Docker 原理
文章目录
Docker 原理
一、简介
1、了解 Docker 的前生 LXC
2、LXC 与 docker 什么关系？
3、什么是 docker
4、docker 官方文档
5、为什么docker越来越受欢迎
6、docker 版本
7、docker 和 openstack 对比
8、容器在内核中支持 2 种重要技术
1.namespaces 名称空间
2.control Group 控制组
9、了解 docker 三个重要概念
1.image 镜像
2.container 容器
3.repostory 仓库
10、docker 的主要用途
11、docker 改变了什么
二、docker 架构
1、总体架构
2、docker 架构 2
3、docker 架构 3
三、docker 架构 2 各个模块的功能
1、docker client
2、docker daemon
3、docker server
4、engine
5、job
6、docker registry
7、Graph
8、driver
9、libcontainer
10、docker container
一、简介
1、了解 Docker 的前生 LXC
LXC 为 Linux Container 的简写。可以提供轻量级的虚拟化，以便隔离进程和资源，而且不需要提供指令解释机制以及全虚拟化的其他复杂性。相当于 C++ 中的 NameSpace。容器有效地将由单个操作系统管理的资源划分到孤立的组中，以更好地在孤立的组之间平衡有冲突的资源使用需求。
与传统虚拟化技术相比，它的优势在于：
与宿主机使用同一个内核，性能损耗小；
不需要指令级模拟；
不需要即时(Just-in-time)编译；
容器可以在 CPU 核心的本地运行指令，不需要任何专门的解释机制；
避免了准虚拟化和系统调用替换中的复杂性；
轻量级隔离，在隔离的同时还提供共享机制，以实现容器与宿主机的资源共享。
总结：Linux Container 是一种轻量级的虚拟化的手段。
Linux Container 提供了在单一可控主机节点上支持多个相互隔离的server container 同时执行的机制。Linux Container 有点像 chroot，提供了一个拥有自己进程和网络空间的虚拟环境，但又有别于虚拟机，因为 lxc 是一种操作系统层次上的资源的虚拟化。
2、LXC 与 docker 什么关系？
docker 并不是 LXC 替代品，docker 底层使用了 LXC 来实现，LXC 将 linux 进程沙盒化，使得进程之间相互隔离，并且能够课哦内阁制各进程的资源分配。
在 LXC 的基础之上，docker 提供了一系列更强大的功能。
3、什么是 docker
docker 是一个开源的应用容器引擎，基于 go 语言开发并遵循了 apache2.0 协议开源。
docker 可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的 linux 服务器，也可以实现虚拟化。
容器是完全使用沙箱机制，相互之间不会有任何接口（类 iphone 的 app），并且容器开销极其低。
4、docker 官方文档
5、为什么docker越来越受欢迎
官方话语：容器化越来越受欢迎，因为容器是：
灵活：即使是最复杂的应用也可以集装箱化。 轻量级：容器利用并共享主机内核。 可互换：您可以即时部署更新和升级。 便携式：您可以在本地构建，部署到云，并在任何地方运行。 可扩展：您可以增加并自动分发容器副本。 可堆叠：您可以垂直和即时堆叠服务。
镜像和容器（contalners）
通过镜像启动一个容器，一个镜像是一个可执行的包，其中包括运行应用程序所需要的所有内容包含代码，运行时间，库、环境变量、和配置文件。容器是镜像的运行实例，当被运行时有镜像状态和用户进程，可以使用 docker ps 查看。
容器和虚拟机
容器时在 linux 上本机运行，并与其他容器共享主机的内核，它运行的一个独立的进程，不占用其他任何可执行文件的内存，非常轻量。
虚拟机运行的是一个完成的操作系统，通过虚拟机管理程序对主机资源进行虚拟访问，相比之下需要的资源更多。
6、docker 版本
Docker Community Edition（CE）社区版
Enterprise Edition(EE) 商业版
7、docker 和 openstack 对比
8、容器在内核中支持 2 种重要技术
docker 本质就是宿主机的一个进程，docker 是通过 namespace 实现资源隔离，通过 cgroup 实现资源限制，通过写时复制技术（copy-on-write）实现了高效的文件操作（类似虚拟机的磁盘比如分配 500g 并不是实际占用物理磁盘500g）
1.namespaces 名称空间
linux namespace是提供资源隔离的方案
- 系统可为进程分配不同的namespace
- 进程隔离，资源隔离
2.control Group 控制组
cgroup 的特点是：
cgroup 的 api 以一个伪文件系统的实现方式，用户的程序可以通过文件系统实现 cgroup 的组件管理
cgroup 的组件管理操作单元可以细粒度到线程级别，另外用户可以创建和销毁 cgroup，从而实现资源载分配和再利用
所有资源管理的功能都以子系统的方式实现，接口统一子任务创建之初与其父任务处于同一个 cgroup 的控制组
四大功能：
资源限制：可以对任务使用的资源总额进行限制
