Update container runtime guidance

07_dockerfile/7.2_copy.md

@@ -207,7 +207,7 @@ COPY --link --from=builder /app/dist /usr/share/nginx/html
 
 使用 `.dockerignore` 排除不需要复制的文件：
 
-```gitignore
+```text
 ## .dockerignore
 
 node_modules

10_buildx/10.2_buildx.md

@@ -41,11 +41,11 @@ $ docker buildx build --sbom=true -t myimage .
 > **⚠️ 注意与失败模式**：
 > 要使 SBOM (或其它 attestation 元数据) 成功附着并可见，对底层的存储格式有前置要求：默认的 classic image store 不支持 manifest list/index 这种存放 attestation 的结构。
 >
-> 如果只简单运行上述命令，你可能会面临 **“命令成功执行，但本地镜像中看不到 SBOM”** 的体会落差。
+> 如果只简单运行上述命令，你可能会面临 **”命令成功执行，但本地镜像中看不到 SBOM”** 的体会落差。
 >
 > **正确的解决路径有两条**：
-> 1. 在 Docker 守护进程中启用 `containerd image store` 特性（现代 Docker Desktop 默认推荐）。
+> 1. **推送到远端仓库**：使用 `docker buildx build --sbom=true --push -t myimage:tag` 时，SBOM 会正确保存到远端仓库。远端 OCI 兼容的镜像仓库能够完整存储这些元数据。
-> 2. 或者使用 `docker-container` driver 的构建器，并直接 **加上 `--push` 参数** 将产物推送到远端支持 OCI 的镜像仓库，仓库会正确保存这些元数据。
+> 2. **启用 containerd image store**：在 Docker 守护进程中启用 `containerd image store` 特性（Docker v29+，现代 Docker Desktop 默认推荐），可以在本地查看和管理 SBOM 等 attestation 元数据。
 
 ### 10.2.2 官方文档
 

11_compose/11.6_django.md

@@ -267,7 +267,7 @@ web-1  | Watching for file changes with StatReloader
 web-1  | Starting development server at http://0.0.0.0:8000/
 ```
 
-打开浏览器访问 http://localhost:8000，可以看到 Django 欢迎页面！
+打开浏览器访问 `http://localhost:8000`，可以看到 Django 欢迎页面！
 
 ### 11.6.9 常用开发命令
 

12_implementation/12.3_cgroups.md

@@ -200,6 +200,18 @@ $ docker run --rm --cpus=1 stress --cpu 4
 | PSI (压力监控)| ❌ | ✅ |
 | rootless 容器 | 部分支持 | 完整支持 |
 
+#### Docker 对 cgroups v2 的支持
+
+Docker 19.03+ 默认优先使用 cgroups v2（如果系统支持），提供更好的性能和资源隔离。如果需要明确控制或回退到 v1，可以通过 Docker 守护进程配置文件 `/etc/docker/daemon.json` 修改 `cgroup-driver` 参数：
+
+```json
+{
+  "cgroup-driver": "systemd"
+}
+```
+
+常见的 `cgroup-driver` 值包括 `systemd` (推荐) 和 `cgroupfs`。重启 Docker 守护进程后生效。
+
 #### 检查系统使用的版本
 
 ```bash

13_kubernetes_concepts/13.2_concepts.md

@@ -44,9 +44,9 @@
 ```bash
 $ kubectl get nodes
 NAME           STATUS   ROLES           AGE   VERSION
-control-plane  Ready    control-plane   10d   v1.30.2
+control-plane  Ready    control-plane   10d   v1.35.1
-worker-1       Ready    <none>          10d   v1.30.2
+worker-1       Ready    <none>          10d   v1.35.1
-worker-2       Ready    <none>          10d   v1.30.2
+worker-2       Ready    <none>          10d   v1.35.1
 ```
 
