Docker将从Kubernetes中移除，我该怎么办？

傷城~ 2023-01-17 12:53 125阅读 0赞

### 文章目录 ###

*  Docker将从Kubernetes中移除，我该怎么办？
 *   *  对开发者而言
     *  对K8S管理员而言
     *   *  是真的吗？
         *  但是为什么 Docker 要被移除呢？
     *  CRI runtimes
     *   *  containerd
         *  CRI-O
         *  还有一件事...
         *   *  CRI runtimes
             *  OCI runtimes
             *   *  附录一：runC 是如何工作的
                 *  附录二：gVisor 是如何工作的
     *  总结
     *  参考文章

# Docker将从Kubernetes中移除，我该怎么办？ #

## 对开发者而言 ##

不必惊慌，Docker 容器和镜像依然在，Docker 将不会有任何的改变。  
这两篇文章值得大家去阅读：  
[Don’t Panic: Kubernetes and Docker][Don_t Panic_ Kubernetes and Docker]  
[Dockershim Deprecation FAQ][]

## 对K8S管理员而言 ##

仔细阅读下面的内容并且开始思考 Docker 的替代方案。

### 是真的吗？ ###

确实如此！Docker 现在不推荐在 K8S 中使用。

> Docker support in the kubelet is now deprecated and will be removed in a future release. The kubelet uses a module called “dockershim” which implements CRI support for Docker and it has seen maintenance issues in the Kubernetes community. We encourage you to evaluate moving to a container runtime that is a full-fledged implementation of CRI (v1alpha1 or v1 compliant) as they become available.

[摘自 K8S GitHub][K8S GitHub]

简而言之，由于 Docker 不支持 CRI (Kubernetes Runtime API)。K8S 的工程师使用了一个种桥接的方式，我们称之为 “Docker-Shim”，它的作用是将 CRI 转换为 Docker API，但是它在 K8S 后面的发行版本中不在提供。

实话实说，Docker 在本地是一个非常有力的工具去创建开发环境，但是要去理解为什么 K8S 要在以后的发现版本中移除 Docker ，你需要去理解 Docker 在当前的 K8S 环境中做了什么事情。

K8S 是一个底层的编排工具，它的目的是能够对许多不同的虚拟机或者是物理机进行组合，使之看起来是一个巨大的计算资源，提供资源让应用程序运行和相互访问。在这个体系下面，Docker 或者说是其他的容器运行时，被用作在指定的某台主机并且被 K8S 的控制面调度。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70]  
可以从上面的这张架构图看到，每个 K8S 节点都和控制面交互。kubelet 在每个节点上获取元数据并且通过执行 CRI 去创建或删除容器。

### 但是为什么 Docker 要被移除呢？ ###

再强调一遍！K8S 只能通过 CRI 的方式去交互并且 Docker 需要一种桥接服务 Docker-Shim 才能支持。这是第一个原因。

为了去阐述下一个原因，我们有必要去看一下 Docker 的架构图，如图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 1]  
可以看到 Docker 的功能非常丰富，但是 K8S 真正需要的只有红框部分。例如 Docker 的网络、卷等都没有在 K8S 中被用到。  
有很多的特性没有被采用，但是这些特性又会有安全隐患。有更少的特性，则会有更小的攻击面。  
所以这就是你需要开始思考的替代方式，称之为：CRI runtimes。

## CRI runtimes ##

目前有两个主要的 CRI runtime 实现方式。

### containerd ###

如果你仅仅想从Docker迁移，containerd 是最好的选择，因为它本来就作为 Docker 的一部分被采用去做所有的运行时工作，就如上图红色框部分的功能。他由 Docker 完全提供 CRI 实现。

containerd 是完全开源的，所以你能够在 GitHub 查看文档，甚至可以去贡献代码。

[containerd GitHub 地址][containerd GitHub]

### CRI-O ###

CRI-O 是一个由 Red Hat （红帽） 开发的 CRI 运行时。事实上，这个运行时正在被 Red Hat OpenShfit 使用。这个方式就一点都不依赖 Docker 了。

