在IDC运维中，Docker容器启动失败是常见问题。快速定位日志并精准排查，能大幅缩短恢复时间。本文系统梳理从日志获取到根因定位的完整流程。

一、获取容器启动日志

使用以下命令可查看容器启动时的标准输出和标准错误：

• docker logs [容器ID/名称] —— 显示最近日志
• docker logs --tail 100 -f [容器ID] —— 实时跟踪最后100行
• docker inspect [容器ID] | grep -i log —— 查看日志驱动及存放路径

若容器未成功运行，可借助 docker run --rm --entrypoint sh [镜像] -c "你的命令" 模拟启动环境。

二、常见错误类型与日志特征

1. 端口冲突

日志中出现 port is already allocated 或 bind: address already in use。解决方案：使用 docker ps -a | grep [端口] 查找占用容器，或修改宿主机映射端口。

2. 镜像问题

• 镜像拉取失败：pull access denied 或 manifest not found——检查镜像名、仓库认证、网络。
• 镜像启动入口丢失：exec format error——镜像入口文件缺少shebang或架构不匹配。

3. 环境变量/配置文件缺失

日志中常见 env: can't execute 'xxx' 或 open /app/config: no such file。需核对 docker run -e 参数与 volumes 挂载路径。

4. 资源限制

Cannot allocate memory 或 OCI runtime exec failed: exec failed: unable to start container process: fork/exec: no such file or directory 常因cgroup内存限制过小或主机内存不足。

三、深度排查步骤

1. 检查容器退出码：docker ps -a --format "table {{.ID}}\t{{.Names}}\t{{.Status}}\t{{.ExitCode}}"，常见退出码含义：0正常，1一般错误，137被SIGKILL（OOM），139段错误。
2. 查看Docker守护进程日志：journalctl -u docker --since "5 minutes ago" 可发现底层错误（如存储驱动、网络桥接）。
3. 使用docker event监控实时事件：docker events --filter event=die 获取退出事件及原因。
4. 进入容器内部调试：若容器短暂运行后崩溃，可尝试 docker run -it --entrypoint /bin/sh 镜像 手动执行启动脚本。

四、容器持久化存储与日志关系

部分启动失败源于数据卷权限或路径错误。日志中若出现 Permission denied，需检查 chown 和 security_opt 配置。对于生产环境，建议将应用日志输出到stdout/stderr，并配置 --log-opt max-size=10m --log-opt max-file=3 防止磁盘爆满。

五、总结

Docker容器启动失败排查的核心是“日志先行”。通过组合使用 docker logs、inspect、events 及系统层日志，可快速锁定原因。IDC运维人员应建立标准化的日志采集与告警机制，保障容器稳定性。