип: имя означает том, а путь означает монтирование привязки. Итак, -v data:/x и -v ./data:/x делают очень разные вещи.

Тома в Docker Compose

Большинство реальных проектов объявляют хранилище в файле Compose. Здесь используются оба типа, каждый для своей задачи:

services:
  web:
    build: .
    ports:
      - "3000:3000"
    volumes:
      - ./src:/app/src      # bind mount: live code
    depends_on:
      - db

  db:
    image: postgres:17
    environment:
      POSTGRES_PASSWORD: devonly
    volumes:
      - pgdata:/var/lib/postgresql/data   # named volume: data

volumes:
  pgdata:

Именованные тома должны быть объявлены в разделе верхнего уровня volumes. Compose добавляет к фактическому имени префикс имени проекта. Подробное описание см. в нашем руководстве по Docker Compose.

Полезные команды громкости

Прежде чем подтвердить это, проверьте, что prune будет удалено, поскольку это невозможно отменить. Тома, которые в настоящее время не используются ни одним контейнером, могут по-прежнему содержать важные данные.

Резервное копирование и восстановление тома

Резервную копию тома можно создать, запустив недолговечный контейнер, который монтирует и том, и папку хоста:

# Back up
docker run --rm \
  -v pgdata:/data:ro \
  -v "$(pwd)":/backup \
  alpine tar czf /backup/pgdata.tar.gz -C /data .

# Restore into a new volume
docker volume create pgdata_restored
docker run --rm \
  -v pgdata_restored:/data \
  -v "$(pwd)":/backup \
  alpine tar xzf /backup/pgdata.tar.gz -C /data

Для работающей базы данных копирование таких файлов может привести к несогласованному состоянию. Сначала остановите контейнер или лучше воспользуйтесь собственным инструментом базы данных, например pg_dump для PostgreSQL. А резервная копия, которую вы никогда не восстанавливали, на самом деле является всего лишь надеждой, поэтому проверьте восстановление.

Права доступа к файлам

«Разрешение отклонено» — наиболее распространенная проблема при монтировании. В Linux файлы сохраняют свои числовые идентификаторы пользователей и групп, поэтому, если контейнер запускается от имени пользователя 1000, а папка хоста принадлежит другому пользователю, запись не удастся. Некоторые способы исправить это:

• Запустите контейнер с соответствующим пользователем: docker run --user "$(id -u):$(id -g)" ...
• Настройте правильное право собственности на образ, как описано в наших рекомендациях по Dockerfile.
• Предпочитайте именованные тома для хранения данных, поскольку новый том становится владельцем папки образа при первом использовании.
• В системах, использующих SELinux, для привязки может потребоваться метка :z или :Z.

Избегайте искушения chmod 777, как объясняется в нашем руководстве по командам Linux.

Что вам следует использовать?

Последняя строка имеет значение. В рабочей среде код принадлежит образу, поэтому вы запускаете то, что вы протестировали. В кластерах хранилище данных снова работает по-другому — через постоянные тома, которые описаны в более широкой документации Kubernetes. В нашем руководстве Docker и Kubernetes объясняется, как эти два подхода связаны.

Распространенные ошибки

• Монтаж по неправильному пути. Данные по-прежнему находятся на уровне контейнера и впоследствии исчезают.
• Выполняется down -v случайно. При этом именованные тома будут удалены.
• Использование относительных путей с -v. Формы типа -v data:/x создают том, а не сопоставление папок.
• Размещение секретов в записываемых привязках. Смонтируйте их только для чтения или используйте функцию секретов.
• Указание двух контейнеров базы данных на один том. Это может привести к повреждению данных.
• Без резервных копий. Том не является резервной копией. Он живет на том же диске.

Итоги

Эмпирическое правило короткое: именованные тома для данных, привязки для кода, который вы редактируете, и tmpfs для вещей, которые не должны длиться долго. Попробуйте это на одноразовой базе данных. Создайте именованный том, добавьте строку, удалите контейнер, запустите новый и убедитесь, что ваша строка сохранилась. Затем попрактикуйтесь в резервном копировании и восстановлении, прежде чем оно вам понадобится.

Часто задаваемые вопросы

Продолжайте учиться