【轉(zhuǎn)】Docker那些事（一）

William_Sang 發(fā)布于2019-06-28 17:21 / 1324人閱讀

摘要：而實際上在宿主機中也會同步啟動一個進程，其在宿主機中是。如果其中的某一個容器正在執(zhí)行密集型的任務(wù)，那么它就會影響其他容器的任務(wù)執(zhí)行效率，導(dǎo)致多個容器相互影響并且搶占資源。

作者：榮幸

為什么是容器

如果問你現(xiàn)在最熱門的服務(wù)器端技術(shù)什么？想必很多人會不假思索的說是容器！

容器技術(shù)實際上并不是一個新鮮的名詞，現(xiàn)在大家一提到容器馬上想到的就是Docker，但是容器這個詞并不是Docker公司發(fā)明的，早期的Pass項目如CloudFoundry，其底層就是基于namespace和cgroups的容器技術(shù)。

Docker在當(dāng)時實際上是個小弟，并沒有引起大家的注意，但是現(xiàn)在Docker已經(jīng)成為容器事實上的標(biāo)準(zhǔn)，是什么讓Docker發(fā)展成現(xiàn)在這樣的程度呢？

這個功能就是Docker鏡像。

早期的Pass平臺最為人詬病的一個軟肋就是應(yīng)用的打包部署問題，一個應(yīng)用包在本地部署的好好的，接入Pass平臺后卻問題重重，而Docker鏡像解決了這個根本性問題。

容器到底是怎么回事

前面我們說了容器實際上是很早以前就有的技術(shù)，主要用到的是Linux的namespace，cgroups和rootfs。

我們經(jīng)常說沙盒或者集裝箱，他們里面裝的是貨物，那容器這個沙盒裝的又是什么呢？是進程！

我們把進程裝進一個沙盒(容器)里面，給他制造邊界，和盒子外面的世界隔離，所以我們會說容器實際上就是加了圍墻的一個進程。

Namespace

為進程制造邊界就需要用到namespace技術(shù)，我們先運行一個docker進程看一下：

docker run -it busybox /bin/sh 
# -it 是提供一個tty的輸入輸出環(huán)境
# -d  后臺運行程序
# -v  掛載外部存儲
# -p  端口映射
# -e  參數(shù)變量
# busybox 輕量級的容器鏡像

我們執(zhí)行ps命令，可以看到有趣的現(xiàn)象，PID為1的就是我們的啟動進程。

而實際上在宿主機中也會同步啟動一個進程，其PID在宿主機中是22035。

這就是PID namespace實現(xiàn)的障眼法，它在Linux進程啟動的時候（clone函數(shù)），會添加CLONE_NEWPID的參數(shù)，進程就會看到一個新的命名空間，所以進程ID就會變成1，實際上進程在宿主機上面還是22035。

除了PID namespace之外，還有很多的namespace，比如Network、Mount、User等，通過這些namespace對進程進行網(wǎng)絡(luò)、儲存、文件等進行限制，使這個進程看不到宿主機的真實情況，裝在了盒子里，這就是容器的核心原理了。

Cgroups

我們通過 Linux 的命名空間為新創(chuàng)建的進程隔離了文件系統(tǒng)、網(wǎng)絡(luò)、宿主機器上的其他進程，但是命名空間并不能夠為我們提供物理資源上的隔離，比如 CPU 或者內(nèi)存。在同一臺機器上可能運行著多個對彼此以及宿主機器一無所知的『容器』，但這些容器卻共同占用了宿主機器的物理資源。

如果其中的某一個容器正在執(zhí)行 CPU 密集型的任務(wù)，那么它就會影響其他容器的任務(wù)執(zhí)行效率，導(dǎo)致多個容器相互影響并且搶占資源。如何對多個容器的資源使用進行限制就成了解決進程虛擬資源隔離之后的主要問題，而 Control Group（簡稱 cgroups）就能隔離宿主機器上的物理資源，例如 CPU、內(nèi)存、磁盤 I/O 和網(wǎng)絡(luò)帶寬。cgroups介紹、應(yīng)用實例及原理描述

容器是一個單進程的模型

通過namespace和cgroups的學(xué)習(xí)我們知道了容器就是一個啟用了多個namespace的應(yīng)用進程，而這個進程能夠使用的資源受到cgroups的限制。這里面有個很重要的概念：容器是一個單進程的模型。

由于容器本質(zhì)上面是一個進程，即PID=1的進程，他是后續(xù)其他進程的父進程，這就意味著在一個容器內(nèi)，你沒有辦法同時運行兩個應(yīng)用，除非找到一個公共的PID=1的父進程，并使用像systemd或者supervisor這樣的軟件替代PID=1的進程來做為容器的啟動進程。

但是我們還是希望容器和應(yīng)用是同生命周期的，因為如果容器是好的，而里面的進程卻已經(jīng)掛了，這樣處理起來就會非常麻煩了。

通過上面對容器原理的了解，我們能不能分析出容器和虛擬機的區(qū)別？

虛擬機需要hypervisor層，在上面創(chuàng)建虛擬機是一個完整的OS

容器是Linux上的一個進程

虛擬機的OS資源消耗比容器大的多

容器使用的是宿主機上相同的內(nèi)核

容器隔離不了時間等資源

鏡像

前面說了Docker能夠成為容器現(xiàn)在的事實標(biāo)準(zhǔn)，主要是因為Docker創(chuàng)新了鏡像這個東西，那么鏡像在Linux系統(tǒng)里面是怎么存在的呢？

我們Docker的工作目錄是/app/docker/docker/ ，其中有個overlay2子目錄，它就是我們的鏡像目錄。

我們在這個目錄下有三個目錄和一個l的目錄，如下:

我們可以進入其中一個目錄，并查看該目錄下diff子目錄的內(nèi)容:

到這里我們可以知道，鏡像是由多個層組織并定義的，這些層本質(zhì)上是文件，這些文件是只讀的，每層具體的文件存放在層標(biāo)識符下的diff目錄下。

所以我們在制作鏡像的時候就需要理解層的概念，提高鏡像制作的效率和重復(fù)使用性。

以我們最常使用的Dockerfile制作鏡像舉例：

FROM node:8.16.0

RUN cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
RUN echo "Asia/Shanghai" >> /etc/timezone
RUN date -R

RUN mkdir -p /opt/app/
WORKDIR /opt/app

RUN rm -rf /opt/app/node_modules/
COPY package.json ./

RUN npm install --registry=https://registry.npm.taobao.org

Dockerfile 中的每一條命令在最終生成的鏡像中都會產(chǎn)生一層。Docker為了提高鏡像分發(fā)效率，給鏡像賦予了復(fù)用層的能力，在拉取，推送，build不同鏡像時，不同鏡像中內(nèi)容相同的層可以被復(fù)用從而節(jié)省大量操作。

所以我們應(yīng)該盡量把不變的命令放到 Dockerfile 的上層，這樣會顯著提高鏡像的使用效率。

如果希望了解更多關(guān)于Docker或運維技術(shù)的知識，請關(guān)注徐徐運維的公眾號