简介
Docker是PaaS 提供商 dotCloud 开源的一个基于 LXC 的高级容器引擎，源代码托管在 Github 上, 基于go语言并遵从Apache2.0协议开源。
Docker是通过内核虚拟化技术（namespace以及cgroups等）来提供容器的资源隔离与安全保障。由于Docker通过操作系统层的虚拟化实现隔离，所以Docker容器在运行时，不需要类似虚拟机（ VM）额外的操作系统开销，提高资源利用率。
Docker提供了一套虚拟化和文件系统的支持，可以让专业人员自由组装需要的运行环境到容器中，并提供容器运行时的隔离。就像一个大型油轮，承载着一个个集装箱，每个集装箱我们可以理解为我们的容器，这个容器中的内容完全由组装人员自定义。
架构
C/S架构
组建
镜像（Image）
容器（Container）
仓库（Repository）
docker和虚拟机
1、理解虚拟机
从上到下理解上图：
1、基础设施（infrastructure）:它可以是你的个人电脑，数据中心的服务器，或者云主机。
2、主操作系统（Host Operating System）:你的个人电脑之上，运行的可能是MacOS,windows或者某个linux发行版本。
3、虚拟机管理系统（Hypervisor）:利用Hypervisor，可以在主操作系统之上运行多个不同的从操作系统。类型1的Hypervisor有支持MacOS的HyperKit，支持Windows的Hyer-V以及支持linux的KVM。类型2的Hyervisor有VirtualBox和VMWare。
4、从操作系统（Guest Operating System）：假设你需要运行3个相互隔离的应用，则需要Hypervisor启动3个从操作系统，也就是3个虚拟机。这些虚拟机都非常大，也许每个有700MB，这就意味着它们将占用2.1G个磁盘空间。更槽糕的是它们还会消耗很多CPU和内存。
5、各种依赖：每一个从操作系统都需要安装许多依赖，如果你的应用的需要连接PostgreSQL的话，则需要安装libpq-dev；如果你使用Ruby的话，应该需要安装gems；如果使用其他编程语言，比如Python或者node.js，都会需要安装对应的依赖库。
6、应用：安装依赖之后，就可以在各个从操作系统分别运行依赖了，这样各个应用就是相互隔离的。
2、理解docker容器
1、主操作系统（Host Operating System）：所有主流的linux发行版本都可运行docker，对于MacOS和Windows都有办法可以运行docker。
2、Docker守护进程（Docker Daemon）：Docker守护进程取代了Hypervisor，它是运行在操作系统之上的后台进程，负责管理Docker容器。
3、各种依赖：对于Docker，应用的所有依赖都打包在docker镜像中，docker容器是基于dcoker镜像来创建的。
4、应用：应用的源代码和它的依赖都打包在docker镜像中，不同的应用需要不同的docker镜像，不同的应用运行在不同的docker容器中，它们是相互隔离的。
3、虚拟机和Docker
Docker守护进程可以直接与主操作系统进行通信，为各个Docker容器分配资源；它还可以将容器和主操作系统隔离，并将各个容器隔离。虚拟机启动需要数分钟，而Docker容器启动只需要数毫秒。由于没有臃肿的从操作系统，Docker可以节省大量的磁盘空间以及其他系统资源。
说了Docker这么多优势，也没必要完全否定虚拟机技术，因为两者使用的场景不同。虚拟机更擅长于彻底隔离整个运行环境，例如，云服务提供商通常采用虚拟机技术隔离不同的用户。而Docker通常用于隔离不同的应用，例如，前端，后端以及数据库。
摘录：
在每一篇介绍Docker的文章里面都会看到与虚拟机比较的内容，其实我觉得这完全是拿苹果和香蕉比较，它们完全不具备可比性，至少在技术上！
大家为啥要这样比较，主要目的是让那些不了解IT但是却在管理IT的人（对，就是你的领导和你的客户）理解为啥他们好不容易，花了n多钱建立起了虚拟化平台／私有云，现在还要再花钱搞容器，搞docker。对的，这纯粹是个市场行为，与技术无关，因为他们在技术上不具备可比性。
