Docker k8s底层原理

docker

Docker 底层原理基于容器技术，依赖于 Linux 操作系统的几项核心功能，如 Namespaces、Cgroups 和 UnionFS 等机制，来实现进程隔离、资源控制和高效的文件系统管理。

1. Namespace (命名空间)

Namespace 是 Docker 实现资源隔离的基础技术。Linux 内核通过命名空间将容器内的资源与主机隔离。每个容器都有自己的独立命名空间，从而达到进程、网络、文件系统等资源的隔离。

   PID Namespace：隔离进程 ID，使得容器中的进程看不到其他容器或主机上的进程。
   Network Namespace：每个容器拥有自己独立的网络接口、路由表、IP 地址。
   Mount Namespace：提供文件系统的隔离，每个容器有自己独立的文件系统视图。
   UTS Namespace：允许容器内的进程独立修改主机名和域名。
   IPC Namespace：隔离进程间的通信，确保容器间的消息队列、信号量等是独立的。
   User Namespace：使容器内的用户和主机上的用户权限可以不同步，提供安全性。

2. Cgroups (控制组)

Cgroups 用于控制容器的资源使用，主要包括 CPU、内存、网络带宽、IO 等。Docker 使用 Cgroups 来限制、统计和隔离每个容器的资源使用。

   资源限制：通过 Cgroups，Docker 可以为每个容器设定 CPU、内存等资源上限，防止某个容器过度消耗资源。
   资源监控：Cgroups 能实时监控容器的资源使用，帮助优化性能和进行故障诊断。

3. UnionFS (联合文件系统)

UnionFS 是一种分层的文件系统技术，Docker 利用它来高效地构建和管理镜像。Docker 镜像由多个只读层组成，不同的镜像层共享基础层，这减少了存储空间的占用。

   写时复制（Copy-on-Write）：容器的可写层在启动时叠加到只读镜像层上，只有当容器需要修改数据时，才会对数据进行写时复制。
   镜像分层：Docker 镜像是分层的，基础镜像可以被多个容器共享，从而提高了镜像的构建和分发效率。

4. 容器网络

Docker 提供了多种网络模式，通过虚拟网络技术为容器提供灵活的网络配置。

   桥接网络（Bridge Network）：Docker 默认使用桥接网络，将容器连接到虚拟桥接设备上，容器之间可以通过 IP 直接通信。
   Host 网络：容器与主机共享同一个网络堆栈，使用主机的 IP 地址和端口。
   Overlay 网络：用于跨多个主机的容器通信，特别适用于 Docker Swarm 或 Kubernetes 环境。

5. 存储机制

Docker 使用多种存储机制来管理容器中的数据。容器内的文件系统是临时的，容器删除后会丢失，Docker 通过持久化存储解决这个问题。

   Volumes（卷）：Docker 推荐的持久化存储方式，可以将数据存储在主机上，并在多个容器间共享。
   Bind mounts：将主机文件系统中的目录挂载到容器中，容器可以直接访问主机上的文件。
   tmpfs mounts：数据只存储在内存中，适合临时数据。

6. 容器运行时（Container Runtime）

Docker 的容器运行时负责创建和管理容器，Docker 默认使用 runc 作为容器运行时。runc 是基于 Open Container Initiative (OCI) 标准的运行时工具，能够启动符合标准的容器。

   Containerd：它是 Docker 的底层容器管理服务，负责容器的生命周期管理（创建、启动、停止等），同时与 runc 协同工作执行容器的具体操作。

7. Docker Daemon 和 REST API

Docker 的核心组件是 Docker Daemon，它是运行在后台的进程，负责处理容器的生命周期管理。Docker Daemon 通过 REST API 提供外部接口，开发者可以通过 API 或 Docker CLI 与 Daemon 进行交互。

总结

Docker 通过命名空间 (Namespaces) 实现资源的隔离，使用 Cgroups 管理资源分配与限制，通过 UnionFS 高效管理镜像层次，结合强大的网络模型和存储机制，形成了一个轻量、高效的容器化平台。Docker 的底层技术结合了 Linux 内核的众多强大功能，为现代云计算和微服务架构提供了基础支持。

docker 底层原理有深入理解 ChatGPT 说： ChatGPT

在深入理解 Docker 的底层原理时，需要特别关注容器的隔离、资源管理和存储机制等关键技术。让我更详细地解释这些核心技术。 1. 容器与虚拟机的区别

Docker 容器和传统虚拟机最大的区别在于它们的隔离方式：

   虚拟机: 每个虚拟机都拥有完整的操作系统实例，包括虚拟化的硬件层（如 CPU、内存、磁盘等），其资源开销较大。
   容器: 容器共享主机的操作系统内核，并使用操作系统级别的隔离技术来实现轻量化的虚拟化。这大幅减少了容器的资源占用，使其启动和销毁更加迅速。