优先级分配：通过分配的 cpu 时间片数量以及磁盘 IO 带宽大小，实际上相当于控制了任务运行优先级
资源统计：可以统计系统的资源使用量，如 cpu 时长，内存用量等
任务控制：cgroup 可以对任务执行挂起、恢复等操作
9、了解 docker 三个重要概念
1.image 镜像
docker 镜像就是一个只读模板，比如，一个镜像可以包含一个完整的 centos，里面仅安装 apache 或用户的其他应用，镜像可以用来创建 docker 容器，另外 docker 提供了一个很简单的机制来创建镜像或者更新现有的镜像，用户甚至可以直接从其他人那里下周一个已经做好的镜像来直接使用
2.container 容器
docker 利用容器来运行应用，容器是从镜像创建的运行实例，它可以被启动，开始、停止、删除、每个容器都是互相隔离的，保证安全的平台，可以吧容器看做是要给简易版的 linux 环境（包括 root 用户权限、镜像空间、用户空间和网络空间等）和运行再其中的应用程序
3.repostory 仓库
仓库是集中存储镜像文件的沧桑，registry 是仓库主从服务器，实际上参考注册服务器上存放着多个仓库，每个仓库中又包含了多个镜像，每个镜像有不同的标签（tag）
仓库分为两种，公有参考，和私有仓库，最大的公开仓库是 docker Hub，存放了数量庞大的镜像供用户下载，国内的 docker pool，这里仓库的概念与 Git 类似，registry 可以理解为 github 这样的托管服务。
10、docker 的主要用途
官方就是 Bulid 、ship、run any app/any where，编译、装载、运行、任何 app/在任意地放都能运行。
就是实现了应用的封装、部署、运行的生命周期管理只要在 glibc 的环境下，都可以运行。
运维生成环境中：docker 化。
发布服务不用担心服务器的运行环境，所有的服务器都是自动分配 docker，
自动部署，自动安装，自动运行
再不用担心其他服务引擎的磁盘问题，cpu 问题，系统问题了
资源利用更出色
自动迁移，可以制作镜像，迁移使用自定义的镜像即可迁移，不会出现什么问题
管理更加方便了
11、docker 改变了什么
面向产品：产品交付 面向开发：简化环境配置 面向测试：多版本测试 面向运维：环境一致性 面向架构：自动化扩容（微服务）
二、docker 架构
1、总体架构
distribution 负责与 docker registry 交互，上传洗澡镜像以及 v2 registry 有关的源数据
registry 负责 docker registry 有关的身份认证、镜像查找、镜像验证以及管理
registry mirror 等交互操作
image 负责与镜像源数据有关的存储、查找，镜像层的索引、查找以及镜像 tar 包有关的导入、导出操作
reference 负责存储本地所有镜像的 repository 和 tag 名，并维护与镜像 id 之间的映射关系
layer 模块负责与镜像层和容器层源数据有关的增删改查，并负责将镜像层的增删改查映射到实际存储镜像层文件的 graphdriver 模块
graghdriver 是所有与容器镜像相关操作的执行者
2、docker 架构 2
如果觉得上面架构图比较乱可以看这个架构：
从上图不难看出，用户是使用 Docker Client 与 Docker Daemon 建立通信，并发送请求给后者。
而 Docker Daemon 作为 Docker 架构中的主体部分，首先提供 Server 的功能使其可以接受 Docker Client 的请求；而后 Engine 执行 Docker 内部的一系列工作，每一项工作都是以一个 Job 的形式的存在。
Job 的运行过程中，当需要容器镜像时，则从 Docker Registry 中下载镜像，并通过镜像管理驱动 graphdriver 将下载镜像以 Graph 的形式存储；当需要为 Docker 创建网络环境时，通过网络管理驱动 networkdriver 创建并配置 Docker 容器网络环境；当需要限制 Docker 容器运行资源或执行用户指令等操作时，则通过 execdriver 来完成。
而 libcontainer 是一项独立的容器管理包，networkdriver 以及 execdriver 都是通过 libcontainer 来实现具体对容器进行的操作。当执行完运行容器的命令后，一个实际的 Docker 容器就处于运行状态，该容器拥有独立的文件系统，独立并且安全的运行环境等。
3、docker 架构 3
再来看看另外一个架构，这个个架构就简单清晰指明了 server/client 交互，容器和镜像、数据之间的一些联系。
这个架构图更加清晰了架构
docker daemon 就是 docker 的守护进程即 server 端，可以是远程的，也可以是本地的，这个不是 C/S 架构吗，客户端 Docker client 是通过 rest api 进行通信。
docker cli 用来管理容器和镜像，客户端提供一个只读镜像，然后通过镜像可以创建多个容器，这些容器可以只是一个 RFS（Root file system根文件系统），也可以是一个包含了用户应用的 RFS，容器再 docker client 中只是要给进程，两个进程之间互不可见。
用户不能与 server 直接交互，但可以通过与容器这个桥梁来交互，由于是操作系统级别的虚拟技术，中间的损耗几乎可以不计。
