| 用途 | 在线调整资源参数 |
|---|---|
| 语法 | docker update [--cpus] [--memory] [--pids-limit] 容器 |
| 不涉及 | 镜像、端口、挂载等创建期属性 |
示例
示例
docker update --cpus=2 --memory=1g api
docker update --pids-limit=512 api
docker inspect -f '{{.HostConfig.Memory}}' api调整是即时生效的配置变更；变更前记录现值，异常时能快速回退。
本包目录（366 条）
基础命令50 条镜像与构建107 条网络与存储52 条Compose 编排55 条
资源与安全50 条
- docker run --memory 内存硬限制
- docker run --cpus 限制 CPU
- 容器内使用非 root 用户运行
- 用 docker stats 验证限额生效
- 容器 OOM 的识别与处理
- daemon.json 常用加固项
- 容器默认没有资源限制
- --privileged 的影响与替代方案
- 内核能力收敛 --cap-drop / --cap-add
- 加固运行基线组合命令
- docker update 动态调整资源限制
- 挂载 docker.sock 的风险与控制
- 环境变量传密钥的泄露面
- docker run --pids-limit 限制进程数
- seccomp 系统调用过滤
- 批量审计高危容器配置
- inspect 核对容器资源限额
- 只读根文件系统 --read-only
- docker run --ulimit 设置进程资源上限
- 按 digest 固定部署镜像
- 禁止权限提升 no-new-privileges
- 远程 API 暴露与 TLS 保护
- docker run --cap-add 精细补能力
- docker scout 官方漏洞扫描
- docker run --cpuset-cpus 绑定 CPU 核
- 用户命名空间映射 userns-remap
- docker 组成员等效 root 的审计
- Trivy 镜像漏洞扫描
- docker run --cpu-shares 相对权重
- rootless 模式运行 Docker
- docker run --memory-reservation 内存软限制
- 确认 cgroup 版本与驱动
- AppArmor 与容器配置校验
- docker run --shm-size 调整共享内存
- docker run --memory-swap 交换空间控制
- --pid=host 等宿主命名空间审计
- 用 socket 代理收敛 Docker API
- Falco 运行时行为检测
- docker run --oom-score-adj 调整 OOM 优先级
- cosign 镜像签名验证
- docker run --cpu-period / --cpu-quota 精确配额
- 容器 swap 倾向 --memory-swappiness
- docker run --device 最小设备授权
- Docker Bench 基线自查
- docker run --blkio-weight 块 IO 权重
- docker run --sysctl 内核参数（白名单）
- 容器内 sudo 的检查与清理
- SELinux 卷标签 :z 与 :Z
- 凭据助手 credential helper
- docker run --cgroup-parent 指定父 cgroup
docker update 动态调整资源限制
不重建容器调整部分资源限制：CPU、内存、PID 上限等可在运行中更新，适合应急收紧或放宽，但要评估应用是否感知不到。
易错点
- 内存上限调小不会立刻杀死进程，是在后续分配时生效，观察指标看错会误判是否成功
- 端口、挂载、网络等要改只能重建容器，update 不负责这些字段
数据来源与参考
- Docker 官方 CLI 参考：docker update（docs.docker.com）