10 張圖帶你深刻理解 Docker 容器和鏡像

時間 2019-11-06

原文原文鏈接

這篇文章但願可以幫助讀者深刻理解 Docker 的命令，還有容器（container）和鏡像（image）之間的區別，並深刻探討容器和運行中的容器之間的區別。git

當我對 Docker 技術仍是隻知其一;不知其二的時候，我發現理解 Docker 的命令很是困難。因而，我花了幾周的時間來學習 Docker 的工做原理，更確切地說，是關於 Docker 統一文件系統（the union file system）的知識，而後回過頭來再看 Docker 的命令，一切變得瓜熟蒂落，簡單極了。docker

題外話：就我我的而言，掌握一門技術併合理使用它的最好辦法就是深刻理解這項技術背後的工做原理。一般狀況下，一項新技術的誕生經常會伴隨着媒體的大肆宣傳和炒做，這使得用戶很難看清技術的本質。更確切地說，新技術老是會發明一些新的術語或者隱喻詞來幫助宣傳，這在初期是很是有幫助的，可是這給技術的原理蒙上了一層砂紙，不利於用戶在後期掌握技術的真諦。json

Git 就是一個很好的例子。我以前不可以很好的使用 Git，因而我花了一段時間去學習 Git 的原理，直到這時，我才真正明白了 Git 的用法。我堅信只有真正理解 Git 內部原理的人才可以掌握這個工具。ubuntu

Image Definition

鏡像（Image）就是一堆只讀層（read-only layer）的統一視角，也許這個定義有些難以理解，下面的這張圖可以幫助讀者理解鏡像的定義。網絡

從左邊咱們看到了多個只讀層，它們重疊在一塊兒。除了最下面一層，其它層都會有一個指針指向下一層。這些層是 Docker 內部的實現細節，而且可以在主機（譯者注：運行 Docker 的機器）的文件系統上訪問到。統一文件系統（union file system）技術可以將不一樣的層整合成一個文件系統，爲這些層提供了一個統一的視角，這樣就隱藏了多層的存在，在用戶的角度看來，只存在一個文件系統。咱們能夠在圖片的右邊看到這個視角的形式。app

你能夠在你的主機文件系統上找到有關這些層的文件。須要注意的是，在一個運行中的容器內部，這些層是不可見的。在個人主機上，我發現它們存在於 /var/lib/docker/aufs 目錄下。工具

sudo tree -L 1 /var/lib/docker/
/var/lib/docker/
├── aufs
├── containers
├── graph
├── init
├── linkgraph.db
├── repositories-aufs
├── tmp
├── trust
└── volumes
7 directories, 2 files

Container Definition

容器（container）的定義和鏡像（image）幾乎如出一轍，也是一堆層的統一視角，惟一區別在於容器的最上面那一層是可讀可寫的。學習

細心的讀者可能會發現，容器的定義並無說起容器是否在運行，沒錯，這是故意的。正是這個發現幫助我理解了不少困惑。fetch

要點：容器 = 鏡像 + 可讀層。而且容器的定義並無說起是否要運行容器。ui

接下來，咱們將會討論運行態容器。

Running Container Definition

一個運行態容器（running container）被定義爲一個可讀寫的統一文件系統加上隔離的進程空間和包含其中的進程。下面這張圖片展現了一個運行中的容器。

正是文件系統隔離技術使得 Docker 成爲了一個前途無量的技術。一個容器中的進程可能會對文件進行修改、刪除、建立，這些改變都將做用於可讀寫層（read-write layer）。下面這張圖展現了這個行爲。

咱們能夠經過運行如下命令來驗證咱們上面所說的：

docker run ubuntu touch happiness.txt

即使是這個 ubuntu 容器再也不運行，咱們依舊可以在主機的文件系統上找到這個新文件。

find / -name happiness.txt
/var/lib/docker/aufs/diff/860a7b...889/happiness.txt

Image Layer Definition

爲了將零星的數據整合起來，咱們提出了鏡像層（image layer）這個概念。下面的這張圖描述了一個鏡像層，經過圖片咱們可以發現一個層並不只僅包含文件系統的改變，它還能包含了其餘重要信息。

元數據（metadata）就是關於這個層的額外信息，它不只可以讓 Docker 獲取運行和構建時的信息，還包括父層的層次信息。須要注意，只讀層和讀寫層都包含元數據。

除此以外，每一層都包括了一個指向父層的指針。若是一個層沒有這個指針，說明它處於最底層。

Metadata Location:
我發如今我本身的主機上，鏡像層（image layer）的元數據被保存在名爲 "json" 的文件中，好比說：

/var/lib/docker/graph/e809f156dc985.../json

e809f156dc985… 就是這層的 id

一個容器的元數據好像是被分紅了不少文件，但或多或少可以在 /var/lib/docker/containers/<id> 目錄下找到，<id> 就是一個可讀層的 id。這個目錄下的文件大可能是運行時的數據，好比說網絡，日誌等等。

