docker 介绍

左手的ㄟ右手 2023-06-22 06:29 6阅读 0赞

# 一、简介 #

Docker 是一个开源的应用容器引擎，基于 Go 语言 并遵从 Apache2.0 协议开源。

Docker 可以打包应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以实现虚拟化。

# 二、虚拟化 #

虚拟化技术是一种将计算机物理资源进行抽象、转换为虚拟的计算机资源提供给程序使用的技术。计算机资源包括 CPU 提供的运算控制资源，硬盘提供的数据存储资源，网卡提供的网络传输资源等。

通过虚拟化技术来管理计算机资源，可以大幅提高了计算机资源的使用率。注意是提高资源使用率，并不是减少，是指利用虚拟化，将原来程序用不到的一些资源拿出来，分享给另外一些程序，让计算机资源不被浪费。

# 三、容器 #

容器技术是一种全新意义上的虚拟化技术，按分类或者实现方式来说，属于操作系统虚拟化的范畴，也就是在由操作系统提供虚拟化的支持。

容器技术，指的是操作系统自身支持一些接口，能够让应用程序间可以互不干扰的独立运行，并且能够对其在运行中所使用的资源进行干预。

由于应用程序的运行被隔离在了一个独立的运行环境之中，这个独立的运行环境就好似一个容器，包裹住了应用程序，这就是容器技术名字的由来。

# 四、Docker 的技术实现 #

Docker 的主要实现技术：命名空间 (Namespaces) 、控制组 (Control Groups) 和联合文件系统 (Union File System)。

### 1、Namespace ###

命名空间是 Linux 核心在 2.4 版本后逐渐引入的一项用于运行隔离的模块。在某些编程语言中，命名空间的主要目的就是为了集合相同模块的类，区分不同模块间的同名类。Linux 内核的命名空间，也是将计算机资源进行切割划分，形成各自独立的空间。

就实现而言，Linux Namespaces 可以分为很多具体的子系统，如 User Namespace、Net Namespace、PID Namespace、Mount Namespace 等等。

以进程为例，通过 PID Namespace，可以实现一个独立的进程运行空间，在其中进程的编号会从 1 开始。在这个空间中运行的进程，完全感知不到外界系统中的其他进程或是其他进程命名空间中运行的进程。Docker 利用 PID Namespace 就实现了容器中隔离程序运行中进程隔离这一功能。

### 2、Control Groups ###

资源控制组(缩写为 CGroups)的作用就是控制计算机资源的。与以隔离进程、网络、文件系统等虚拟资源为目的 Namespace 不同，CGroups 主要做的是硬件资源的隔离。

CGroups 除了资源的隔离，还有资源分配。资源分配是指通过 CGroups 可以指定任意一个隔离环境对任意资源的占用值或占用率，这对于很多分布式使用场景来说是非常有用的功能。

例如，在服务器上部署一个业务服务和一个健康监控服务。通常情况下，监控服务只会占用很少的计算机资源，但无法保证其不会因为一些逻辑问题产生 Bug 进而过分消耗计算机资源。而它申请的计算机资源越多，意味着业务服务所能使用的计算机资源也就越少，最后甚至可能造成物理服务器的崩溃。

上述的问题在没有隔离实现的普通运行环境下是比较难解决的，因为所有不从系统层面出发的限制程序资源使用的方式都并不完全有效。由于 CGroups 实现于操作系统，而操作系统垄断着系统资源的分配，所以其完全能够限制隔离环境下应用的资源占有量。

### 3、Union File System ###

联合文件系统(Union File System)是一种能够同时挂载不同实际文件或文件夹到同一目录，形成一种联合文件结构的文件系统。联合文件系统本身与虚拟化并无太大的关系，但 Docker 却创新的将其引入到容器实现中，用它解决虚拟环境对文件系统占用过量，实现虚拟环境快速启停等问题。

