docker容器的原理分析
01 容器的本質(zhì)是什么？
今天的重點(diǎn)問題是講述清楚什么是容器。
要理解容器的概念，首先我們需要知道什么是進(jìn)程？當(dāng)我們在Linux操作系統(tǒng)執(zhí)行一個程序，這個程序可能是一個二進(jìn)制文件，它被調(diào)用的時候，變成了計算機(jī)內(nèi)存中的數(shù)據(jù)、寄存器中的值、堆棧中的指令、以及各種設(shè)備狀態(tài)信息的一個集合。像這樣的一個計算機(jī)執(zhí)行環(huán)境的綜合，我們稱之為進(jìn)程。
容器，就是為這個進(jìn)程提供一個"邊界"，理解成白話，就是把這個進(jìn)程"包"起來，它本質(zhì)上是通過約束和修改進(jìn)程的一些動態(tài)表現(xiàn)實(shí)現(xiàn)的這個"包"的動作。
不難看出來，容器是一種特殊的、有"邊界"的進(jìn)程。
現(xiàn)在我們來看一個MySQL容器的進(jìn)程特點(diǎn)。
1、先查看下我們機(jī)器上mysql容器的containerID值，如下：
[root@VM-16-13-centos service]# docker ps | grep mysql 4784586d01e0 mysql "docker-entrypoint..." 3 months ago Up 3 months k8s_mysql.16d54d16_mysql-pd7jr_default_0032bce0-2b0f-11eb-98ad-5254002dbd85_d775f414
可以看到，containerID的值是4784586d01e0
2、首先我們通過docker exec命令（關(guān)于這條命令的介紹，下面會有講述）進(jìn)入一個容器里面，ps -ef命令查看進(jìn)程：
[root@VM-16-13-centos service]# docker exec -it 4784586d01e0 bash root@mysql-pd7jr:/# ps -ef UID PID PPID C STIME TTY TIME CMD mysql 1 0 0 2020 ? 03:20:20 mysqld root 882 0 0 09:42 ? 00:00:00 bash root 888 882 0 09:46 ? 00:00:00 ps -ef
可以發(fā)現(xiàn)，mysqld這個進(jìn)程的進(jìn)程號是1.
這里我要多嘴一下：
1、docker exec -it 4784586d01e0 bash
這條指令是告訴容器，我要進(jìn)入這個容器里面，并運(yùn)行一個bash的指令。
2、如果你的docker里面不支持ps命令，你需要使用下面的命令安裝一下ps這個指令：
apt-get update & apt-get install procps
然后我們退出到容器外面，再次查看mysqld進(jìn)程的進(jìn)程號：
[root@VM-16-13-centos service]# ps -ef|grep mysql root 5152 5059 0 2020 pts/5 00:00:00 mysql -uroot -px xxxx root 13644 24879 0 2020 pts/4 00:00:00 mysql -uroot -px xxxx polkitd 18853 18837 0 2020 ? 03:20:25 mysqld
發(fā)現(xiàn)進(jìn)程號是18853。
可以得到一個結(jié)論，mysqld進(jìn)程在容器里面和容器外面執(zhí)行的結(jié)果不一樣。
為什么會這樣？
其本質(zhì)是docker容器中的進(jìn)程被隔離在了一個新的環(huán)境中，使得這些進(jìn)程只能看到重新計算過的PID號。前面我們說過，docker本質(zhì)上是通過約束和修改進(jìn)程的一些動態(tài)，將一個物理機(jī)上的進(jìn)程"包"起來，我們看到的這個現(xiàn)象，就是"包"的結(jié)果。
那么Linux是如何將物理機(jī)進(jìn)程進(jìn)行的約束和修改呢？這里引入新的概念：
對于 Docker 等大多數(shù) Linux 容器來說，Linux 的Cgroups 技術(shù)是用來制造約束的主要手段，而
Namespace 技術(shù)則是用來修改進(jìn)程視圖的主要方法。
