一篇不同的docker原理解析

轉自：https://zhuanlan.zhihu.com/p/22382728

  　　 https://zhuanlan.zhihu.com/p/22403015

在學習docker的過程當中，我發現目前docker學習最大的障礙，不是網上的資源太少，而是網上的資源太多，資源太多帶來的噪聲讓學習效率下降很多。而在講解docker原理上，全部的講解都是關於cgroups，namespace，aufs以及deviceMapper，這對於一個初學者來講，就是用一堆名詞替換另外一堆名詞，因此我打算寫一篇不涉及太多api的原理解析，在這篇解析中，將不會討論：

• 一堆堆砌在一塊兒的專有名詞，讓閱讀者雲裏霧裏
• 一大堆寫滿了專有名詞的圖，可是不給太多解釋

這篇解析將會涉及：

• 虛擬機的實現原理
• 虛擬機和容器的區別

在開始討論前，先拋出一些問題，可先別急着查看答案，討論的過程可讓答案更有趣，問題以下：

• Docker 容器有本身的kernel嗎
• docker的kernel version由鏡像肯定仍是由宿主機肯定

1 虛擬機

先來理解一下虛擬機概念，廣義來講，虛擬機是一種模擬系統，即在軟件層面上經過模擬硬件的輸入和輸出，讓虛擬機的操做系統得以運行在沒有物理硬件的環境中（也就是宿主機的操做系統上），其中可以模擬出硬件輸入輸出，讓虛擬機的操做系統能夠啓動起來的程序，被叫作hypervisor。用一張圖來講明這個關係就是：

在這張圖中：

• 物理機被稱爲宿主機
• 虛擬機也被稱爲guest OS
• 而被hypervisor虛擬出來的硬件被稱爲虛擬硬件

好比，舉一個你們都很熟悉的例子，在編寫android程序時，調試和測試運行均可以在X86架構的臺式機或筆記本進行，這就是一個典型的虛擬機例子，在這之中：

• 宿主機就是臺式機或筆記本
• 虛擬機就是虛擬出來的android
• 而模擬android的軟件就是android box

固然android模擬機一個大問題就是：啓動速度很是慢，最長可達10分鐘或以上，這是由於單純模擬硬件的輸入輸出，效率是不好的，因此這樣的虛擬機若是真部署在服務器上，速度是感人的。

這個時候，就有計算機科學家提出了很是偷懶的想法：假如咱們不模擬硬件輸入輸出，只是作下真實硬件輸入輸出的搬運工，那麼虛擬機的指令執行速度，就能夠和宿主機一致了。固然這前提是宿主機的硬件架構必須和虛擬硬件架構一致。好比，

• 咱們能夠在linux的臺式機上輕鬆模擬windows，並且這個windows的運行速度基本上和原生裝一個windows速度差很少，由於windows也能被直接安裝在這臺臺式機上。
• 這個思路對於在windows系統中運行android系統無論用，由於android系統的運行硬件通常是手機（arm系統，能夠理解爲不一樣的硬件架構體系和cpu指令集），因此android模擬機仍是同樣的慢。

因爲本篇並非主要關於虛擬機的內容，因此這些點就點到而止，更多詳細內容能夠參閱：Hypervisor

2 容器的概念

通常來講，虛擬機都會有本身的kernel，本身的硬件，這樣虛擬機啓動的時候須要先作開機自檢，啓動kernel，啓動用戶進程等一系列行爲，雖然如今電腦運行速度挺快，可是這一系列檢查作下來，也要幾十秒，也就是虛擬機須要幾十秒來啓動。

• 從新來理解虛擬機的概念，計算機科學家發現其實咱們建立虛擬機也不必定須要模擬硬件的輸入和輸出，假如宿主機和虛擬機他們的kernel是一致的，就不用作硬件輸入輸出的搬運工了，只須要作kernel輸入輸出的搬運工便可，爲了有別於硬件層面的虛擬機，這種虛擬機被命名爲 操做系統層虛擬化：Operating-system-level virtualization 也被叫作容器
• 讓咱們來回顧虛擬機的概念，在虛擬機的系統中，虛擬機認爲本身有獨立的文件系統，進程系統，內存系統，等等一系列，因此爲了讓容器接近虛擬機，也須要有獨立的文件系統，進程系統，內存系統，等等一系列，爲了達成這一目的，主機系統採用的辦法是：只要隔離容器不讓它看到主機的文件系統，進程系統，內存系統，等等一系列，那麼容器系統就是一個接近虛擬機的玩意了

更多關於容器的內容能夠看這份課件：https://courses.engr.illinois.edu/cs423/lectures/VirtOS.pdf

至此就能夠回答引言提到的兩個問題：

• Docker 容器有本身的kernel嗎
• 沒有，docker和宿主機共享kernel
• docker的kernel version由鏡像肯定仍是由宿主機肯定
• 由宿主機決定