有趣的是，RHEL 7 也不正式支持 Docker 了，取代方案是 Podman、Buildah 和 CRI-O 作为容器环境。

[CRI-O GItHub地址][CRI-O GItHub]

CRI-O 的有点在我看来就是极简主义的，因为它被创建来作为 “CRI”运行时。因为 containerd 是作为 Docker 的一部分尝试去做更多的开源，但是 CRI-O 是纯的 CRI 运行时，它的内容都是 CRI 所需要的。

它仍然可以提供在 K8S 上运行应用程序所需要的功能，但是从 Docker 迁移到 CRI-O 可能会更具挑战性。

### 还有一件事… ###

当我们在谈论容器运行时的时候，我们需要注意在谈论的是那种类型。我们需要知道有两种类型，分别是 CRI runtimes 和 OCI runtimes。

#### CRI runtimes ####

正如我前面提到的那样，CRI 是一个 K8S 提供的 API，目的是为了与容器运行时交互，达到创建和删除容器化应用程序的目的。

他们以 kubelet 为单位通过 gRPC 方式调用并且容器运行时在和 kubelet 相同的主机上。CRI runtimes 的作用就是去获取 kubelet 的请求并且执行 OCI 容器运行时去运行容器。我觉得用一个图能够更好的解释。如图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 2]  
所以 CRI 做的事情如下：

1.  获取从 kubelet 的 gRPC 请求
2.  创建 OCI json 配置文件[参考链接][Link 1]

#### OCI runtimes ####

OCI runtimes 的作用是使用 Linux 内核系统调用（例如cgroups和namespace）创建容器。你可能听说过 `runc` 或 `gVisor`。下面就是有关他们内容：

##### 附录一：runC 是如何工作的 #####

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 3]  
CRI 通过调用 Linux 系统调用执行二进制文件后，runC 创建容器。这表明runC依赖Linux机器上运行的内核。  
这也意味着，如果您发现runC的漏洞使您获得了主机的root特权，那么容器化的应用程序也可以这样做。一个糟糕的黑客可能会使您的主机根深蒂固！事情肯定会变糟的。这就是为什么您也应该不断更新Docker（或任何其他容器运行时）的原因之一，而不仅仅是容器化的应用程序。

##### 附录二：gVisor 是如何工作的 #####

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 4]  
gVisor是最初由Google员工创建的OCI运行时。它实际上在其基础架构上运行以运行其云服务，例如Google Cloud Run，Google App Engine（第二代）和Google Cloud Functions（甚至更多！。

有趣的是，gVisor具有“来宾内核”层，这意味着容器化的应用程序无法直接接触主机内核层。即使他们认为确实如此，他们也只会接触gVisor的来宾内核。  
gVisor的安全模型实际上非常有趣，值得一读[gVisor官网][gVisor]

与runC的显着差异如下:

1.  性能较差
2.  Linux内核层不是100％兼容的，参考阅读[gVisor官网][gVisor]
3.  默认不支持

## 总结 ##

**1. Kubernetes 确定会弃用 Docker。因此，如果您是K8s管理员，则应开始考虑采用CRI运行时（例如 containerd 和 CRI-O）**  
a. containerd 与 Docker 兼容的，其中核心组件是相同的。  
b. CRI-O可以是你想要的 Kubernetes 更多的最小功能强大的选项。

**2. 了解 CRI 和 OCI 运行时职责和范围的区别**  
根据您的工作负载，runC可能并不总是使用最好的选择！

## 参考文章 ##

[Wait, Docker is deprecated in Kubernetes now? What do I do?][Wait_ Docker is deprecated in Kubernetes now_ What do I do]

