docker容器——虚拟化

---

前言

虚拟化类型——》基于硬件为基础 以软件的形式模拟硬件设备（在一定程度上解决了性能利用率的问题）——》趋近于物理设备的性能（在提高利用率的同时，尽可能的提高性能）

KVM ——》全虚产品 ——》全部都是使用软件形式定义的功能/模拟的硬件设备
EXSI ——》半虚产品 ——》企业用的很多的虚拟化产品（wmware）

虚拟化两种模式：① 寄居型；② 裸金属

以Linux而言，Linux操作系统会有一个主进程pid=1 派生出其他进程来控制不同服务
例如：pid=2 ——> Python pid=3 ——> php，三个服务可能会相互影响
使用者期望将这三个不同的服务，跑在不同的运行时环境中实现相互不影响，同时不会增加服务器成本
延伸出 ——》能否将这三种服务分别封装起来 ——》KVM虚拟化技术，实现了一个操作系统模拟多个操作系统/不同的运行时环境
随着技术发展 ——》虚拟化技术开销较大（例如：只要运行一个py脚本，想要使用虚拟化方式实现，还需要安装一个操作系统，并不方便/合理）——》延伸出容器技术
虚拟化层的抽象层（用户层）剥离，使用docker engine 来替代（来宾操作系统去除），只要通过引擎就可以直接连接到宿主机操作系统中，极大减小了开销

---

一、docker容器

1、docker是什么

• Docker是一个用于开发，交付和运行应用程序的开放平台。
• Docker能够将应用程序与基础架构分开，从而可以快速交付软件。
• Docker是一个开源的应用容器引擎，让开发者可以打包方式封装应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的Linux或者windows机器上，也可以实现虚拟化。
• 容器是完全使用沙箱机制（隔离机制），相互之间不会有任何接口。

沙箱(Sandbox)：在计算机安全领域，沙箱是一种程序的隔离运行机制Docker在2013年一炮而红，直到现在，已经成为容器技术的代名词。Docker从一开始就以提供标准化的运行时环境为目标，真正做到“build once, run any where”，可以将同一个构建版本用于开发、测试、预发布、生产等任何环境，并且做到了与底层操作系统的解耦（不吃操作系统）。在此基础上还进一步发展出了CaaS（容器即服务）技术。

2013年，发布了docker
Q：Docker有哪些优势？和虚拟化比有什么优势 ？
A：docker把容器化技术做成了标准化平台CAAS (docker统一/指定了容器化技术的标准化平台)
使用docker有什么意义(实现了3个统一)

• docker引擎统一了基础设施环境——docker环境 ——》image ——》封装一个简易的操作系统（3.0+6）
• docker引擎统一了程序打包（装箱/封装——类比于集装箱）方式——docker镜像——》 images
• docker引擎统一了程序部署（运行）方式——docker容器——》基于镜像——》运行为容器（可运行的环境）

实现了一次构建、多次、多处使用

docker引擎对内核版本是有要求的（至少是3.8+）
docker需要cgroups的资源管理功能
要求：内核在3.8以上（排除了Centos6）

docker 1.30版本迭代docker-ce docker-ee 1.7版本因为企业版和社区版

2、容器、Docker、虚拟机

1）容器

是在linux上本机运行，并与其他容器共享主机的内核，它运行的是一个独立的进程，不占用其他任何可执行文件的内存，非常轻量。

容器的特点
容器化越来越受欢迎，因为容器是：

• 灵活：即使是最复杂的应用也可以集装箱化。
• 轻量级：容器利用并共享主机内核。
• 可互换：可以即时部署更新和升级。
• 便携式：可以在本地构建，部署到云，并在任何地方运行。
• 可扩展：可以增加并自动分发容器副本。
• 可堆叠：可以垂直和即时堆叠服务。

2）虚拟机

运行的是一个完成的操作系统，通过虚拟机管理程序对主机资源进行虚拟访问，相比之下需要的资源更多。

3）Docker与虚拟机的区别

特性	Docker容器	虚拟机
启动速度	秒级	分钟级
计算能力损耗	几乎无	损耗50%左右
性能	接近原生	弱于
系统支持量（单机）	上千个	几十个
隔离剂	资源隔离/限制	完全隔离

docker与虚拟机区别之一（资源利用率/损耗）

3、容器在内核中支持2种重要支持技术

docker本质就是宿主机的一个进程，docker是通过namespace实现资源隔离，通过cgroup实现资源限制，通过写时复制技术（copy-on-write）实现了高效的文件操作（类似虚拟机的磁盘比如分配500g并不是实际占用物理磁盘500g）。

