Docker是云原生的核心,理解Docker容器原理对于掌握Docker至关重要@mikechen
Docker容器
容器是一种轻量级、可移植的软件打包技术,它将应用程序及其所有依赖项(库、配置文件等)打包到一个独立的运行环境中。
与传统的虚拟机不同,容器共享主机操作系统的内核,因此启动速度更快,资源占用更少。
一次构建,多处运行(Run anywhere)。
本质上,容器就是在宿主机上运行的一个独立进程,它与宿主机共享内核,但具有自己的文件系统、网络栈、进程空间等。
Docker容器原理
Docker 容器的核心原理建立在 Linux 的三大关键技术基础之上:
1.Linux Namespace(命名空间)
Linux Namespace:是Docker实现容器隔离的核心技术之一,命名空间是Linux内核提供的一种隔离机制。
Linux Namespace,通过为进程提供独立的资源视图,实现进程间的隔离。
Docker容器启动时,会为容器内的进程创建一组独立的命名空间,包括:
-
PID Namespace:隔离进程ID,使容器内进程拥有独立的PID空间,容器内的进程从1开始编号,宿主机无法直接看到容器内进程。
-
NET Namespace:隔离网络接口和IP地址,容器拥有独立的网络栈和网络设备。
-
IPC Namespace:隔离进程间通信资源,如System V IPC和POSIX消息队列。
-
MNT Namespace:隔离文件系统挂载点,容器拥有独立的文件系统视图。
-
UTS Namespace:隔离主机名和域名,容器可以拥有独立的主机名。
-
USER Namespace:隔离用户和组ID,实现容器内用户与宿主机用户的映射和隔离。
2.Linux Cgroups(控制组)
Cgroups是Linux内核提供的资源管理机制,用于限制、计量和隔离进程组使用的系统资源。
功能包括:
-
限制 CPU 使用率(如限制最多占用 2 核);
-
限制内存(如最大使用 1GB);
-
限制磁盘 IO;
-
限制网络带宽…等。
通过Cgroups,Docker能够对容器的资源使用进行精细化控制,避免单个容器占用过多资源而影响其他容器或主机。
3.联合文件系统(UnionFS)
UnionFS是一种分层文件系统,Docker镜像和容器文件系统基于此实现。
镜像由多个只读层叠加组成,容器在镜像之上增加一层可写层。
容器运行时,所有文件操作首先在可写层进行,未修改的文件则从只读层读取。
UnionFS 通过将多个文件系统“叠加”,实现高效的文件存储和共享。
这样既能节省存储,也能让多个容器共享相同的镜像层。
总之,Docker容器通过Linux Namespace实现资源视图隔离。
通过Cgroups实现资源限制和管理,通过UnionFS实现高效的文件系统层叠。
三者协同工作构建了轻量级、高效、安全的容器运行环境。
mikechen
mikechen睿哥,10年+大厂架构经验,资深技术专家,就职于阿里巴巴、淘宝、百度等一线互联网大厂。
关注「mikechen」公众号,获取更多技术干货!

后台回复【架构】即可获取《阿里架构师进阶专题全部合集》,后台回复【面试】即可获取《史上最全阿里Java面试题总结》