Docker和傳統(tǒng)虛擬機(jī)的區(qū)別? ??

? ? ? ?

?

參考文章：

https://lwn.net/Articles/531114/? ??操作中的命名空間詳解

https://blog.yadutaf.fr/page/2/??

https://ruby-china.org/topics/22004? ??Docker 介紹以及其相關(guān)術(shù)語、底層原理和技術(shù)

http://tiewei.github.io/cloud/Docker-Getting-Start/

https://blog.csdn.net/zmx729618/article/details/72930474

http://www.ruanyifeng.com/blog/2018/02/docker-tutorial.html

?

主機(jī)級(jí)虛擬化

Type-I：直接在硬件平臺(tái)上安裝虛擬機(jī)管理器Hypervisor，在硬件上不需要再安裝宿主機(jī)操作系統(tǒng)，而是直接安裝Hypervisor，然后在Hypervisor上安裝虛擬機(jī)；

Type-II：首先在物理機(jī)上安裝一個(gè)主機(jī)操作系統(tǒng)(HostOS)，即宿主機(jī)操作系統(tǒng)，然后在宿主機(jī)上安裝VMM(Virtual Machine Manager,虛擬機(jī)管理器，例如VMware_workstation)，在VMware_workstation軟件上創(chuàng)建虛擬機(jī)。

容器級(jí)虛擬化

Control Groups（cgroups） 把系統(tǒng)級(jí)的資源分成多個(gè)組，然后把每一個(gè)組內(nèi)的資源量分配到特定用戶空間進(jìn)程上? ?

https://tech.meituan.com/2015/03/31/cgroups.html? ?可重點(diǎn)參考

https://en.wikipedia.org/wiki/Cgroups

https://www.ibm.com/developerworks/cn/linux/1506_cgroup/index.html

cgroups 的全稱是control groups，cgroups為每種可以控制的資源定義了一個(gè)子系統(tǒng)。典型的子系統(tǒng)介紹如下：

cpu 子系統(tǒng)，主要限制進(jìn)程的 cpu 使用率。

cpuacct 子系統(tǒng)，可以統(tǒng)計(jì) cgroups 中的進(jìn)程的 cpu 使用報(bào)告。

cpuset 子系統(tǒng)，可以為 cgroups 中的進(jìn)程分配單獨(dú)的 cpu 節(jié)點(diǎn)或者內(nèi)存節(jié)點(diǎn)。

memory 子系統(tǒng)，可以限制進(jìn)程的 memory 使用量。

blkio 子系統(tǒng)，可以限制進(jìn)程的塊設(shè)備 io。

devices 子系統(tǒng)，可以控制進(jìn)程能夠訪問某些設(shè)備。

net_cls 子系統(tǒng)，可以標(biāo)記 cgroups 中進(jìn)程的網(wǎng)絡(luò)數(shù)據(jù)包，然后可以使用 tc 模塊（traffic control）對(duì)數(shù)據(jù)包進(jìn)行控制。

freezer 子系統(tǒng)，可以掛起或者恢復(fù) cgroups 中的進(jìn)程。

ns 子系統(tǒng)，可以使不同 cgroups 下面的進(jìn)程使用不同的 namespace。

cgroups 實(shí)現(xiàn)了對(duì)資源的配額和度量。 cgroups 的使用非常簡(jiǎn)單，提供類似文件的接口，在 /cgroup 目錄下新建一個(gè)文件夾即可新建一個(gè) group，在此文件夾中新建 task 文件，并將 pid 寫入該文件，即可實(shí)現(xiàn)對(duì)該進(jìn)程的資源控制。具體的資源配置選項(xiàng)可以在該文件夾中新建子 subsystem ，{子系統(tǒng)前綴}.{資源項(xiàng)} 是典型的配置方法， 如 memory.usageinbytes 就定義了該 group 在 subsystem memory 中的一個(gè)內(nèi)存限制選項(xiàng)。 另外，cgroups 中的 subsystem 可以隨意組合，一個(gè) subsystem 可以在不同的 group 中，也可以一個(gè) group 包含多個(gè) subsystem - 也就是說一個(gè) subsystem。

?

