Docker 基础

Docker 基础

一、简介

1. 什么是 Docker

docker 是一个开源的应用容器引擎，基于go语言开发并遵循了apache2.0协议开源。docker本质就是 宿主机的一个进程。 docker是通过 namespace 实现资源隔离，通过 cgroup 实现资源限制，通过 写时复制技术（copy-on-write） 实现了高效的文件操作（类似虚拟机的磁盘比如分配500g并不是实际占用物理磁盘500g）

namespace的六项隔离

namespace 系统调用参数 隔离内容 UTS CLONE_NEWUTS 主机名，域名 IPC CLONE_NEWWIPC 信号量，消息堆列和共享内存 PID CLONE_NEWPID 进程编号 NETWORK CLONE_NEWNET 网络设备、网络栈、端口等 MOUNT CLONE_NEWNS 挂载点（文件系统） USER CLONE_NEWUSER 用户和用户组（3.8以后的内核才支持）

名字空间是 Linux 内核一个强大的特性。每个容器都有自己单独的名字空间，运行在其中的应用都像是在独立的操作系统中运行一样。名字空间保证了容器之间彼此互不影响。

1 pid 名字空间

不同用户的进程就是通过 pid 名字空间隔离开的，且不同名字空间中可以有相同 pid。所有的 LXC 进程在Docker 中的父进程为Docker进程，每个 LXC 进程具有不同的名字空间。同时由于允许嵌套，因此可以很方便的实现嵌套的 Docker 容器。

2 net 名字空间

有了 pid 名字空间, 每个名字空间中的 pid 能够相互隔离，但是网络端口还是共享 host 的端口。网络隔离是通过 net 名字空间实现的， 每个 net 名字空间有独立的 网络设备, IP 地址, 路由表, /proc/net 目录。这样每个容器的网络就能隔离开来。Docker 默认采用 veth 的方式，将容器中的虚拟网卡同 host 上的一 个Docker网桥 docker0 连接在一起。

3 ipc 名字空间

容器中进程交互还是采用了 Linux 常见的进程间交互方法(interprocess communication – IPC), 包括信号量、消息队列和共享内存等。然而同 VM 不同的是，容器的进程间交互实际上还是 host 上具有相同 pid 名字空间中的进程间交互，因此需要在 IPC 资源申请时加入名字空间信息，每个 IPC 资源有一个唯一的 32位 id。

4 mnt 名字空间

类似 chroot，将一个进程放到一个特定的目录执行。mnt 名字空间允许不同名字空间的进程看到的文件结构不同，这样每个名字空间 中的进程所看到的文件目录就被隔离开了。同 chroot 不同，每个名字空间中的容器在 /proc/mounts 的信息只包含所在名字空间的 mount point。

5 uts 名字空间

UTS(“UNIX Time-sharing System”) 名字空间允许每个容器拥有独立的 hostname 和 domain name, 使其在网络上可以被视作一个独立的节点而非 主机上的一个进程。

6 user 名字空间

每个容器可以有不同的用户和组 id, 也就是说可以在容器内用容器内部的用户执行程序而非主机上的用户。

原文链接： https://blog.csdn.net/CleverCode/article/details/83863925

control Group 控制组

特点

1. cgroup的api以一个 伪文件系统 的实现方式，用户的程序可以通过文件系统实现cgroup的 组件管理 ；
2. cgroup的组件管理操作单元可以 细粒度到线程级别 ，另外用户可以 创建和销毁 cgroup，从而实现资源的分配和再利用；
3. 所有资源管理的功能都以 子系统的方式实现 ，接口统一子任务创建之初与其父任务处于同一个cgroup的控制组

功能

1. 资源限制 ：可以对任务使用的资源总额进行限制；
2. 优先级分配 ：通过分配的cpu时间片数量以及磁盘IO带宽大小，实际上相当于控制了任务运行优先级；
3. 资源统计 ：可以统计系统的资源使用量，如cpu时长，内存用量等；
4. 任务控制 ：cgroup可以对任务执行挂起、恢复等操作；

2. 容器的优点

• 灵活：即使是最复杂的应用也可以集装箱化。
• 轻量级：容器利用并共享主机内核。
• 可互换：您可以即时部署更新和升级。
• 便携式：您可以在本地构建，部署到云，并在任何地方运行。
• 可扩展：您可以增加并自动分发容器副本。
• 可堆叠：您可以垂直和即时堆叠服务。

3. Docker 三个重要的概念

docker 是一个 C/S 架构模型。

1）image镜像

docker镜像就是一个只读模板，比如，一个镜像可以包含一个完整的centos，里面仅安装apache或用户的其他应用，镜像可以用来 创建docker容器 ，另外docker提供了一个很简单的机制来创建镜像或者更新现有的镜像，用户甚至可以直接从其他人那里下一个已经做好的镜像来直接使用。

2）container容器

docker利用容器来运行应用， 容器是从镜像创建的运行实例 ，它可以被 启动，开始、停止、删除、每个容器都是互相隔离的， 保证安全的平台，可以吧容器看做是要给 简易版的linux 环境（包括root用户权限、镜像空间、用户空间和网络空间等）和运行再其中的应用程序

3）repostory仓库

仓库是集中存储镜像文件的沧桑，registry是仓库主从服务器，实际上参考注册服务器上存放着多个仓库，每个仓库中又 包含了多个镜像 ，每个镜像 有不同的标签 （tag）

仓库分为两种， 公有仓库和私有仓库 ，最大的公开仓库是docker Hub，存放了数量庞大的镜像供用户下周，国内的docker pool，这里仓库的概念与Git类似，registry可以理解为github这样的托管服务

