Docker k8s底层原理
docker
Docker 底层原理基于容器技术，依赖于 Linux 操作系统的几项核心功能，如 Namespaces、Cgroups 和 UnionFS 等机制，来实现进程隔离、资源控制和高效的文件系统管理。
1. Namespace (命名空间)
Namespace 是 Docker 实现资源隔离的基础技术。Linux 内核通过命名空间将容器内的资源与主机隔离。每个容器都有自己的独立命名空间，从而达到进程、网络、文件系统等资源的隔离。
PID Namespace：隔离进程 ID，使得容器中的进程看不到其他容器或主机上的进程。 Network Namespace：每个容器拥有自己独立的网络接口、路由表、IP 地址。 Mount Namespace：提供文件系统的隔离，每个容器有自己独立的文件系统视图。 UTS Namespace：允许容器内的进程独立修改主机名和域名。 IPC Namespace：隔离进程间的通信，确保容器间的消息队列、信号量等是独立的。 User Namespace：使容器内的用户和主机上的用户权限可以不同步，提供安全性。
2. Cgroups (控制组)
Cgroups 用于控制容器的资源使用，主要包括 CPU、内存、网络带宽、IO 等。Docker 使用 Cgroups 来限制、统计和隔离每个容器的资源使用。
资源限制：通过 Cgroups，Docker 可以为每个容器设定 CPU、内存等资源上限，防止某个容器过度消耗资源。 资源监控：Cgroups 能实时监控容器的资源使用，帮助优化性能和进行故障诊断。
3. UnionFS (联合文件系统)
UnionFS 是一种分层的文件系统技术，Docker 利用它来高效地构建和管理镜像。Docker 镜像由多个只读层组成，不同的镜像层共享基础层，这减少了存储空间的占用。
写时复制（Copy-on-Write）：容器的可写层在启动时叠加到只读镜像层上，只有当容器需要修改数据时，才会对数据进行写时复制。 镜像分层：Docker 镜像是分层的，基础镜像可以被多个容器共享，从而提高了镜像的构建和分发效率。
4. 容器网络
Docker 提供了多种网络模式，通过虚拟网络技术为容器提供灵活的网络配置。
桥接网络（Bridge Network）：Docker 默认使用桥接网络，将容器连接到虚拟桥接设备上，容器之间可以通过 IP 直接通信。 Host 网络：容器与主机共享同一个网络堆栈，使用主机的 IP 地址和端口。 Overlay 网络：用于跨多个主机的容器通信，特别适用于 Docker Swarm 或 Kubernetes 环境。
5. 存储机制
Docker 使用多种存储机制来管理容器中的数据。容器内的文件系统是临时的，容器删除后会丢失，Docker 通过持久化存储解决这个问题。
Volumes（卷）：Docker 推荐的持久化存储方式，可以将数据存储在主机上，并在多个容器间共享。 Bind mounts：将主机文件系统中的目录挂载到容器中，容器可以直接访问主机上的文件。 tmpfs mounts：数据只存储在内存中，适合临时数据。
6. 容器运行时（Container Runtime）
Docker 的容器运行时负责创建和管理容器，Docker 默认使用 runc 作为容器运行时。runc 是基于 Open Container Initiative (OCI) 标准的运行时工具，能够启动符合标准的容器。
Containerd：它是 Docker 的底层容器管理服务，负责容器的生命周期管理（创建、启动、停止等），同时与 runc 协同工作执行容器的具体操作。
7. Docker Daemon 和 REST API
Docker 的核心组件是 Docker Daemon，它是运行在后台的进程，负责处理容器的生命周期管理。Docker Daemon 通过 REST API 提供外部接口，开发者可以通过 API 或 Docker CLI 与 Daemon 进行交互。
总结
Docker 通过命名空间 (Namespaces) 实现资源的隔离，使用 Cgroups 管理资源分配与限制，通过 UnionFS 高效管理镜像层次，结合强大的网络模型和存储机制，形成了一个轻量、高效的容器化平台。Docker 的底层技术结合了 Linux 内核的众多强大功能，为现代云计算和微服务架构提供了基础支持。
总结来说，Docker 依赖于 Linux 内核的多种特性，如 Namespace 提供隔离，Cgroups 管理资源，UnionFS 实现高效存储管理，同时通过 Daemon 和 REST API 进行容器生命周期管理和自动化操作。Docker 的设计思想基于轻量级虚拟化，使得容器成为开发和部署现代应用的核心技术之一。
