(三)docker相关容器介绍

docker依赖linux内核的两个重要特性

1.Namespace-命名空间

       很多编程语言都有命名空间的概念，命名空间可以认为是封装的概念，实现的是代码的隔离，但是在操作系统中，实现的是系统资源的隔离，系统资源包括进程、文件系统、网络等。实际上，linux内核实现命名空间的主要目的之一是为了实现轻量级虚拟化服务，即我们所说的容器。在同一个命名空间的进程可以感知彼此的变化，但是对其他命名空间的进程是不为所知的，这样可以让容器中的进程产生一个错觉，仿佛自己就是在一个独立的系统环境中，以达到独立和隔离的目的。docker使用5种命名空间

• PID(Process ID)-进程隔离

       不同用户的进程就是通过 pid 命名空间隔离开的，且不同命名空间中可以有相同 pid。所有的 LXC 进程(Linux container)在 Docker 中的父进程为Docker进程，每个 LXC 进程具有不同的命名空间。同时由于允许嵌套，因此可以很方便的实现嵌套的 Docker 容器。

• NET(Network)-管理网络接口

       有了 pid 命名空间, 每个命名空间中的 pid 能够相互隔离，但是网络端口还是共享 host 的端口。网络隔离是通过 net 命名空间实现的， 每个 net 命名空间有独立的 网络设备, IP 地址, 路由表, /proc/net 目录。这样每个容器的网络就能隔离开来。Docker 默认采用 veth 的方式，将容器中的虚拟网卡同 host 上的一 个Docker 网桥 docker0 连接在一起。

•  IPC(InterProcess Communication)-管理跨进程通信的访问

       容器中进程交互还是采用了 Linux 常见的进程间交互方法(interprocess communication – IPC), 包括信号量、消息队列和共享内存等。然而同 VM 不同的是，容器的进程间交互实际上还是 host 上具有相同 pid 命名空间中的进程间交互，因此需要在 IPC 资源申请时加入命名空间信息，每个 IPC 资源有一个唯一的 32 位 id。

• MNT(Mount)-管理挂载点

       类似 chroot，将一个进程放到一个特定的目录执行。mnt 命名空间允许不同命名空间的进程看到的文件结构不同，这样每个命名空间中的进程所看到的文件目录就被隔离开了。同 chroot 不同，每个命名空间中的容器在 /proc/mounts 的信息只包含所在命名空间的 mount point。

•  UTS(UNIX Time-sharing System)-隔离内核和版本标识

       UTS(“UNIX Time-sharing System”) 命名空间允许每个容器拥有独立的 hostname 和 domain name, 使其在网络上可以被视作一个独立的节点而非 主机上的一个进程。

• USER

       每个容器可以有不同的用户和组 id, 也就是说可以在容器内用容器内部的用户执行程序而非主机上的用户。

2.Control groups(cgroups)-控制组

        控制组（cgroups）是 Linux 内核的一个特性，主要用来对共享资源进行隔离、限制、审计等。只有能控制分配到容器的资源，才能避免当多个容器同时运行时的对系统资源的竞争。控制组技术最早是由 Google 的程序员 2006 年起提出，Linux 内核自 2.6.24 开始支持。控制组可以提供对容器的内存、CPU、磁盘 IO 等资源的限制和审计管理。

• 资源限制（Resource Limitation）：cgroups可以对进程组使用的资源总额进行限制。如设定应用运行时使用内存的上限，一旦超过这个配额就发出OOM（Out of Memory）。
• 优先级分配（Prioritization）：通过分配的CPU时间片数量及硬盘IO带宽大小，实际上就相当于控制了进程运行的优先级。
• 资源统计（Accounting）： cgroups可以统计系统的资源使用量，如CPU使用时长、内存用量等等，这个功能非常适用于计费。
• 进程控制（Control）：cgroups可以对进程组执行挂起、恢复等操作。

3.总结docker的功能

• 文件系统隔离：每个容器都有自己的root文件系统
• 进程隔离：每个容器都运行在自己的进程环境中
• 网络隔离：容器间的虚拟网络接口和ip地址是分开的
• 资源隔离和分组：使用cgroups将CPU和内存之类的资源独立分配给每个docker容器