如何将整个Docker容器配置为全内存易失运行状态？

之前单独把/usr/lib/unifi/lib挂载为tmpfs报"Error: Unable to access jarfile"的问题，本质是tmpfs的覆盖式挂载逻辑：
你直接往这个路径上空挂tmpfs的时候，原本镜像只读层里存储的ace.jar等核心程序文件，会被tmpfs里的空目录完全遮挡，Java进程启动时顺着目录查找，只能看到tmpfs的空内容，自然定位不到目标jar包。
这种操作本身就存在逻辑问题——对镜像已经存放程序文件的目录，不要直接空挂tmpfs。

核心目标是让容器所有运行时产生的写入操作全部落到内存tmpfs上，完全不产生宿主机磁盘写入，同时不遮挡镜像自带的程序文件，预先配置好的持久化Volume可正常工作。具体操作可以按以下步骤落地：

• 优先使用Docker原生能力，避免手动硬挂程序目录
  直接通过Docker提供的tmpfs挂载参数，把容器运行时实际需要写入的临时目录全部指定为tmpfs挂载，完全不触碰/usr/lib/unifi这类存储程序核心文件的路径。这种方式不会覆盖镜像里的ace.jar等程序文件，从根源上避免找不到jar的报错，同时所有运行时的写入操作都在内存中完成。
• 匹配Unifi进程的实际写入路径做配置
  Unifi网络控制器运行时的写入操作基本都集中在临时运行目录、系统临时目录、日志目录，这些路径下没有存储核心启动依赖的jar包，完全可以放心挂载tmpfs，不会影响程序启动。典型的启动命令参考：

  docker run -d \
    --name unifi-ram-only \
    --read-only \
    --tmpfs /tmp:rw,noexec,nosuid,size=2g \
    --tmpfs /usr/lib/unifi/run:rw,noexec,nosuid,size=2g \
    --tmpfs /usr/lib/unifi/logs:rw,noexec,nosuid,size=2g \
    -v unifi-persist-data:/var/lib/unifi \
    -p 8080:8080 -p 8443:8443 \
    linuxserver/unifi-controller
  

  这里加的--read-only参数会让整个容器根文件系统默认处于只读状态，只有明确指定的tmpfs挂载点、独立Volume挂载点是可写的。所有容器运行产生的写操作，要么落到内存tmpfs，要么落到预先配置的持久化Volume上，完全不会在容器可写层产生宿主机磁盘写入。
• 若确实需要把/usr/lib/unifi/lib放到tmpfs运行
  不要对该路径空挂tmpfs，需要先把原镜像里该目录的所有文件预先同步到tmpfs中，再完成挂载：
  1. 启动临时容器导出目录文件：docker create --name temp-unifi linuxserver/unifi-controller && docker cp temp-unifi:/usr/lib/unifi/lib ./unifi-lib-backup && docker rm temp-unifi
  2. 正式启动容器挂载tmpfs到该路径时，先把导出的文件全部拷贝进tmpfs的挂载点，再启动Java进程。因为tmpfs里的文件和原镜像内容完全一致，自然不会出现找不到ace.jar的报错。

• 所有tmpfs挂载的内存空间直接从宿主机可用内存中扣除，一定要给每个tmpfs挂载点设置合理的大小上限，避免容器运行时占满宿主机内存影响其他服务。
• 通过pidstat监测到的ace.jar相关高I/O，本质是Unifi进程运行时会频繁读取、校验这个jar包的内容，只要保证这个文件在原路径能被正常读取，把所有写入操作引导到内存tmpfs，就能完全规避镜像的高磁盘I/O缺陷，根本不需要强行把jar所在目录空挂为tmpfs。
• 所有tmpfs路径中的内容会在容器停止、重启后完全清空，由于已经确认核心持久化数据都存储在独立Volume中，这种易失内容的丢失不会对业务造成影响。

内容的提问来源于stack exchange，提问作者Julien Brdy