• 实时监控：捕捉Docker守护进程的实时活动
• 审计追踪：记录所有关键操作的完整历史
• 系统集成：与其他监控系统对接的基础
• 故障诊断：帮助定位问题发生的时间点和上下文

docker events [OPTIONS]

• Type：事件类型（container, image, volume等）
• Action：具体动作（create, start, stop等）
• Actor：触发事件的对象属性
• scope：守护进程ID（Swarm模式下重要）
• time：事件发生的时间戳（纳秒级精度）

# 查询特定容器的启动/停止事件
docker events -f "container=my_container" -f "event=start" -f "event=stop"

# 查询镜像拉取和推送事件
docker events -f "type=image" -f "event=pull" -f "event=push"

# 查询过去30分钟内发生的错误事件
docker events --since "30m" -f "event=die"

• 自动伸缩：基于容器启动/停止事件调整资源
• 审计合规：记录所有关键操作事件
• 故障恢复：检测异常退出并自动重启
• 资源清理：识别孤立的镜像/容器

• 过滤前置：尽量在客户端过滤而非处理全部事件
• 时间窗口：合理使用--since/--until限制范围
• 批量处理：对高频事件采用批处理模式

• 访问控制：限制对events API的访问权限
• 敏感信息：注意事件中可能包含的敏感数据
• 审计日志：关键事件应单独记录和备份

# 实时监控所有事件
docker events

# 查看特定容器生命周期事件
docker events -f "container=my_cont" -f "type=container"

# 获取过去1小时的事件并以表格显示
docker events --since "1h" --format 'table {{.Time}}\t{{.Type}}\t{{.Action}}'

# 监控异常退出事件并触发告警
docker events -f "event=die" --format '{{.Actor.Attributes.exitCode}}' | while read code; do
  if [ "$code" -ne 0 ]; then
    send_alert "Container exited with code $code"
  fi
done