全局理解（Tying It All Together）

如今，讓咱們結合上面提到的實現細節來理解 Docker 的命令。

docker create <image-id>

docker create 命令爲指定的鏡像（image）添加了一個可讀層，構成了一個新的容器。注意，這個容器並無運行。

docker start <container-id>

Docker start 命令爲容器文件系統建立了一個進程隔離空間。注意，每個容器只可以有一個進程隔離空間。

docker run <image-id>

看到這個命令，讀者一般會有一個疑問：docker start 和 docker run 命令有什麼區別？

從圖片能夠看出，docker run 命令先是利用鏡像建立了一個容器，而後運行這個容器。這個命令很是的方便，而且隱藏了兩個命令的細節，但從另外一方面來看，這容易讓用戶產生誤解。

題外話：繼續咱們以前有關於 Git 的話題，我認爲 docker run 命令相似於 git pull 命令。git pull 命令就是 git fetch 和 git merge 兩個命令的組合，一樣的，docker run 就是 docker create 和 docker start 兩個命令的組合。

docker ps

docker ps 命令會列出全部運行中的容器。這隱藏了非運行態容器的存在，若是想要找出這些容器，咱們須要使用下面這個命令。

docker ps –a

docker ps –a 命令會列出全部的容器，不論是運行的，仍是中止的。

docker images

docker images 命令會列出了全部頂層（top-level）鏡像。實際上，在這裏咱們沒有辦法區分一個鏡像和一個只讀層，因此咱們提出了 top-level 鏡像。只有建立容器時使用的鏡像或者是直接 pull 下來的鏡像能被稱爲頂層（top-level）鏡像，而且每個頂層鏡像下面都隱藏了多個鏡像層。

docker images –a

docker images –a 命令列出了全部的鏡像，也能夠說是列出了全部的可讀層。若是你想要查看某一個 image-id 下的全部層，可使用 docker history 來查看。

docker stop <container-id>

docker stop 命令會向運行中的容器發送一個 SIGTERM 的信號，而後中止全部的進程。

docker kill <container-id>

docker kill 命令向全部運行在容器中的進程發送了一個不友好的 SIGKILL 信號。

docker pause <container-id>

docker stop 和 docker kill 命令會發送 UNIX 的信號給運行中的進程，docker pause 命令則不同，它利用了 cgroups 的特性將運行中的進程空間暫停。具體的內部原理你能夠在這裏找到：https://www.kernel.org/doc/Documentation/cgroups/freezer-subsystem.txt，可是這種方式的不足之處在於發送一個 SIGTSTP 信號對於進程來講不夠簡單易懂，以致於不可以讓全部進程暫停。

docker rm <container-id>

docker rm 命令會移除構成容器的可讀寫層。注意，這個命令只能對非運行態容器執行。

docker rmi <image-id>

docker rmi 命令會移除構成鏡像的一個只讀層。你只可以使用 docker rmi 來移除最頂層（top level layer）（也能夠說是鏡像），你也可使用 -f 參數來強制刪除中間的只讀層。

docker commit <container-id>

docker commit 命令將容器的可讀寫層轉換爲一個只讀層，這樣就把一個容器轉換成了不可變的鏡像。

docker build

docker build 命令很是有趣，它會反覆的執行多個命令。

咱們從上圖能夠看到，build 命令根據 Dockerfile 文件中的 FROM 指令獲取到鏡像，而後重複地1）run（create和start）、2）修改、3）commit。在循環中的每一步都會生成一個新的層，所以許多新的層會被建立。

docker exec <running-container-id>

docker exec 命令會在運行中的容器執行一個新進程。

docker inspect <container-id> or <image-id>

docker inspect 命令會提取出容器或者鏡像最頂層的元數據。

docker save <image-id>

docker save 命令會建立一個鏡像的壓縮文件，這個文件可以在另一個主機的 Docker上使用。和 export 命令不一樣，這個命令爲每個層都保存了它們的元數據。這個命令只能對鏡像生效。

docker export <container-id>

docker export 命令建立一個tar文件，而且移除了元數據和沒必要要的層，將多個層整合成了一個層，只保存了當前統一視角看到的內容（譯者注：expoxt 後的容器再 import 到 Docker 中，經過 docker images –tree 命令只能看到一個鏡像；而 save 後的鏡像則不一樣，它可以看到這個鏡像的歷史鏡像）。