Container可以當(dāng)作隔離環(huán)境管理器，在其上面創(chuàng)建一個(gè)個(gè)隔離環(huán)境，然后把要運(yùn)行的隔離出來的進(jìn)程運(yùn)行在隔離環(huán)境中。內(nèi)核提供的是內(nèi)核空間，進(jìn)程運(yùn)行在用戶空間，當(dāng)進(jìn)程運(yùn)行在一個(gè)隔離環(huán)境中的話，那么隔離的就是用戶空間，這就把用戶空間隔離成多組。這些被隔離的用戶進(jìn)程共享底層同一個(gè)內(nèi)核，但進(jìn)程運(yùn)行空間的邊界就是被隔離的用戶空間的邊界。這些被隔離的、運(yùn)行進(jìn)程的用戶空間就叫容器。

一旦進(jìn)程出現(xiàn)故障，除了感染所屬容器，是否會(huì)干擾其他容器的進(jìn)程？利用jail。

jail被應(yīng)用到linux上后叫vserver，vserver所實(shí)現(xiàn)的功能有chroot，切換根目錄。

?

參考：https://blog.csdn.net/zmx729618/article/details/72930474

一個(gè)用戶空間主要目標(biāo)是實(shí)現(xiàn)環(huán)境隔離的，任何進(jìn)程運(yùn)行在此用戶空間中會(huì)認(rèn)為它是唯一運(yùn)行在內(nèi)核上用戶空間的進(jìn)程。

一個(gè)用戶空間應(yīng)該包括的組件：

Linux支持6種Namespace：

UTS: 主機(jī)名(本文)

IPC: 進(jìn)程間通信

PID: "chroot"進(jìn)程樹

NS: 掛載點(diǎn)，首次登陸Linux(mnt命名空間:?使用在管理掛載點(diǎn) (MNT: Mount)

NET: 網(wǎng)絡(luò)接入，包括接口

USER: 將本地的虛擬user-id映射到真實(shí)的user-id

1、UTS?namespace（主機(jī)名和域名）；??http://blog.lucode.net/linux/intro-Linux-namespace-1.html

UTS ("UNIX Time-sharing System") namespace 允許每個(gè) container 擁有獨(dú)立的 hostname 和 domain name, 使其在網(wǎng)絡(luò)上可以被視作一個(gè)獨(dú)立的節(jié)點(diǎn)而非 Host 上的一個(gè)進(jìn)程。

2、Mount namespace（根文件系統(tǒng)）；

類似 chroot，將一個(gè)進(jìn)程放到一個(gè)特定的目錄執(zhí)行。mnt namespace 允許不同 namespace 的進(jìn)程看到的文件結(jié)構(gòu)不同，這樣每個(gè) namespace 中的進(jìn)程所看到的文件目錄就被隔離開了。同 chroot 不同，每個(gè) namespace 中的 container 在 /proc/mounts 的信息只包含所在 namespace 的 mount point。

3、IPC namespace：不同的用戶隔離空間中的進(jìn)程是無法利用IPC進(jìn)行通信的，不然用戶空間的隔離就沒有任何意義了。

container 中進(jìn)程交互還是采用 Linux 常見的進(jìn)程間交互方法 (interprocess communication - IPC), 包括常見的信號(hào)量、消息隊(duì)列和共享內(nèi)存。然而同 VM 不同，container 的進(jìn)程間交互實(shí)際上還是 host 上具有相同 pid namespace 中的進(jìn)程間交互，因此需要在IPC資源申請(qǐng)時(shí)加入 namespace 信息 - 每個(gè) IPC 資源有一個(gè)唯一的 32bit ID。

4、PID namespace：?Introduction to Linux namespaces – Part 2: IPC

? ?每個(gè)被隔離的用戶空間在運(yùn)行進(jìn)程的時(shí)候，必須有一個(gè)父進(jìn)程，即必須有管理此用戶空間的多個(gè)進(jìn)程的父進(jìn)程，否則在此用戶空間被銷毀前就無法管理此空間運(yùn)行的進(jìn)程了。

不同用戶的進(jìn)程就是通過 pid namespace 隔離開的，且不同 namespace 中可以有相同 PID。具有以下特征:

