Docker原理

Docker能做什么

隔离应用依赖
创建应用镜像并进行复制
创建容易分发的即启即用的应用
允许实例简单、快速地扩展
测试应用并随后销毁它们
Docker的想法是创建软件程序可移植的轻量容器

Docker做了什么

镜像

类似虚拟机的快照，但非常轻量。可以基于现有镜像基础上创建新镜像，或对它进行修改来创建它的子镜像。
镜像拥有唯一的ID（宿主内唯一）、以及名字、标签对。

容器

类似基于快照创建虚拟机，可以基于镜像创建容器,应用就运行在容器中，但容器更轻量。

Image_Container

容器与虚拟机一样，也是隔离的，并拥有唯一ID、唯一名字。
容器可以对外公开服务，Docker允许容器公开特定端口。（否则，应用
怎么作为服务呢：））

Container port

容器与虚拟机差异

与虚拟机相比，容器有一个很大的差异，它们被设计用来运行单进程，无法很好地模拟一个完整的环境。（单进程&多进程有较大争论，但Docker的设计者推荐的是“一个容器一个进程的方式”）
虚拟机停止运行时，除了一些临时文件，其他改变仍保留；而停止一个Docker容器，对创建容器所用的镜像的状态的改变，不保留。
容器的设计是用来运行一个应用，而非一台机器。因此，把容器当成虚拟机来使用，是明智的。你可以使用Docker的工具，进行应用与数据的分离，快捷地更新运行中的代码/系统，而不影响数据。

数据卷

数据卷可以让你的数据持久化，不受容器生命周期的限制。数据卷在容器空间中创建，但实际保持在容器之外。从而，使你可以在不影响数据的情况下，销毁、重建、修改、丢弃容器。

卷是针对容器，卷保存在运行Docker的宿主文件系统。

你可以制定卷存放的目录、或让Docker保存在默认位置。
卷可以用于容器间共享数据。

Volumes

链接：

容器启动时，将被分配一个随机的私有IP，其他容器（同一宿主？）可以利用此IP与其通讯（当然，可以限制容器间的通信。待了解）。

提供了容器间通信的渠道
容器可以共享同一个本地网络。
将两个容器链接在一起：Docker允许你在创建一个新容器时引用现有容器，得到引用的容器的一个别名。
容器需要声明，档被链接时，要开发哪些端口给其他容器，才能进行通信。

Container link

Docker的可移植性

在创建镜像时，Docker允许指定卷和端口。那从这个镜像创建的容器会继承这些配置。但Docker不允许在镜像上指定不可移植的内容。

不能指定特定目录保存卷，而应是默认配置。因为：其他使用这个镜像的宿主无法保证这个目录是存在的。

不能指定公开给宿主的端口（你可以定义要在创建连接时公开给其他容器的端口）。因为你无从知晓使用那个镜像的宿主有哪些端口可用。
你也不能在镜像上定义链接。使用链接要求通过名字引用其他容器，但你无法预知每个使用那个镜像的宿主如何命名容器。
镜像必须完全可移植，Docker不允许例外。

Docker如何工作

Cgroups

这是Linux内核功能，它能提供两种基础功能：

限制Linux进程组的资源占用（内存、CPU）

为进程组制作 PID、UTS、IPC、网络、用户及装载命名空间

Cgroups让Docker可以为进程提供一个隔离“系统”、可控的资源、运行环境。

这里的关键词是命名空间。比如说，一个PID命名空间允许它里面的进程使用隔离的PID，并与主PID命名空间独立开来，因此你可以在一个PID命名空间里拥有自己的PID为1的初始化进程。其他命名空间与此类似。

然后你可以使用cgroup创建一个环境，进程可以在其中运行，并与操作系统的其他进程隔离开，
但这里的关键点是这个环境上的进程使用的是已经加载和运行的内核。因此额外支出与运行其他进程几乎是一样的。

Union文件系统

提供文件系统分层积累变化的解决方案，可以将文件系统装载在其他文件系统之上，而代价只是相对前一个文件系统的变化集合。Union使得Docker的镜像非常轻。

当你下载一个镜像，修改它，然后保存成新版本，你只是创建了加载在包裹基础镜像的初始层上的一个新的union文件系统。这使得Docker镜像非常轻，比如：你的DB、Nginx和Syslog镜像都可以共享同一个Ubuntu基础，每一个镜像保存的只是在它们需要的功能的基础上的变化。

Union Filesystem.png

容器

容器是短暂的
当你从镜像创建一个容器，Docker会在该镜像对应的union文件系统 union0 上，加载一个空白的union文件系统 union1 。
容器运行时，变化会体现在union1上。但到容器停止时，union1会被丢弃，留下的是你启动时的union0。
因此，除非你创建一个新的镜像或制作了卷，当容器停止时，你做的变化会消失。

卷所做的在容器中制定一个目录，以便在union文件系统之外保持它。

简单使用步骤说明

安装Docker：Docker命令工具需要root权限，可以你的用户放入docker组来避免每次都需使用sudo
从公共registry下载一个镜像

$> docker pull ubuntu:latest ubuntu:latest: The image you are pulling has been verified 3b363fd9d7da: Pull complete .......... 8eaa4ff06b53: Pull complete Status: Downloaded newer image for ubuntu:latest $>

列出你的镜像
从镜像创建容器
$> docker run --rm -ti ubuntu /bin/bash root@4638a40c2fbb:/# ls bin boot dev etc home lib lib64 media mnt opt proc root...... root@4638a40c2fbb:/# exit

上一条命令的简要说明：

--rm：告诉Docker一旦运行的进程退出就删除容器。这在进行测试时非常有用，可免除杂乱.

-ti：告诉Docker分配一个伪终端并进入交互模式。这将进入到容器内，对于快速原型开发或尝试很有用，但不要在生产容器中打开这些标志

ubuntu：这是容器立足的镜像

/bin/bash：要运行的命令，因为我们以交互模式启动，它将显示一个容器的提示符

其他命令
$> docker ps //进入bash $> docker exec -ti containername /bin/bash

《Docker 入门实战》阅读笔记一