Docker
Docker是容器的一种，容器指的是：一种轻量级、可移植、自包含的软件打包技术，使应用程序可以在几乎任何地方以相同的方式运行。
容器技术本质上是：对计算机资源的隔离与控制，可以理解为一种沙盒技术，沙盒就像集装箱一样。
让我们来看看集装箱的好处：
- 集装箱之间相互隔离；
- 长期反复使用；
- 快速装载和卸载；
- 规格标准在港口和船上都可以摆放；
容器和集装箱在概念上是很相似的，集装箱装载的货物，而容器装载的更偏向于应用比如：网站、程序甚至是系统环境。
一句话概括：Docker容器就是将软件打包成标准化单元，以用于开发、交付和部署。
Docker工作原理
Docker有三个核心组件，分别是：Docker镜像、Docker容器、Docker仓库，掌握这三个组件的概念有助于我们进一步了解Docker的工作原理。
三个组件的关系
下图是三者之间的关系：
这三个组件组成了Docker的整个生命周期。
1.Docker镜像
Docker镜像是一种轻量级可执行的独立软件包，Docker镜像提供容器运行时所需的程序、库、资源、配置等文件，组成了Docker容器的静态文件系统运行环境。
简单的理解为：Docker镜像是Docker 容器的静态视角，Docker镜像是启动Docker容器的基础。
我们可以使用 docker images 来列出本地主机上的Docker镜像：
docker images
示例：
[root@mikechen ~]# docker image ls -a REPOSITORY TAG IMAGE ID CREATED SIZE node latest 5377c9a2fb1f 5 weeks ago 943MB openzipkin/zipkin latest 1850194f377c 3 months ago 160MB rancher/server stable 98d8bb571885 6 months ago 1.08GB redis 5.0.7 7eed8df88d3b 8 months ago 98.2MB hello-world latest bf756fb1ae65 10 months ago 13.3kB
参数介绍：
- REPOSITORY：表示镜像的仓库源；
- TAG：镜像的标签；
- IMAGE ID：镜像ID；
- CREATED：镜像创建时间；
- SIZE：镜像大小；
2.Docker容器
容器就是一个存放东西的地方，就像书包可以装各种文具、衣柜可以放各种衣服、鞋架可以放各种鞋子一样。
我们现在所说的容器存放的东西，更偏向于应用比如：网站、程序甚至是系统环境。
容器技术本质上是：对计算机资源的隔离与控制，可以理解为一种沙盒技术，沙盒就像集装箱一样。
Docker是容器的一种，除此之外：还有其他容器，比如：CoreOS 的 rkt，Docker是一个开源的容器引擎。
3.Docker仓库
Docker仓库，英文名Repository，就是集中存放Docker镜像的地方。
Docker官方维护了一个公共仓库：https:/hub.docker.com，这里提供了可以满足大部分需求的Docker镜像。
除了Docker官方提供了 Docker Hub的镜像服务，国内一些云服务商也提供类似于 Docker Hub 的公开服务。
比如：阿里云、腾讯云、网易云、DaoCloul等镜像服务，这些镜像服务被称为加速器。
我们可以通过修改daemon配置文件/etc/docker/daemon.json来使用加速器。
比如使用阿里云，配置如下：
Docker实现原理
Docker容器的实现原理就是通过Namespace命名空间实现进程隔离、UnionFilesystem联合文件系统实现文件系统隔离、ControlGroups控制组实现资源隔离。
Docker利用Linux中的核心分离机制，例如Cgroups，以及Linux的核心Namespace（名字空间）来创建独立的容器。
一句话概括起来Docker就是利用Namespace做资源隔离，用Cgroup做资源限制，利用Union FS做容器文件系统的轻量级虚拟化技术。
1.Linux Namespace
Linux Namespace，即Linux 命名空间，是 Linux 内核Kernel提供的功能，它可以隔离一系列的系统资源，如 进程 ID、User ID、Network、文件系统等。
Docker 利用 Linux Namespace 功能，实现多个 Docker 容器相互隔离，实现进程隔离。
2.Cgroup
Cgroups，全称Linux Contorl Groups，可以对一组进程及这些进程的子进程进行资源限制。
比如：包括 CPU、内存、存储、网络、设备访问权限等，通过 Cgroups 可以很轻松的限制某个进程的资源占用并且统计该进程的实时使用情况。
Docker容器就是：通过Cgroups控制组实现资源隔离的。
Cgroups 由 3 个组件构成：分别是 cgroup（控制组）、subsystem（子系统）、以及 hierarchy（层级树），3 者相互协同作用。
- cgroup 是对进程分组管理的一种机制，一个 cgroup 通常包含一组（多个）进程，Cgroups 中的资源控制都以 cgroup 为单位实现。
- subsystem 是一组（多个）资源控制的模块，每个 subsystem 会管理到某个 cgroup 上，对该 cgroup 中的进程做出相应的限制和控制。
- hierarchy 会将一组（多个）cgroup 构建成一个树状结构，Cgropus 可以利用该结构实现继承等功能
3.Union FS
Docker容器是通过UnionFilesystem(Union FS)联合文件系统实现文件系统隔离。
我们都知道 Docker 镜像是一种分层结构，每一层构建在其他层之上，从而实现增量增加内容的功能，这是如何实现的？
要理解这个问题，首先需要理解 Union File System（简称，UnionFS），它是为 Linux 系统设计的将其他文件系统联合到一个联合挂载点的文件系统服务。UnionFS 使用 branch（分支）将不同文件系统的文件和目录透明地叠加覆盖，形成一个单一一致的文件系统，此外 UnionFS 使用写时复制（Copy on Write，简称，CoW）技术来提高合并后文件系统的资源利用。（后续的文章会介绍 CoW 技术）
Docker 使用的第一种存储驱动为 AUFS（Advanced Multi-layered unification filesytem），AUFS 完全重写了早期的 UnionFS，目的是提高其性能与可靠性，此外还引入了如 branch 负载均衡等新功能。
与 UnionFS 类似，AUFS 可以在基础的文件系统上增量的增加新的文件系统，通过叠加覆盖的形式最终形成一个文件系统。通常 AUFS 最上层是可读可写层，而其他层只是只读层，每一层都只是一个普通的文件系统。
Docker 镜像分层、增量增加等功能正是通过利用 AUFS 的分层文件系统结构、增量增加等功能实现，这也导致了运行 Docker 容器如果没有指定 volume（数据卷）或 bind mount，则 Docker 容器结束后，运行时产生的数据便丢失了。
陈睿mikechen
10年+大厂架构经验，资深技术专家，就职于阿里巴巴、淘宝、百度等一线互联网大厂。
关注「mikechen」公众号，获取更多技术干货！
后台回复【面试】即可获取《史上最全阿里Java面试题总结》，后台回复【架构】，即可获取《阿里架构师进阶专题全部合集》