• 每個(gè) namespace 中的 pid 是有自己的 pid=1 的進(jìn)程(類似 /sbin/init 進(jìn)程)
• 每個(gè) namespace 中的進(jìn)程只能影響自己的同一個(gè) namespace 或子 namespace 中的進(jìn)程
• 因?yàn)?/proc 包含正在運(yùn)行的進(jìn)程，因此在 container 中的 pseudo-filesystem 的 /proc 目錄只能看到自己 namespace 中的進(jìn)程
• 因?yàn)?namespace 允許嵌套，父 namespace 可以影響子 namespace 的進(jìn)程，所以子 namespace 的進(jìn)程可以在父 namespace 中看到，但是具有不同的 pid

5、USER namespace：每個(gè)用戶空間都應(yīng)該有一個(gè)類似與root的管理者，但這些管理者在真實(shí)的主機(jī)上是普通用戶。

每個(gè) container 可以有不同的 user 和 group id, 也就是說可以以 container 內(nèi)部的用戶在 container 內(nèi)部執(zhí)行程序而非 Host 上的用戶。

6、Net?namespace? ?Introduction to Linux namespaces – Part 5: NET

網(wǎng)絡(luò)隔離是通過 net namespace 實(shí)現(xiàn)的， 每個(gè) net namespace 有獨(dú)立的 network devices, IP addresses, IP routing tables, /proc/net 目錄。這樣每個(gè) container 的網(wǎng)絡(luò)就能隔離開來。 docker 默認(rèn)采用 veth 的方式將 container 中的虛擬網(wǎng)卡同 host 上的一個(gè) docker bridge 連接在一起。

Linux Namespaces

Namespaces通過系統(tǒng)調(diào)用把上述6中功能向外輸出，創(chuàng)建進(jìn)程用clone()；

把創(chuàng)建好的進(jìn)程放到某個(gè)namespaces中，則使用系統(tǒng)調(diào)用：setns()，即把內(nèi)核中啟用的進(jìn)程放到容器中；

unshare()：此系統(tǒng)調(diào)用方法是是把容器中的進(jìn)程拿出來；

從上述角度看，要想使用容器需要依靠linux內(nèi)核級(jí)的內(nèi)核資源用于支撐用戶空間中。

docker構(gòu)建鏡像是 分層構(gòu)建、聯(lián)合掛載。

docker構(gòu)建鏡像是 分層構(gòu)建、聯(lián)合掛載。

比如centos是一個(gè)鏡像，nginx是一個(gè)鏡像，那么把這兩者疊加在一起則可以實(shí)現(xiàn)nginx運(yùn)行在centos上，這就叫聯(lián)合掛載。

當(dāng)需要運(yùn)行nginx時(shí)，把centos鏡像和nginx鏡像聯(lián)合掛載。每一層鏡像都是只讀的，所以底層鏡像是不允許修改的。

如果想在容器A中修改文件怎么辦呢？那么可以附加一個(gè)新層即E層，E層是專門屬容器A的層，是能讀能寫的，所以容器A就可以在E層進(jìn)行讀寫。
但是如果容器A想要?jiǎng)h除一個(gè)屬于底層鏡像的文件，怎么辦？由于底層鏡像是只讀，所以是無法刪除的，那么即可在底層鏡像中標(biāo)記為不可見即可。如果要修改底層鏡像的文件，即把底層鏡像中的文件復(fù)制到E層，然后在E層中進(jìn)行修改即可。
另外一個(gè)問題，因?yàn)镋層有數(shù)據(jù)，那么如何把容器A遷移到其他宿主機(jī)？因此在使用容器時(shí)，是不會(huì)在容器本地保存有效數(shù)據(jù)的，所以在需要存儲(chǔ)數(shù)據(jù)時(shí)，就會(huì)在文件系統(tǒng)上掛載一個(gè)外部的存儲(chǔ)，以后即使把容器刪除，也可以再啟動(dòng)同樣的鏡像，創(chuàng)建同樣的容器，然后掛載此數(shù)據(jù)庫即可。

libcontainer

Docker 從 0.9 版本開始使用 libcontainer 替代 lxc，libcontainer 和 Linux 系統(tǒng)的交互圖如下：

?

?

?

?

?

轉(zhuǎn)載于:https://www.cnblogs.com/hanshanxiaoheshang/p/10373068.html

總結(jié)

以上是生活随笔為你收集整理的1、docker容器技术基础入门的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。