玩坏docker笔记(十)：容器底层技术cgroup+namespace
cgroup和namespace是最重要的两种技术。cgroup实现资源限额，namespace实现资源隔离。
linux系统通过cgroup可以设置进程使用CPU、内存和IO资源限额。
cgroup 全称 Control Group。Linux 操作系统通过 cgroup 可以设置进程使用 CPU、内存 和 IO 资源，网络的限额。相信你已经猜到了：前面我们看到的–cpu-shares、-m、–device-write-bps 实际上就是在配置 cgroup。
cgroup 到底长什么样子呢？我们可以在 /sys/fs/cgroup 中找到它。还是用例子来说明，启动一个容器，设置 --cpu-shares=512：
[root@master1 ~]# docker run -it --cpu-shares 512 progrium/stress -c 2
stress: info: [1] dispatching hogs: 2 cpu, 0 io, 0 vm, 0 hdd
stress: dbug: [1] using backoff sleep of 6000us
stress: dbug: [1] --> hogcpu worker 2 [6] forked
查看容器的 ID：
[root@master1 hanli]# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
efe806fcf906 progrium/stress "/usr/bin/stress --v…" 6 seconds ago Up 5 seconds reverent_kare
在 /sys/fs/cgroup/cpu/docker 目录中，Linux 会为每个容器创建一个 cgroup 目录，以容器长ID 命名：
目录中包含所有与 cpu 相关的 cgroup 配置，文件 cpu.shares 保存的就是 --cpu-shares 的配置，值为 512。
同样的，/sys/fs/cgroup/memory/docker 和 /sys/fs/cgroup/blkio/docker 中保存的是内存以及 Block IO 的 cgroup 配置。
[root@master1 hanli]# ls /sys/fs/cgroup/cpu/docker/efe806fcf9062798ece25ed79114b0b029fbef0cd2cbff5477db53e7b0f3b746/
cgroup.clone_children cgroup.procs cpuacct.usage cpu.cfs_period_us cpu.rt_period_us cpu.shares notify_on_release
cgroup.event_control cpuacct.stat cpuacct.usage_percpu cpu.cfs_quota_us cpu.rt_runtime_us cpu.stat tasks
[root@master1 hanli]# cat /sys/fs/cgroup/cpu/docker/efe806fcf9062798ece25ed79114b0b029fbef0cd2cbff5477db53e7b0f3b746/cpu.shares
512
namespace
在每个容器中，我们都可以看到文件系统、网卡等资源，这些资源看上去是容器自己的。拿网卡来说，每个容器都会认为自己有一块独立的网卡，及时docker host上只有一个块物理网卡。这种方式非常好，他使得容器更像一个独立的计算机。
Linux实现这种方式的技术是namespace，namespace管理着docker host中全局唯一的资源，并可以让每个容器都觉得只有自己在使用他。换句话说，namespace实现了容器间的资源隔离。
Linux使用了六种namespace，分别对应六种资源： mount、UTS、IPC、PID、Network、User。
Mount namespace
它使得容器看上去拥有整个文件系统
容器有自己的 / 目录，可以执行mount 和 unmount命令。当然我们知道这些操作系统只在当前容器中生效，不会影响到 docker host 和其他容器。
UTS namespace
简单的说，UTS namespace让容器有自己的hostname 。默认情况下，容器的hostname 是他的短ID，可以通过 -h 或者 --hostname 参数设定
docker run -h myhost -it ubuntu
IPC namespace
它可以让容器拥有自己的共享内存和信号量（semaphore）来实现进程间通信，而不会与docker host和其他容器的IPC混在一起。
下面例子可以看到所有容器的进程都挂载 dockerd 进程下面，同时也可以看到容器自己的子进程。如果我们进入到容器中，使用ps命令只能看到自己的进程
root@docker-lab:~# docker run -d httpd
48ec7932db1c5c27a194b15b3a3c1349a5d43d9260661b381d1563092ed941b6
root@docker-lab:~#
root@docker-lab:~# docker run -d nginx
37a75b3a9bd9ad07fb07bff04b6df16e3cb693e47ffb87a1184d1b8f975e8b6d
root@docker-lab:~# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
37a75b3a9bd9 nginx "nginx -g 'daemon of…" 25 seconds ago Up 25 seconds 80/tcp compassionate_chatterjee
48ec7932db1c httpd "httpd-foreground" 32 seconds ago Up 32 seconds 80/tcp amazing_banach
root@docker-lab:~# ps axf
24323 ? Ssl 71:17 /usr/bin/dockerd -H fd:// -H tcp://0.0.0.0
24336 ? Ssl 149:45 \_ docker-containerd --config /var/run/docker/containerd/containerd.toml
27680 ? Sl 0:00 \_ docker-containerd-shim -namespace moby -workdir /var/lib/docker/containerd/daemon/io.containerd.runtime.v1.linux/moby/48ec7932db1c5c27a194b15b3a3c1349a5d4
27712 ? Ss 0:00 | \_ httpd -DFOREGROUND
27759 ? Sl 0:00 | \_ httpd -DFOREGROUND
27760 ? Sl 0:00 | \_ httpd -DFOREGROUND
27761 ? Sl 0:00 | \_ httpd -DFOREGROUND
27954 ? Sl 0:00 \_ docker-containerd-shim -namespace moby -workdir /var/lib/docker/containerd/daemon/io.containerd.runtime.v1.linux/moby/37a75b3a9bd9ad07fb07bff04b6df16e3cb6
27989 ? Ss 0:00 \_ nginx: master process nginx -g daemon off;
28033 ? S 0:00 \_ nginx: worker process
Network namespace
Network namespace 让容器拥有自己的独立的网卡、IP、路由等资源。
User namespace
他让容器能够管理自己的用户，docker host 不能看到容器中创建的用户
docker exec -it ubuntu bash
useradd cloudman
exit
su cloudman #报错
在容器中创建了用户 cloudman，但 host 中并不会创建相应的用户。
容器常用命令总结
create 创建
run 创建+启动
pause 暂停
unpause 恢复
stop 停止
kill 杀掉
start 启动
restart 重启
start 启动
attach 进入容器启动的终端
exec 在容器中启动新的进程，通常使用 -it
logs 显示容器启动进程的控制台输出 用-f 持续打印
rm 删除