02 Cgroup技術(shù)和Namespace技術(shù)介紹
Namespace技術(shù)主要是為容器提供資源隔離用的。Namespace這個功能實(shí)現(xiàn)的方法比較簡單，通常情況下，我們創(chuàng)建Linux進(jìn)程的時候，系統(tǒng)會執(zhí)行一個clone的命令，類似：
int pid = clone(main_function, stack_size, SIGCHLD, NULL);
它返回的就是我們創(chuàng)建的進(jìn)程的PID號。
而Namespace技術(shù)就是在Linux創(chuàng)建進(jìn)程的時候，多了一個參數(shù)，這個新參數(shù)暫且稱之為newid，這樣，在容器內(nèi)，我們看到的進(jìn)程的PID號，就是這個newid了。這個Namespace我們稱之為PID Namespace。
除了這個Namespace,還有其他的，例如mount Namespace，Network Namespace等，分別是為了隔離掛載點(diǎn)和隔離網(wǎng)絡(luò)的。
當(dāng)然，不是所有的資源都能夠被namespace化，例如時間和操作系統(tǒng)內(nèi)核，就是一個服務(wù)器上的所有容器共享的。
容器一旦開始運(yùn)行，我們需要控制它使用的機(jī)器資源，例如磁盤、內(nèi)存、CPU等，否則它可能會耗盡物理機(jī)的資源，導(dǎo)致一些系統(tǒng)進(jìn)程發(fā)生崩潰。Cgroup技術(shù)就是專門為Linux進(jìn)程限制資源使用的。它的全程是Linux Control Group，它以文件和目錄的形式存放在/sys/fs/cgroups目錄下，如下：
[root@VM-16-13-centos service]# ls -l /sys/fs/cgroup/ total 0 drwxr-xr-x 4 root root 0 Nov 20 11:38 blkio lrwxrwxrwx 1 root root 11 Nov 20 11:38 cpu -> cpu,cpuacct lrwxrwxrwx 1 root root 11 Nov 20 11:38 cpuacct -> cpu,cpuacct drwxr-xr-x 5 root root 0 Nov 20 11:38 cpu,cpuacct drwxr-xr-x 3 root root 0 Nov 20 11:38 cpuset drwxr-xr-x 4 root root 0 Nov 20 11:38 devices drwxr-xr-x 3 root root 0 Nov 20 11:38 freezer drwxr-xr-x 3 root root 0 Nov 20 11:38 hugetlb drwxr-xr-x 5 root root 0 Nov 20 11:38 memory lrwxrwxrwx 1 root root 16 Nov 20 11:38 net_cls -> net_cls,net_prio drwxr-xr-x 3 root root 0 Nov 20 11:38 net_cls,net_prio lrwxrwxrwx 1 root root 16 Nov 20 11:38 net_prio -> net_cls,net_prio drwxr-xr-x 3 root root 0 Nov 20 11:38 perf_event drwxr-xr-x 4 root root 0 Nov 20 11:38 pids drwxr-xr-x 4 root root 0 Nov 20 11:38 systemd
不同的文件目錄里面，存儲不同的資源種類被限制的值，其中，比較常用的：
blkio：為塊設(shè)備設(shè)置i/o限制，一般用于磁盤等設(shè)備
cpuset：為進(jìn)程分配單獨(dú)的CPU核心和對應(yīng)的內(nèi)存節(jié)點(diǎn)
memory：為進(jìn)程設(shè)定內(nèi)存使用的限制。
當(dāng)我們通過命令啟動容器之后，操作系統(tǒng)會把這個docker進(jìn)程對應(yīng)的PID填寫到對應(yīng)控制組的文件中，從而控制當(dāng)前進(jìn)程使用的CPU資源值。
03 容器、鏡像和倉庫之間的關(guān)系
Docker 包括三個基本概念:
- 鏡像（Image）
- 容器（Container）
- 倉庫（Repository）