惯常的说法，容器启动迅速（对，它只需要加载那些当前应用的进程）虚拟机启动缓慢（废话，它要加载一堆和应用无关的进程好吗）。你试试把100个应用打包到一个容器里面然后启动它，估计你一定会被98%的Windows用户打败。
给你一个hyper-v, vmware, kvm你跑不了容器，你还是需要在上面启动虚拟机，然后才能运行容器。就好像你要在家里提供100个品类的菜单，然后让你儿子每天回来点餐，给他个沙漏，然后说你随便点，我保证在10分钟内上菜。你当你是谢霆锋呢？人家谢大厨后面有10个帮厨，10个采购，10个餐厅经理，10个服务员，做的菜都是提前腌制的。你就算有三头六臂也只能说：臣妾做不到啊！
所以，容器之所以快，是把每次都要启动操作系统的操作预先完成了，这样只需要启动应用本身而已。而且，容器不会比直接启动一个应用快，甚至还会更慢一点。
Docker的优点
Docker是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化。
1、它是不可变的－操作系统，库版本，配置，文件夹和应用都是一样的。您可以使用通过相同QA测试的镜像，使产品具有相同的表现。
2、它是轻量级的－容器的内存占用非常小。不需要几百几千MB，它只要对主进程分配内存再加上几十MB。
3、它很快速－启动一个容器与启动一个单进程一样快。不需要几分钟，您可以在几秒钟内启动一个全新的容器。
Docker的不足
许多用户依然像对待典型的虚拟机那样对待容器，似乎都忘记了除了与虚拟机相似的部分，容器还有一个很大的优点：它是一次性的。这个“特性”本身促使用户改变他们关于使用和管理容器的习惯；下面将会说明下在容器中不应该做这些事，以确保最大地发挥容器的作用。
1、不要在容器中存储数据 – 容器可能被停止，销毁，或替换。一个运行在容器中的程序版本1.0，应该很容易被1.1的版本替换且不影响或损失数据。有鉴于此，如果你需要存储数据，请存在卷中，并且注意如果两个容器在同一个卷上写数据会导致崩溃。确保你的应用被设计成在共享数据存储上写入。
2、不要将你的应用发布两份 – 一些人将容器视为虚拟机。他们中的大多数倾向于认为他们应该在现有的运行容器里发布自己的应用。在开发阶段这样是对的，此时你需要不断地部署与调试；但对于质量保证与生产中的一个连续部署的管道，你的应用本该成为镜像的一部分。记住：容器应该保持不变。
3、不要创建超大镜像 – 一个超大镜像只会难以分发。确保你仅有运行你应用/进程的必需的文件和库。不要安装不必要的包或在创建中运行更新（yum更新）。
4、不要使用单层镜像 – 要对分层文件系统有更合理的使用，始终为你的操作系统创建你自己的基础镜像层，另外一层为安全和用户定义，一层为库的安装，一层为配置，最后一层为应用。这将易于重建和管理一个镜像，也易于分发。
5、不要为运行中的容器创建镜像 – 换言之，不要使用“docker commit”命令来创建镜像。这种创建镜像的方法是不可重现的也不能版本化，应该彻底避免。始终使用Dockerfile或任何其他的可完全重现的S2I（源至镜像）方法。
6、不要只使用“最新”标签 – 最新标签就像Maven用户的“快照”。标签是被鼓励使用的，尤其是当你有一个分层的文件系统。你总不希望当你2个月之后创建镜像时，惊讶地发现你的应用无法运行，因为最顶的分层被非向后兼容的新版本替换，或者创建缓存中有一个错误的“最新”版本。在生产中部署容器时应避免使用最新。
7、不要在单一容器中运行超过一个进程－容器能完美地运行单个进程（http守护进程，应用服务器，数据库），但是如果你不止有一个进程，管理、获取日志、独立更新都会遇到麻烦。
8、不要在镜像中存储凭据。使用环境变量 –不要将镜像中的任何用户名/密码写死。使用环境变量来从容器外部获取此信息。
9、使用非root用户运行进程 – “docker容器默认以root运行。（…）随着docker的成熟，更多的安全默认选项变得可用。现如今，请求root对于其他人是危险的，可能无法在所有环境中可用。你的镜像应该使用USER指令来指令容器的一个非root用户来运行。”
10、不要依赖IP地址 – 每个容器都有自己的内部IP地址，如果你启动并停止它地址可能会变化。如果你的应用或微服务需要与其他容器通讯，使用任何命名与（或者）环境变量来从一个容器传递合适信息到另一个。
参考：《Docker容器学习梳理--基础知识（1）》，