Docker-compose配置中build、context、ulimits、sysctl字段含义如何解释？

1. build 字段 #

build 字段用来声明当前服务的镜像需要从本地源码构建，而非直接拉取公共镜像仓库的现成镜像。执行docker-compose build或带构建参数的启动命令时，Docker会自动执行镜像构建流程，你配置中同时指定了image字段，构建完成的镜像会被自动标记为zabbix:ubuntu-5.4.4-custom方便后续复用。

2. context 字段 #

context是build下的必填子参数，用来指定Docker镜像构建的上下文目录：即Docker构建过程中有权限读取的文件根目录，Dockerfile、构建依赖的脚本、配置文件都需要放在这个目录下。你配置中context: zabbix-server-mysql代表构建上下文是当前docker-compose.yml文件所在目录下的zabbix-server-mysql子目录，构建过程无法访问该目录之外的文件。

3. ulimits 字段 #

ulimits 字段用来调整容器内的Linux系统资源限制，避免单个服务占用过多宿主机资源，你的配置中设置了两类常用限制：

• nproc: 65535：限制容器内最多同时运行65535个进程，防止Zabbix服务因异常或者高负载生成大量进程耗尽宿主机资源
• nofile：限制单个进程可打开的最大文件句柄数，Zabbix作为监控服务需要同时处理大量TCP连接和文件读写，调大该值可以避免出现too many open files的报错：
  • soft软限制20000：普通进程运行时默认不能超过该阈值，进程可自行在硬限制范围内调整软限制值
  • hard硬限制40000：系统级别的资源上限，只有拥有root权限的进程才可以修改该阈值

4. sysctl 字段 #

sysctl 字段用来在容器启动时自定义容器内的内核参数，无需修改宿主机的内核配置，你的配置中均为网络相关的内核调优项：

• net.ipv4.ip_local_port_range=1024 65000：扩大容器内可使用的本地端口范围，提升高并发场景下的端口可用数量，避免端口耗尽无法建立新连接
• net.ipv4.conf.all.accept_redirects=0：关闭ICMP重定向报文接收，避免被恶意重定向攻击，提升网络安全性
• net.ipv4.conf.all.secure_redirects=0：关闭来自网关的安全ICMP重定向报文接收，进一步收紧网络安全规则
• net.ipv4.conf.all.send_redirects=0：关闭ICMP重定向报文发送，避免容器被利用作为网络攻击跳板

内容的提问来源于stack exchange，提问作者Andres Camino