這三部分組成了Docker的整個生命周期，如上圖所示。
docker鏡像包含了文件系統(tǒng)，類似于虛擬機(jī)的鏡像，它是只讀的模板。這個文件系統(tǒng)也通常被稱之為rootfs，通常包含了bin、etc、sys、usr等一系列目錄。
docker容器是由鏡像實(shí)例化而來的，這和我們學(xué)習(xí)的面向?qū)ο蟮母拍钍窒嗨?，我們可以把鏡像想象成類,把容器想象成類經(jīng)過實(shí)例化后的對象，這樣就非常好理解鏡像和容器的關(guān)系了。
docker倉庫：類似與代碼倉庫，是Docker集中存放鏡像文件的場所
這個關(guān)系可以更加清楚的表述為：
以上就是詳解docker容器的概念的詳細(xì)內(nèi)容，更多關(guān)于docker容器的概念的資料請關(guān)注腳本之家其它相關(guān)文章！
相關(guān)文章
這篇文章主要介紹了docker?掛載、修改文件的步驟,咱們使用的是docker的 copy 命令從容器中 copy 出來相關(guān)的配置文件，在本地修改，修改完畢在使用docker的 copy 命令從本地 copy 到容器中，重啟容器生效的，需要的朋友可以參考下2023-03-03
Docker兩個容器互相請求接口的實(shí)現(xiàn)
在Docker中,容器通過Docker網(wǎng)絡(luò)進(jìn)行相互通信,本文就來介紹一下Docker兩個容器互相請求接口的實(shí)現(xiàn),感興趣的可以了解一下,感興趣的可以了解一下2023-11-11
詳解使用?docker?compose?部署?golang?的?Athens?私有代理問題
這篇文章主要介紹了使用?docker-compose?部署?golang?的?Athens?私有代理,幫助大家快速學(xué)習(xí)athens 如何構(gòu)建私有代理，本文給大家介紹的非常詳細(xì)，對大家的學(xué)習(xí)或工作具有一定的參考借鑒價值，需要的朋友可以參考下2022-04-04
Docker是一個開放源代碼軟件,用于自動化部署應(yīng)用程序?yàn)檩p量級、可移植的容器,運(yùn)行在幾乎任何地方,常用指令包括docker?pull下載鏡像,docker?images查看鏡像,docker?rmi移除鏡像等,感興趣的朋友跟隨小編一起看看吧2024-09-09
docker-compose如何單獨(dú)更新某個服務(wù)
這篇文章主要介紹了docker-compose如何單獨(dú)更新某個服務(wù)問題,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-05-05
docker 復(fù)制容器的實(shí)現(xiàn)步驟
本文主要介紹了docker 復(fù)制容器的實(shí)現(xiàn)步驟,主要介紹了三種方法,文中通過示例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2024-10-10
docker容器添加對外映射端口的實(shí)現(xiàn)
本文主要介紹了docker容器添加對外映射端口的實(shí)現(xiàn) ,從而實(shí)現(xiàn)容器與外部網(wǎng)絡(luò)的通信,文中通過示例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2023-09-09
在本篇文章了小編給各位分享的是一篇關(guān)于運(yùn)行docker需要的權(quán)限分析，有興趣的朋友們可以參考下。2020-03-03
Docker容器互相連接三種實(shí)現(xiàn)方法詳解
這篇文章主要介紹了Docker容器互連三種實(shí)現(xiàn)方法詳解,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2020-05-05
Docker中iptables規(guī)則在iptables重啟后丟失的完整過程
這篇文章主要給大家介紹了關(guān)于Docker中iptables規(guī)則在iptables重啟后丟失的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對大家學(xué)習(xí)或者使用Docker具有一定的參考學(xué)習(xí)價值，需要的朋友們下面來一起學(xué)習(xí)學(xué)習(xí)吧2020-05-05