摘要：將一個輕量級的容器虛擬化平臺和一組標準工作流程工具進行集成，來幫助你方便地管理和部署應用。主要包括哪些組件主要包括兩個組件開源的容器虛擬化平臺用于分享和管理容器的軟件即服務平臺。

【編者的話】本文來自 Docker 的官方文檔，詳細介紹了 Docker 的體系結構、重要概念、內部工作機理等內容，推薦不了解 Docker 內部原理的同學閱讀。

Docker 是一個用于開發、交付和運行應用的開放平臺，Docker 設計用來更快的交付你的應用程序。Docker 可以將你的應用程序和基礎設施層隔離，并且還可以將你的基礎設施當作程序一樣進行管理。Docker 可以幫助你更塊地打包你代碼、測試以及部署，并且也可以減少從編寫代碼到部署運行代碼的周期。

Docker 將一個輕量級的容器虛擬化平臺和一組標準工作流程、工具進行集成，來幫助你方便地管理和部署應用。

核心是，Docker 提供了一種在安全隔離的容器中運行近乎所有應用的方式，這種隔離性和安全性允許你在同一主機上同時運行多個容器，而容器的這種輕量級特性，意味著你可以節省更多的硬件資源，因為你不必消耗運行 hypervisor 所需要的額外負載。

基于容器虛擬化的工具或者平臺可以為你提供如下幫助：

將應用程序（包括支撐的組件）放入Docker容器中；

將這些容器打包并分發給你的團隊，以便于后續的開發和測試；

將這些容器部署到生產環境中，生產環境可以是本地的數據中心，也可以在云端。

Docker是開發過程中較為理想的助手，它允許你在包含了你的應用和服務的本地容器中進行開發，然后幫你完成集成和部署。

例如，你的開發人員可以在本地編寫代碼然后通過Docker與其他同事共享，當他們完成了各自的開發任務后，可以將他們的代碼推送到一個測試的環境中進行測試，完成測試后便可以將相應的Docker鏡像部署到生產環境中。

Docker這種基于容器的平臺具有高度的便攜性，它可以無縫地運行于開發者的本地主機、數據中心其它的物理機或虛擬機、或者云端。

Docker的便攜性和其天然的輕量特性易于實現動態地負載管理，你可以利用Docker快速地增減應用和服務的部署規模，Docker的速度保證了這種規模的調整近乎實時。

由于Docker輕量并且快速，因此相對于基于Hypervisor的虛擬機的部署方式，Docker提供了一種更可行和劃算的替代方案，這對于高密度部署環境尤其有用，例如在構建私有云或PaaS。當然，當你想在有限的資源里部署更多的應用時，Docker對于中小型的部署也非常有用。

Docker主要包括兩個組件：

Docker：開源的容器虛擬化平臺；

Docker Hub ：用于分享和管理Docker容器的軟件即服務平臺。

注：Docker在Apache 2.0開源協議下進行授權。

Docker是Client/Server的架構，Docker客戶端與Docker daemon進行交互，daemon負責構建、運行和發布Docker容器。客戶端可以和服務端運行在同一個系統中，也可以連接遠程的daemon。Docker的客戶端的daemon通過RESTful API進行socket通信。

[

就像上圖所示，Docker守護進程（daemon）在主機上運行，用戶不能直接和守護進程打交道，但是可以通過Docker客戶端與其進行交互。

Docker客戶端——docker二進制文件的功能之一——是Docker的初始用戶界面，它接收用戶的命令并反饋，并且與Docker的守護進行交互。

理解Docker的內部機制，你需要明白如下三個組件：

Docker鏡像

Docker注冊中心

Docker容器

Docker鏡像是一個只讀的模板。例如，一個鏡像可以包含安裝了Apache Web服務應用的Ubuntu操作系統。鏡像可以用來創建Docker容器。Docker提供了構建新鏡像或升級原有鏡像的較為便利的方式，或者你也可以下載別人已經創建好的鏡像。Docker鏡像是Docker的構建組件。

Docker注冊中心用于上傳和下載鏡像，分為公共注冊中心和私有注冊中心兩種。公共注冊中心為Docker Hub，它提供了大量的現成鏡像，你可以構建自己的鏡像并上傳到上面，也可以在上面下載別人構建的鏡像。Docker注冊中心是Docker的發布組件。

Docker容器就像是一個文件夾，它包含了一個應用程序運行所需要的所有內容。每個容器都是基于Docker鏡像構建。我們可以運行、開始、停止、遷移或者是刪除Docker容器。每個容器均是一個隔離的、安全的應用平臺。Docker容器是Docker的運行組件。

至此，我們已經知道了：

你可以構建用于存儲你的應用程序的鏡像；

你可以從Docker鏡像中創建容器用來運行你的應用；

你可以通過Docker Hub或者你自己的注冊中心來共享Docker鏡像。

那我們看看 Docker 是怎么將這些元素組合在一起工作的。

我們已經知道Docker鏡像實質上是一些用于加載Docker容器的只讀模板，每個鏡像包括很多層。Docker利用union file systems將這些層組合為一個鏡像。Union file systems允許相互隔離的文件或目錄透明的疊加在一起，而呈現為一個統一的文件系統。

Docker如此輕量化的原因也是由于這些層的存在。當你對一個Docker鏡像進行修改時——例如將一個應用升級為一個新的版本——會構建一個新的層，因此，與虛擬機的替換整個鏡像或完全構建的方式不同，Docker僅對相關的層進行添加或升級。所以你僅需要發布鏡像的更新部分而不必發布整個鏡像，這種方式使得鏡像的發布更加快速和簡單。