3 how to learn more

• 關於操做系統層的虛擬化的概念：Operating-system-level virtualization 以及包括freebsd jail有關的一系列其餘的操做系統上類似的實現
• 想要了解更多，docker具體作了什麼，能夠參考：一篇不同的docker原理解析 提升篇 - uncle creepy的文章 - 知乎專欄
• 關於namespace，cgroups，aufs，deviceMapper 能夠了解官方文檔
• 在mac os和windows上運行docker的祕密：Boot2docker by boot2docker 就是經過這個叫作boot2docker的玩意啓動了一個虛擬linux kernel，全部的docker容器都跑在這個kernel上

在上一篇  一篇不同的docker原理解析 - uncle creepy的文章 - 知乎專欄 中，主要討論了容器和虛擬機的區別，在實現細節上並無深刻，只是點到即止，在這篇提升篇中，將詳細討論容器的實現細節，固然我不但願把文章寫成對於kernel man page的簡單翻譯，因此不熟悉內核和linux api的讀者能夠不急着點叉，這會是一篇不同的討論容器實現的提升篇。

在開始討論前，先拋出一個問題：

• linux啓動流程 中，容器須要使用其中的幾步？

如圖，linux的啓動流程

0 從fork提及

在講解容器以前，先來談談linux實現進程的原理，linux實現進程的方法爲fork，實現的方式分爲兩個步驟：

1. 在內存中複製一個父進程，獲得「子進程」，此時子進程就是父進程上下文的簡單克隆，內容徹底一致
2. 設置子進程的 pid，parent_pid，以及其餘和父進程不一致的內容

1 namespace讓進程隔離更靈活

從進程被製造的步驟能夠看出，進程大部分資源和父進程共享，若是須要製造一個看起來像虛擬機的進程，咱們須要比普通的進程多作幾步。

• 能夠自定義rootfs，好比咱們把整個ubuntu發行版的可執行文件以及其餘文件系統都放在目錄/home/admin/ubuntu/ 下，當咱們重定義rootfs = /home/admin/ubuntu 後，則該文件地址被印射爲 "/"
• 把自身pid 印射爲0，並看不到其餘任何的pid，這樣自身的pid成爲系統內惟一存在pid，看起來就像新啓動了系統
• 用戶名隔離，能夠把用戶名設置爲「root」
• hostname隔離，能夠另取一個hostname，成爲新啓動進程的hostname
• IPC隔離，隔離掉進程之間的互相通訊
• 網絡隔離，隔離掉進程和主機之間的網絡

若是作完這幾步，至少在進程自身看來，和虛擬機執行環境上已經區別不大了，對應到linux系統中，這幾個隔離須要的方法：clone(2) - Linux manual page

而clone方法和fork方法，在複製上下文的時候，調用的都是syscall_clone() 本質上它們是差很少的。

2 其實docker是一個內核的搬運工

因此雖然docker幫助咱們準備好了rootfs地址，鏡像裏面的文件，以及各類資源隔離的配置，可是在啓動一個容器的時候，它只是調用系統中早已內置的能夠隔離資源的方法，而kernel支持這些方法，也是在建立進程的方法上作了一層資源隔離的擴展而已。

這就解釋了docker兩個特性：

• 啓動速度快，由於本質來講容器和進程差異沒有想象中的大，共享了不少代碼，流程也差的很少
• linux內核版本有最低的要求，由於linux是在某個版本後開始支持隔離特性

3 容器內建立進程 --- Think a step further

這是我認爲整個容器實現裏面最優美的一點：

• 內核開發者實現了容器的資源隔離一系列隔離後，內核開發者就不須要爲容器內建立進程單獨再作任何多餘的工做了。
• 在fork方法中，第一步就是繼承父進程的一切，而這一切包含了父進程已有的資源隔離，因此容器進程建立的進程自然繼承容器全部的一切資源隔離 ------ 就和虛擬機的pid = 0 的進程建立子進程所擁有的同樣

4 One more thing

讓咱們再來看看開篇提出的問題：

linux啓動流程 中，容器須要使用其中的幾步？

看完了fork，clone以及一大堆隔離後，相信讀者很容易有答案了，這中間容器作完了隔離以後就算啓動完畢，根本就不會來作kernel init之類的步驟，因此答案是一步都不用。

5 how to learn more

• 比較除docker外其餘的容器類產品，如coreOS，LXC
• 瞭解linux如何作隔離，請參考：namespaces(7)
• 瞭解freebsd如何作隔離，請參考：freebsd jail
• docker 其實真正想作的事情是把資源隔離的接口標準化（最新的版本里windows的接口也被抽象到了docker本身的體系），嚴格說它是全部類似資源隔離的一層抽象和搬運工
• docker 鏡像很小的優點，主要是靠AUFS實現的，本篇不詳細說明，由於AUFS在docker原理介紹的口水文裏被用濫了，隨便搜搜處處都是，並且我很不喜歡官方用的集裝箱比喻