Q：那如何实现应用A和应用B隔离？应用和应用的隔离，如何进行判断？
A：以操作系统维度，应用A与应用B隔离，在操作系统中，是通过namespaces（名称空间、命名空间）实现的，只要实现以下6个空间隔离，才能认为两个应用实现了完全/完整隔离

总结：cgroup和namespaces两者构成了docker底层原理

1）Namespaces（名称空间）

Docker 使用一种称为 namespaces 提供容器的隔离工作区的技术。运行容器时，Docker会为该容器创建一组名称空间，这些名称空间提供了一层隔离。容器的每个方面都在单独的名称空间中运行，并且其访问仅限于该名称空间。

Docker Engine在Linux上使用以下名称空间：
该pid命名空间：进程隔离(PID：进程ID) 。
该net命名空间：管理网络接口(NET：网络)。
该ipc命名空间：管理访问IPC资源(IPC：进程间通信)。
该mnt命名空间：管理文件系统挂载点(MNT：mount)。
该uts命名空间：隔离内核和版本标识符(UTS: Unix时间共享系统)。

2）cgroup（资源管理技术）

cgroup：资源管理技术（Linux ——> cgroup）
cgroups Linux 内核态中资源管理的模块
cgroups 管理一些系统资源

cgroup资源控制与namespaces结合控制管理使得容器完美的实现了6个名称空间隔离(namespace资源隔离——用容器化技术封装)

序号	隔离	介绍
①	mount	文件系统，挂载点（一个文件系统内，不能重复挂载一个指定目录，例如：/mnt）
②	user	操作进程的用户和用户组
③	pid	进程编号
④	uts	主机名和主机域
⑤	ipc	信号量、消息队列，共享内存(理解，不同的应用调用内存资源的时候应该使用不同的内存空间)
⑥	net	网络设备、网络协议栈、端口等

小结：

• Dcoker 是基于容器技术的轻量级虚拟化解决方案
• Docker Engine是容器引擎，把Linux的cgroup、namespaces等容器底层技术进行完美的封装、并抽象为用户提供创建和管理容器的便捷界面（命令行Cli、api等）c/s

二、Docker的使用场景

1. K8S（谷歌开发出来的管理Docker的子系统，管理Docker容器化的场景会用到K8S） image镜像 + container容器的方式
2. 打 war 包和 jar 包，打完之后交给代码仓库（github gitlab 私有仓库），然后再交给 jenkins（测试），测试完成之后交给运维下载，使用容器技术进行运行/发布（发布之前会把会把应用程序封装成镜像，再交给Docker，由Docker把它运行起来）
3. 打包应用程序简单部署，可脱离底层硬件任意迁移（实现了应用的隔离，将应用拆分并进行解耦），例如：服务器从腾讯云迁移到阿里云。
4. 适合用于持续集成和持续交付（CI/CD）：开发到测试发布。
5. 也适合用于部署微服务。（会趋近于云原生概念）
6. 提供PAAS产品（平台即服务）｛Openstack的云主机类似于阿里云的ECS，属于IAAS、Docker （K8S）属于PAAS ｝

1.Docker 三要素

1）镜像

• Docker的镜像是创建容器的基础，类似虚拟机的快照，可以理解为一个面向 Docker 容器引擎的只读模板。
• 通过镜像启动一个容器，一个镜像是一个可执行的包，其中包括运行应用程序所需要的所有内容包含代码，运行时间，库、环境变量、和配置文件。

2）容器

Docker的容器是从镜像创建的运行实例，它可以被启动、停止和删除。所创建的每一个容器都是相互隔离、互不可见，以保证平台的安全性。
可以把容器看做是要给简易版的linux环境（包括root用户权限、镜像空间、用户空间和网络空间等）和运行在其中的应用程序。

3）仓库

• Docker仓库是用来集中保存镜像的地方，当创建了自己的镜像之后，可以使用push命令将它上传到公有仓库（Public）或者私有仓库（Private）。当下次要在另外一台机器上使用这个镜像时，只需从仓库获取。
• Docker 的镜像、容器、日志等内容全部都默认存储在 /var/lib/docker 目录下。

小结：
镜像——》提供一种模板
容器——》基于镜像，运行状态/运行时状态
仓库——》存放镜像模板

三、Docker引擎(Docker Engine)

引擎是作为所有Docker里面的C/S端定位的一个基石，必须得有Docker Engine，基于这个来部署 server 端和 client 端，可以用 docker run、docker start 、docker rm 这些类似的命令来进行传入命令，这些命令会在客户端进行，也称作为命令行。

在命令行输入一些命令，命令行就会通过引擎的方式把命令交给 server 端，及后台的守护进程；server 端把任务执行完成之后再去返回给客户端后，用户就能看到结果。