2. Docker 主要使用的三大技术：Namespace、Cgroups 和 UnionFS 2.1 Namespace (命名空间)

Namespace 是 Linux 内核提供的一种隔离机制，Docker 使用它来隔离容器与主机以及容器之间的资源：

   PID Namespace：每个容器有自己独立的进程树。容器内的进程无法看到或影响其他容器中的进程。
   Mount Namespace：提供文件系统的隔离，确保每个容器只能访问分配给它的文件系统。
   Network Namespace：每个容器都有独立的网络堆栈，包括 IP 地址、路由表等，这使得容器的网络通信可以独立进行。
   UTS (Unix Time Sharing) Namespace：容器拥有独立的主机名和域名。
   IPC Namespace：隔离进程间的通信，确保不同容器的进程无法共享消息队列、信号量等。
   User Namespace：允许容器中的用户和宿主机的用户 ID 进行映射，使得容器中的 root 用户权限受到限制。

2.2 Cgroups (控制组)

Cgroups 提供了资源管理的功能，Docker 使用它来限制和监控容器使用的 CPU、内存、网络带宽等资源：

   资源限制：通过 Cgroups，Docker 可以为每个容器设定 CPU 核心数、内存上限等参数，确保容器不会消耗过多资源。
   资源优先级：Docker 允许设置容器之间的资源优先级（例如不同的 CPU 权重），从而实现资源的合理分配。
   资源统计：Cgroups 能够实时监控容器的资源使用情况，如 CPU 使用时间、内存使用量等，便于运维人员优化和排查问题。

2.3 UnionFS (联合文件系统)

Docker 镜像采用分层存储结构，使用 UnionFS 这种分层文件系统技术来管理镜像。常见的实现包括 AUFS、OverlayFS 和 Btrfs。

   分层镜像：Docker 镜像由多个只读层组成，每一层通常代表一次文件系统的变更。例如，基础镜像可以是一个最小化的 Linux 操作系统，上面逐层叠加应用依赖和应用程序。
   写时复制（Copy-on-Write）：当容器对文件系统进行写操作时，文件的写入是在容器的可写层上完成的，而基础层保持不变。这样，多个容器可以共享基础层数据，节省磁盘空间并加快启动速度。

3. Docker 网络

Docker 提供多种网络模型，支持灵活的容器网络配置：

   Bridge 网络：默认情况下，Docker 会创建一个 bridge（网桥）网络，所有容器都连接到这个网络上。它通过 NAT 来实现容器与外部网络的通信。
   Host 网络：容器与主机共享网络堆栈，这种模式下，容器直接使用宿主机的网络接口，减少了网络虚拟化的开销。
   Overlay 网络：用于跨多个主机的容器通信，尤其是在 Swarm 和 Kubernetes 环境下，通过 Overlay 网络可以将不同主机上的容器连接在一起。

4. Docker 存储 容器的存储是临时的，默认情况下，容器关闭或删除后其文件系统中的数据会丢失。为了实现持久化存储，Docker 提供了几种机制：

   Volumes（卷）：这是 Docker 推荐的持久化存储方式，卷可以存在于主机文件系统之外，多个容器可以共享同一个卷。
   Bind mounts：将主机的文件或目录直接挂载到容器中，允许容器访问主机的文件系统。这在开发环境中非常有用。
   tmpfs mounts：将数据存储在内存中，而不是磁盘，适合临时性的数据需求，例如缓存数据。

5. Docker Daemon 和 REST API

Docker Daemon 是 Docker 的核心，它是一个后台进程，负责处理 Docker 容器的管理任务。Docker Daemon 与容器运行时（如 runc）通信，并通过以下几部分协同工作：

   Docker CLI：命令行工具，与 Docker Daemon 通信来执行容器操作。
   Docker API：Docker Daemon 通过 REST API 提供外部接口，开发者可以使用它编写程序来自动化容器管理。

6. 容器运行时（Container Runtime）

Docker 使用的默认容器运行时是 runc，它是一个轻量级的运行时，用于创建和运行容器。runc 基于 OCI（Open Container Initiative）的规范，确保容器的标准化和兼容性。此外，容器运行时抽象层（Containerd）也是 Docker 生态系统中的一个重要组件，它负责管理容器生命周期

总结来说，Docker 依赖于 Linux 内核的多种特性，如 Namespace 提供隔离，Cgroups 管理资源，UnionFS 实现高效存储管理，同时通过 Daemon 和 REST API 进行容器生命周期管理和自动化操作。Docker 的设计思想基于轻量级虚拟化，使得容器成为开发和部署现代应用的核心技术之一。