 每个节点的详细信息以如下结构保存：

14_kubernetes_setup/14.2_kubeadm-docker.md

@@ -14,7 +14,61 @@
 
 参考[安装 Docker](../03_install/README.md) 一节安装 Docker。
 
-### 14.2.2 安装 **kubelet**、**kubeadm**、**kubectl**
+### 14.2.2 安装并配置 cri-dockerd
+
+由于 Kubernetes v1.24 移除了内置的 dockershim，需要额外安装 **cri-dockerd** 作为 Docker 与 kubelet 之间的 CRI（Container Runtime Interface）适配层。
+
+#### Ubuntu/Debian
+
+```bash
+## 安装 cri-dockerd
+
+$ cd /tmp
+$ wget https://github.com/Mirantis/cri-dockerd/releases/download/v0.3.14/cri-dockerd-0.3.14.amd64.tgz
+$ tar xzvf cri-dockerd-0.3.14.amd64.tgz
+$ sudo mv cri-dockerd/cri-dockerd /usr/local/bin/
+
+## 下载并安装 systemd service 文件
+
+$ wget https://raw.githubusercontent.com/Mirantis/cri-dockerd/master/packaging/systemd/cri-docker.service
+$ wget https://raw.githubusercontent.com/Mirantis/cri-dockerd/master/packaging/systemd/cri-docker.socket
+$ sudo mv cri-docker.service cri-docker.socket /etc/systemd/system/
+
+## 启动 cri-dockerd
+
+$ sudo systemctl daemon-reload
+$ sudo systemctl enable cri-docker
+$ sudo systemctl start cri-docker
+
+## 验证安装
+
+$ sudo /usr/local/bin/cri-dockerd --version
+```
+
+#### CentOS/Fedora
+
+```bash
+## 安装 cri-dockerd
+
+$ cd /tmp
+$ wget https://github.com/Mirantis/cri-dockerd/releases/download/v0.3.14/cri-dockerd-0.3.14.amd64.tgz
+$ tar xzvf cri-dockerd-0.3.14.amd64.tgz
+$ sudo mv cri-dockerd/cri-dockerd /usr/local/bin/
+
+## 下载并安装 systemd service 文件
+
+$ wget https://raw.githubusercontent.com/Mirantis/cri-dockerd/master/packaging/systemd/cri-docker.service
+$ wget https://raw.githubusercontent.com/Mirantis/cri-dockerd/master/packaging/systemd/cri-docker.socket
+$ sudo mv cri-docker.service cri-docker.socket /etc/systemd/system/
+
+## 启动 cri-dockerd
+
+$ sudo systemctl daemon-reload
+$ sudo systemctl enable cri-docker
+$ sudo systemctl start cri-docker
+```
+
+### 14.2.3 安装 **kubelet**、**kubeadm**、**kubectl**
 
 需要在每台机器上安装以下的软件包：
 
@@ -56,7 +110,7 @@ EOF
 $ sudo yum install -y kubelet kubeadm kubectl
 ```
 
-### 14.2.3 修改内核的运行参数
+### 14.2.4 修改内核的运行参数
 
 #### 加载内核模块
 
@@ -92,7 +146,7 @@ EOF
 $ sysctl --system
 ```
 
-### 14.2.4 配置 kubelet
+### 14.2.5 配置 kubelet
 
 为了让 kubelet 正确运行，我们需要对其进行一些必要的配置。
 
@@ -116,7 +170,7 @@ ExecStartPre=-/sbin/modprobe ip_vs_sh
 $ sudo systemctl daemon-reload
 ```
 
-### 14.2.5 部署
+### 14.2.6 部署
 
 安装配置完成后，我们将分别在 Master 节点和 Worker 节点上进行部署操作。
 
@@ -125,10 +179,12 @@ $ sudo systemctl daemon-reload
 ```bash
 $ sudo kubeadm init --image-repository registry.cn-hangzhou.aliyuncs.com/google_containers \
       --pod-network-cidr 10.244.0.0/16 \
+      --cri-socket unix:///var/run/cri-dockerd.sock \
       --v 5 \
       --ignore-preflight-errors=all
 ```
 
+* `--cri-socket unix:///var/run/cri-dockerd.sock` 参数指定使用 cri-dockerd 作为容器运行时接口。
 * `--pod-network-cidr 10.244.0.0/16` 参数与后续 CNI 插件有关，这里以 `flannel` 为例，若后续部署其他类型的网络插件请更改此参数。
 
 > 执行可能出现错误，例如缺少依赖包，根据提示安装即可。
@@ -169,7 +225,7 @@ $ kubeadm join 192.168.199.100:6443 --token cz81zt.orsy9gm9v649e5lf \
     --discovery-token-ca-cert-hash sha256:5edb316fd0d8ea2792cba15cdf1c899a366f147aa03cba52d4e5c5884ad836fe
 ```
 