二、Docker 架构

1. 看得见的架构

Docker使用了 C/S 体系架构。

1. Docker客户端与Docker守护进程(daemon)通信， 守护进程 负责 构建，运行和分发 Docker容器。
2. Docker客户端和守护进程可以在同一个系统上运行，也可以将Docker 客户端连接到远程 Docker守护进程。
3. Docker客户端和守护进程使用 REST API通过UNIX套接字或网络接口 进行通信。

2. 总体架构

用户是使用 Docker Client 与 Docker Daemon 建立通信，并发送请求给后者。

1. 而Docker Daemon 作为Docker架构中的 主体部分 ，首先 提供Server的功能 使其可以接受Docker Client的请求；
2. 而后 Engine 执行Docker内部的一系列工作，每一项工作都是以一个 Job 的形式的存在。Job的运行过程中，当需要容器镜像时，则从 Docker Registry 中下载镜像，并通过镜像管理驱动 graphdriver 将下载镜像以 Graph 的形式存储；
3. 当需要为Docker创建 网络 环境时，通过网络管理驱动 networkdriver 创建并配置Docker 容器网络环境 ；
4. 当需要限制Docker容器运行资源或执行用户指令等操作时，则通过 execdriver 来完成。
5. 而 libcontainer 是一项独立的 容器管理包 ， networkdriver 以及 execdriver 都是通过 libcontainer 来实现具体对容器进行的操作。
6. 当执行完运行容器的命令后，一个实际的Docker容器就处于运行状态，该容器拥有 独立的文件系统 ， 独立并且安全的运行环境 等。

三、各个模块的介绍

主要模块

• Docker Client
• Docker Daemon
• Docker Registry
• Graph
• Driver
• libcontainer
• Docker container

1. Docker Client

2. Docker Daemon

a）docker server

b）engine

Engine是Docker架构中的 运行引擎 ，同时也Docker运行的 核心模块 。它扮演Docker container存储仓库 的角色，并且通过执行 job 的方式来 操纵管理 这些 容器 。

在Engine数据结构的设计与实现过程中，有一个 handler 对象。该 handler 对象存储的都是关于众多特定job的handler 处理访问 。举例说明，Engine的handler对象中有一项为：{“create”: daemon.ContainerCreate,}，则说明当名为”create”的job在运行时，执行的是daemon.ContainerCreate的handler。

c）job

一个Job可以认为是Docker架构中 Engine 内部最基本的工作执行单元。Docker可以做的每一项工作，都可以抽象为一个 job 。 例如 ：在容器内部运行一个进程，这是一个 job ；创建一个新的 容器 ，这是一个job，从 Internet 上下载一个文档，这是一个 job ；包括之前在 Docker Server 部分说过的，创建 Server 服务于 HTTP 的 API ，这也是一个job，等等。

Job的设计者，把Job设计得 与Unix进程相仿 。比如说：Job有一个名称，有 参数 ，有 环境变量 ，有标准的 输入输出 ，有 错误处理 ，有 返回状态 等。

3. Docker Registry

Docker Registry 是一个存储 容器 镜像的仓库。而容器镜像是在容器被创建时，被加载用来初始化容器的 文件架构与目录 。

在Docker的运行过程中，Docker Daemon会与Docker Registry 通信 ，并实现 搜索 镜 像 、下载 镜像 、上传 镜像 三个功能，这三个功能对应的job名称分别为”search”，”pull” 与 “push”。

其中，在Docker架构中，Docker可以使用公有的Docker Registry，即大家熟知的Docker Hub，如此一来，Docker获取容器镜像文件时，必须通过互联网访问Docker Hub；同时Docker也允许用户构建本地私有的Docker Registry，这样可以保证容器镜像的获取在内网完成。

4. Graph

5. Driver

Driver是 Docker 架构中的 驱动模块 。通过Driver驱动，Docker可以实现对Docker容器执行环境的定制。由于Docker运行的生命周期中，并非用户所有的操作都是针对Docker 容器 的管理，另外还有关于Docker运行信息的获取， Graph 的存储与记录等。因此，为了将 Docker容器 的管理从Docker Daemon 内部业务逻辑中区分开来，设计了Driver层驱动来接管所有这部分请求。

在Docker Driver的实现中，可以分为以下三类驱动： graphdriver 、 networkdriver 和 execdriver 。

a）graphdriver

b）networkdriver

c）execdriver

6. libcontainer

7. Docker container

四、Docker 安装

• linux内核版本依赖

kernel version >= 3.8

可以使用如下命令查看

uname -a | awk '{split($3, arr, "-"); print arr[1]}'

# 关闭selinux 
setenforce 0
sed -i'/^SELINUX=/c\SELINUX=disabled' /etc/selinux/config

# 关闭防火墙 
systemctl stopfirewalld.service
systemctl disablefirewalld.service
systemctl stop iptables.service
systemctl disableiptables.service

# 卸载旧版本
yum remove docker \ 
		docker-client \ 
    docker-client-latest \ 
    docker-common \ 
    docker-latest \ 
    docker-latest-logrotate \ 
    docker-logrotate \ 
    docker-selinux \ 
    docker-engine-selinux \ 
    docker-engine

# 设置stable镜像仓库
yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
yum makecache fast

# 安装最新版本
yum -y install docker-ce

# 运行
systemctl enable docker
systemctl start docker

当要以非 root 用户可以直接运行 docker 时，需要执行 usermod -aG docker $USER当要以非 root 用户可以直接运行 docker 时，需要执行

五、常用命令

菜鸟教程

六、延伸资料