每個鏡像始于一個基礎鏡像，例如：ubuntu便是一個基礎的Ubuntu鏡像，fedora是一個基礎的Fedora鏡像。你也可以將你自己制作的鏡像作為基礎鏡像，例如你可以將一個Apache鏡像作為一個Web應用的基礎鏡像。

  
注意：Docker一般從Docker Hub上獲取基礎鏡像。Docker鏡像從這些基礎鏡像中按照一系列的步驟進行制作，我們稱這些步驟為指令，每個指令在你的鏡像中創建一個新的層，指令包括以下行為：

運行一條命令；

添加一個文件或目錄；

創建一個環境變量；

從此鏡像中加載一個容器時需要運行的進程。

這些指令存儲在Dockerfile中，Docker在構建鏡像過程中讀取這個Dockerfile，運行里面的指令并返回最終的鏡像。

Docker注冊中心是Docker鏡像的存儲中心，當你構建完一個鏡像后便可以將其推送到Docker Hub或你自己的注冊中心。

利用Docker客戶端，你可以搜索已經發布的鏡像，然后將其拉取到你的Docker主機上，以便于基于這些鏡像構建容器。

Docker Hub為鏡像提供了公共的和私有的存儲空間。公共的存儲空間任何人均可以在上面搜索和下載，私有存儲空間僅對你本人或你的團隊開放搜索以及拉取下載，你可以通過這里注冊一個私有的存儲空間。

一個容器包括操作系統、用戶添加的文件以及相關的元數據。我們知道，每個容器都是從鏡像中構建出來的，這個鏡像告訴Docker容器用到什么資源、當容器加載時啟動哪個進程以及容器啟動時的其它配置。Docker鏡像是只讀的，當Docker從一個鏡像運行一個容器時，它會在鏡像的上層添加一個用于運行應用的可讀寫的層（利用的就是上文提到的union file system）。

不管是通過Docker命令還是API調用的方式，Docker客戶端都會通知Docker的守護進程運行一個容器。

sudo docker run -i -t ubuntu /bin/bash

我們來看一下這個命令，Docker客戶端利用docker命令并結合run選項來啟動一個容器，一個最小配置的Docker客戶端運行一個容器需要告訴Docker守護進程以下事項：

此容器基于什么鏡像來構建，此處是ubuntu——一個基礎的Ubuntu鏡像；

需要在容器中運行的命令，此處是/bin/bash——在容器中啟動一個Bash Shell。

那么我們看看運行上述命令時到底發生了什么？

按照順序，Docker依次干了如下事情：

拉取ubuntu鏡像 : Docker首先檢查一下ubuntu鏡像在本地服務器上存不存在，如果不存在，則自動從Docker Hub中下載，如果已經存在則直接利用這個鏡像來啟動一個新的容器。

創建一個新的容器: 如果Docker本地服務器中存在這個鏡像，那么就據此來啟動一個容器。

分配一個文件每戶并且將其掛載到一個可讀寫的層: 容器在此文件系統中被創建，并且將其作為一個可讀寫的層添加到鏡像中。

分配一個網絡或橋接的接口: 創建一個網絡的接口以便于Docker容器能夠訪問本機。

設置一個IP地址: 為此容器從地址池中找到并綁定一個IP地址。

執行指定的進程: 運行你的應用程序，然后；

獲取并提供應用程序的輸出: 連接標準輸入、標準輸出和標準錯誤接口，這樣你便可以觀察到程序運行的一切。

現在你已經運行了一個容器，這樣你便可以管理你的容器、與應用程序進行交互，當運行結束是停止或者刪除你的容器。

Docker是用Go語言實現的，用到了一些Linux內核的特性實現上述功能。

Docker在為容器提供一個隔離的工作空間時，用到了命名空間的技術，當你運行一個容器時，Docker會為此容器創建一組命名空間。

這樣便可以提供一個隔離的層：每個容器運行在自己的命名空間中，而外部不能訪問這個層。

Docker用到的一些命名空間有：

pid命名空間: 用于隔離進程（PID：Process ID）；

net命名空間: 用于管理網絡；

ipc命名空間: 用于訪問IPC資源（IPC：InterProcess Communication）；

mnt命名空間: 用于管理掛載點（MNT：Mount）；

uts命名空間: 用于隔離內核和版本標識（UTS：Unix Timesharing System）。

Docker還用到了另外一項技術叫cgroups或者叫控制組（control groups）。實現程序運行環境的隔離的關鍵在于使這些程序只用到它們需要的資源，這就能夠保證這些容器是主機服務環境小社會中的好市民。控制組允許Docker在不同的容器之間共享硬件資源，需要時添加一些限制和約束，例如限制一個容器最大訪問內存量。

統一文件系統或者說是UnionFS，是創建層的時候用到的文件系統，使文件系統非常輕量和快速。Docker使用統一文件系統為容器構建blocks，Docker可以使用幾種不同的文件系統：AUFS、btrfs、vfs以及DeviceMapper。

Docker容器將這些組件合并在一起，我們稱之為容器格式，容器的缺省格式稱為libcontainer。Docker還支持利用LXC技術的傳統Linux容器格式，未來還將會支持其它的容器格式，例如：與BSD Jails或者Solaris Zones實現整合。

安裝Docker，請參照 installation section

Docker用戶指南，請參照 深入學習Docker

原文鏈接：Understanding Docker（翻譯：deerlux 校對：李穎杰）
譯者介紹：deerlux@163.com，現就職于一家軍工科研機構，深度的技術控、Linux控、python控。