[Don_t Panic_ Kubernetes and Docker]: https://kubernetes.io/blog/2020/12/02/dont-panic-kubernetes-and-docker/
[Dockershim Deprecation FAQ]: https://kubernetes.io/blog/2020/12/02/dockershim-faq/
[K8S GitHub]: https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.20.md#deprecation
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70]: /images/20221021/9b35fb862a2846dcaf66b4e926dc7a9e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 1]: /images/20221021/f9a3d944a10c4ee794b733eaf0e5f325.png
[containerd GitHub]: https://github.com/containerd/containerd/
[CRI-O GItHub]: https://github.com/cri-o/cri-o
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 2]: /images/20221021/6ac91e58c3684861a81623c7588cfb4c.png
[Link 1]: https://github.com/opencontainers/runtime-spec/blob/master/schema/config-schema.json
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 3]: /images/20221021/068c2735b89d46c48b59a07c68bd5735.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L01pbl9DaGFuZGVy_size_16_color_FFFFFF_t_70 4]: /images/20221021/0f11c8643cf74aa6b07f3c05438ca8b0.png
[gVisor]: https://gvisor.dev/docs/
[Wait_ Docker is deprecated in Kubernetes now_ What do I do]: https://dev.to/inductor/wait-docker-is-deprecated-in-kubernetes-now-what-do-i-do-e4m

发表评论取消回复

表情：

评论列表（有 0 条评论，125人围观）

还没有评论，来说两句吧...

相关阅读

相关从数组中移除重复元素

从数组中移除重复元素 const removeDuplicateItems = arr => [...new Set(arr)]; remove

偏执的太偏执、/ 2023年10月09日 12:09/ 0 赞/ 29 阅读

相关移除元素

给你一个数组 nums 和一个值 val，你需要 [原地][Link 1] 移除所有数值等于 val 的元素，并返回移除后数组的新长度。不要使用额外的数组空间，你必须仅使用

「爱情、让人受尽委屈。」/ 2023年07月23日 08:56/ 0 赞/ 19 阅读

相关 Docker将从Kubernetes中移除，我该怎么办？

文章目录 Docker将从Kubernetes中移除，我该怎么办？对开发者而言对K8S管理员而言是真的吗？

傷城~/ 2023年01月17日 12:53/ 0 赞/ 126 阅读

相关 K8s宣布弃用Docker，Dockershim将移除

参考文章： [K8s宣布弃用Docker，千万别慌！][K8s_Docker] [K8S为什么要弃用Docker？Dockershim将移除][K8S_Docker_Doc

痛定思痛。/ 2022年09月13日 11:18/ 0 赞/ 391 阅读

相关自考，我该拿你怎么办？

前言短短两年，经历了3次自考，第四次的自考学习即将拉开帷幕，那么，如何掌握高效率的学习方法呢？针对自考学习，我们应该怎么办呢？详解费斯汀格法则

刺骨的言语ヽ痛彻心扉/ 2022年05月22日 06:00/ 0 赞/ 161 阅读

相关关于从集合List中移除元素

当我们想从List集合中移除某些元素的时候，一般会想到List集合中的remove方法，所以有的人会起初使用如下的方式从集合中移除元素： List<Integer>

ゝ一纸荒年。/ 2022年04月05日 15:35/ 0 赞/ 390 阅读

相关广告拦截应用将从Google应用商城中移除

日期：2013-3-21 来源：[GBin1.com][] [![Ad Block Plus][]][Ad Block Plus 1] [Google][]在Google

超、凢脫俗/ 2022年03月20日 08:48/ 0 赞/ 148 阅读

相关将dll从进程模块列表中移除并保持正常运行

/\ URL: http://hi.baidu.com/zxhouse Email: LZX\QQ.COM 将dll从进程模块列表中移除并保持正常运行

「爱情、让人受尽委屈。」/ 2022年03月19日 15:16/ 0 赞/ 213 阅读

相关 VMware移除虚拟机并没有将虚拟机从磁盘删除

有时候我们使用需要用到虚拟机来创建另一台计算机进行操作，我们最常用的虚拟机软件就是VMware，但是我们用完虚拟机之后想将不需要的虚拟机从磁盘删除。 ![wa

蔚落/ 2022年02月05日 11:51/ 0 赞/ 916 阅读

相关从kubernetes集群中移除节点

一共分两步： 1.排干此节点 kubectl drain 节点名称 --delete-local-data --force --ignore-daemonsets

今天药忘吃喽~/ 2022年01月27日 17:57/ 0 赞/ 277 阅读