Docker Engine 是具有以下主要组件的C/S客户端、服务器应用程序：
Server端：服务器是一种长期运行的程序，称为守护程序进程（dockerd命令）。
Client端：REST API，它指定程序可以用来与守护程序进行通信并指示其操作的接口。
命令行界面（CLI）客户端（docker命令）。

四、Docker的架构(Docker architecture)

1、架构

Docker使用客户端-服务器架构。Docker客户端与Docker守护进程进行对话，该守护进程完成了构建，运行和分发Docker容器的繁重工作。

Docker区别于传统的虚拟化，不需要虚拟硬件资源，直接使用容器引擎，所以速度快。

Docker Client：客户端/提供一个与用户交互，展示的平台，可以管理、控制docker服务端（功能）的工具docker

Docker客户端（docker）是许多Docker用户与Docker交互的主要方式。当您使用诸如之类的命令时docker run，客户端会将这些命令发送到dockerd，以执行这些命令。该docker命令使用Docker API。Docker客户端可以与多个守护程序通信。
Docker daemon：守护进程

Docker守护程序（dockerd）侦听 Docker API请求并管理Dodker对象，例如图像，容器，网络和卷。守护程序还可以与其他守护程序通信以管理Docker服务。
Docker images：镜像

2、镜像

容器可以被打包成镜像
Docker container：容器
Docker registry：镜像仓库（类比于yum仓库）

yum install
docker pull nginx

存储镜像的地方，默认在公共的Docker Hub上查找，可以搞个人仓库 (registry harbor）

docker三大组件
镜像：一组资源集合,包含了应用程序软件包、应用程序相关的依赖包、运行应用程序所需要的基础环境（泛指操作系统环境），可以理解为容器的模板
容器：基于镜像的一种运行时状态
仓库：存放image镜像，仓库大类：1、公共仓库——》 docker hub 2、私有仓库registry harbor

yum仓库 rpm包
公共仓库
本地yum仓库

docker hub：Inmp Inmp

docker 镜像
docker hub 公共仓库
docker-harbor 上传下载方便、安全

3、代码仓库

github：是国外的代码仓库，缺点是容易出现404或延迟现象。
ginlib：
svn：华为用的代码仓库
gitee
码云 代码仓库
语雀

vm 256
物理硬件256

centos: 依赖包、应用程序
重点:

不同点	container	VM
启动速度	秒级（进程控制）	分钟级（来宾操作系统管理）
运行性能	接近原生（直接在内核中运行90%）	50%左右损失
磁盘占用	MB	GB（操作系统镜像2G）
数量	成百上千（进程）	一般几十台（操作系统级别）
隔离性	进程级别	系统级别（更彻底）
操作系统	主要支持Linux（只需要支持引擎）	几乎所有（吃宿王机操作系统的支持）
封装程度	只打包项目代码和依赖关系，共享宿主机内核	完整的操作系统，与宿主机隔离

Q：docker和vm ，解决了虚拟机的什么问题？
vm :
docker解决了vm的一个环境孤岛的问题
docker可以自定义传参（创建-创建镜像/容器、启动（基于镜像启动）之前）

五、Docker部署安装

1、安装Docker

① 安装依赖包

yum install -y yum-utils device-mapper-persistent-data lvm2 
----------------------------------------------------------------------------
yum-utils：提供了 yum-config-manager 工具。
device mapper： 是Linux内核中支持逻辑卷管理的通用设备映射机制，
                它为实现用于存储资源管理的块设备驱动提供了一个高度模块化的内核架构。
device mapper存储驱动程序需要 device-mapper-persistent-data 和 lvm2。

② 设置阿里云镜像源

cd /etc/yum.repos.d/
yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo 

docker-1.13（同一版本、开源）——》分类型1.15-1.17过程分成两种 1）开源社区 docker-ce ；2）企业版（付费）docker-ee

③ 安装 Docker-CE社区版

yum install -y docker-ce

④ 环境配置

systemctl stop firewalld
systemctl disable firewalld

setenforce 0

#vim /etc/selinux/config
#SELINUX=disabled

systemctl start docker.service
systemctl enable docker.service 

2、设置镜像加速器

tee /etc/docker/daemon.json <<-'EOF'
{
    "registry-mirrors": ["https://6ijb8ubo.mirror.aliyuncs.com"]
}
EOF

systemctl daemon-reload
systemctl restart docker

#镜像加速注册地址
http://help.aliyun.com/document_detail/60750.html

3、网路优化

vim /etc/sysctl.conf
net.ipv4.ip_forward=1

sysctl -p
systemctl restart network
systemctl restart docker

###

---

总结