在 Docker 中，提供了一种对 UnionFS 的改进实现，也就是 AUFS (Advanced Union File System)。AUFS 将文件的更新挂载到老的文件之上，类似于只添加文件修改内容(有点类似于git之类的版本管理)，这就意味着即使虚拟的文件系统被反复修改，也能保证对真实文件系统的空间占用保持一个较低水平。

# 五、Docker 的核心组成 #

docker 的四大组成对象 : 镜像 ( Image )、容器 ( Container )、网络 ( Network )、数据卷 ( Volume )。

### 1、镜像 ###

镜像(Image)可以理解为是一个只读的文件包，其中包含了虚拟环境运行最原始文件系统的内容。

但是 Docker 的镜像与虚拟机中的镜像还是有一定区别的。Docker 通过实现 AUFS 了一种增量式的镜像结构，这样做的好处是：每次对镜像内容的修改，Docker 都会将这些修改铸造成一个镜像层，而一个镜像其实就是由其下层所有的镜像层所组成的。当然，每一个镜像层单独拿出来，与它之下的镜像层都可以组成一个镜像。由于这种结构，Docker 的镜像实质上是无法被修改的，因为所有对镜像的修改只会产生新的镜像，而不是更新原有的镜像。

### 2、容器 ###

容器(Container)是用来隔离虚拟环境的基础设施，在 Docker 里，它也被引申为隔离出来的虚拟环境。

如果把镜像理解为编程中的类，那么容器就可以理解为类的实例。镜像内存放的是不可变化的东西，当以它们为基础的容器启动后，容器内也就成为了一个“活”的空间。

在官方的定义中，Docker 的容器应该有三项内容组成：

1.  一个 Docker 镜像
2.  一个程序运行环境
3.  一个指令集合

### 3、网络 ###

对于大部分程序来说，它们的运行都不会是孤立的，而是要与外界或者更准确的说是与其他程序进行交互的，这里的交互绝大多数情况下指的就是数据信息的交换。网络通讯是目前最常用的一种程序间的数据交换方式了。

由于计算机网络领域拥有相对统一且独立的协议等约定，其跨平台性非常优秀，所有的应用都可以通过网络在不同的硬件平台或操作系统平台上进行数据交互。特别是在分布式云计算的时代，应用或服务间的通讯更是充分依赖于网络传输，所以自然拥有一套完善的网络体系支撑，是承载应用运行所必须的基础设施。

在 Docker 中，实现了强大的网络功能，我们不但能够十分轻松的对每个容器的网络进行配置，还能在容器间建立虚拟网络，将数个容器包裹其中，同时与其他网络环境隔离。

另外，利用一些技术，Docker 能够在容器中营造独立的域名解析环境，这使得可以在不修改代码和配置的前提下直接迁移容器，Docker 会为我们完成新环境的网络适配。对于这个功能，甚至能够在不同的物理服务器间实现，让处在两台物理机上的两个 Docker 所提供的容器，加入到同一个虚拟网络中，形成完全屏蔽硬件的效果。

### 4、数据卷 ###

除了网络之外，文件也是重要的进行数据交互的资源。在以往的虚拟机中，通常直接采用虚拟机的文件系统作为应用数据等文件的存储位置。然而这种方式其实并非完全安全的，当虚拟机或者容器出现问题导致文件系统无法使用时，虽然可以很快的通过镜像重置文件系统使得应用快速恢复运行，但是之前存放的数据也就消失了。

为了保证数据的独立性，通常会单独挂载一个文件系统来存放数据。这种操作在虚拟机中是繁琐的，因为不但要搞定挂载在不同宿主机中实现的方法，还要考虑挂载文件系统兼容性，虚拟操作系统配置等问题。

主要通过 Docker 底层的 Union File System 技术实现挂载。在 UnionFS 的加持下，除了能够从宿主操作系统中挂载目录外，还能够建立独立的目录持久存放数据，或者在容器间共享。

在 Docker 中，通过这几种方式进行数据共享或持久化的文件或目录，都称为数据卷 ( Volume )。