-### 14.2.6 查看服务
+### 14.2.7 查看服务
 
 所有服务启动后，查看本地实际运行的 Docker 容器。这些服务大概分为三类：主节点服务、工作节点服务和其它服务。
 
@@ -189,7 +245,7 @@ $ kubeadm join 192.168.199.100:6443 --token cz81zt.orsy9gm9v649e5lf \
 
 * Etcd 是所有状态的存储数据库；
 
-### 14.2.7 使用
+### 14.2.8 使用
 
 将 `/etc/kubernetes/admin.conf` 复制到 `~/.kube/config`
 
@@ -197,7 +253,7 @@ $ kubeadm join 192.168.199.100:6443 --token cz81zt.orsy9gm9v649e5lf \
 
 由于未部署 CNI 插件，CoreDNS 未正常启动。如何使用 Kubernetes，请参考后续章节。
 
-### 14.2.8 部署 CNI
+### 14.2.9 部署 CNI
 
 这里以 `flannel` 为例进行介绍。
 
@@ -218,7 +274,7 @@ $ kubectl get node -o yaml | grep CIDR
 $ kubectl apply -f https://raw.githubusercontent.com/flannel-io/flannel/v0.28.1/Documentation/kube-flannel.yml
 ```
 
-### 14.2.9 master 节点默认不能运行 pod
+### 14.2.10 master 节点默认不能运行 pod
 
 如果用 `kubeadm` 部署一个单节点集群，默认情况下无法使用，请执行以下命令解除限制
 
@@ -236,6 +292,6 @@ $ kubectl taint nodes --all node-role.kubernetes.io/master-
 ...
 ```
 
-### 14.2.10 参考文档
+### 14.2.11 参考文档
 
 * [官方文档](https://kubernetes.io/zh/docs/setup/production-environment/tools/kubeadm/install-kubeadm/)

17_ecosystem/17.3_podman.md

@@ -1,4 +1,4 @@
-## 17.3 podman - 下一代 Linux 容器工具
+## 17.3 Podman - 下一代 Linux 容器工具
 
 [Podman](https://github.com/containers/podman) 是一个无守护进程、与 Docker 命令高度兼容的下一代 Linux 容器工具。它由 Red Hat 开发，旨在提供一个更安全的容器运行环境。
 

19_observability/19.3_performance_optimization.md

@@ -258,7 +258,7 @@ scrape_configs:
 
 **常用的 Prometheus 查询（PromQL）：**
 
-```promql
+```text
 # 容器 CPU 使用百分比
 rate(container_cpu_usage_seconds_total[5m]) * 100
 

21_case_devops/21.7_practical_examples.md

@@ -529,7 +529,7 @@ HEALTHCHECK --interval=5s --timeout=3s --retries=5 \
 
 **redis.conf 配置：**
 
-```conf
+```text
 # 绑定地址
 bind 0.0.0.0
 

book.json

@@ -9,17 +9,14 @@
   },
   "plugins": [
     "-livereload",
-    "image-captions",
+    "mermaid-gb3",
     "github",
     "page-treeview",
     "editlink"
   ],
   "pluginsConfig": {
-    "image-captions": {
+    "mermaid-gb3": {
-      "attributes": {
+      "theme": "default"
-        "width": "600"
-      },
-      "caption": "图 _PAGE_LEVEL_._PAGE_IMAGE_NUMBER_ - _CAPTION_"
     },
     "github": {
       "url": "https://github.com/yeasy/docker_practice"

package.json

@@ -7,6 +7,7 @@
     "chalk": "^5.6.2",
     "commander": "^14.0.3",
     "esm": "^3.0.0",
+    "gitbook-plugin-mermaid-gb3": "^2.1.0",
     "honkit": "^6.1.6",
     "vuepress": "1.9.10",
     "vuepress-plugin-container": "^2.1.5",