Linux 容器是一種輕量級的虛擬化專業，在共享內核的根基上，基于 namespace 和 cgroup 專業做到歷程的物質隔離和限制。本文將會以 docker 為例，介紹容器鏡像和容器引擎的根本常識。
容器
容器是一種輕量級的虛擬化專業，由於它跟虛擬機比起來，它少了一層 hypervisor 層。先看一下下面這張圖，這張圖簡樸繪出了一個容器的發動過程。
最下面是一個磁盤，容器的鏡像是儲備在磁盤上面的。上層是一個容器引擎，容器引擎可以是 docker，也可以是別的的容器引擎。
引擎向下發一個請願，例如說創造容器，這時候它就把磁盤上面的容器鏡像運行成在宿主機上的一個歷程。
對于容器來說，最主要的是怎麼擔保這個歷程所用到的物質是被隔離和被限制住的，在 Linux 內核上面是由 cgroup 和 namespace 這兩個專業來擔保的。接下來以 docker 為例，詳細介紹一下物質隔離和容器鏡像兩部門的內容。
**一、物質隔離和限制**
namespace
namespace 是用來做物質隔離的，在 Linux 內核上有七種 namespace，docker 中用到了前六種。第七種 cgroup namespace 在 docker 本身并沒有用到，不過在 runC 實現中實現了 cgroup namespace。
我們先重新看一下：
第一個是 mout namespace。mout namespace 即是擔保容器看到的文件體制的視圖，是容器鏡像提供的一個文件體制，也即是說它看不見宿主機上的其他文件，除了通過 -v 參數 bound 的那種模式，是可以把宿主機上面的一些目次和文件，讓它在容器里面可見的；
第二個是 uts namespace，這個 namespace 重要是隔離了 hostname 和 domain；
第三個是 p namespace，這個 namespace 是擔保了容器的 init 歷程是以 1 號歷程來發動的；
第四個是絡 namespace，除了容器用 host 絡這種模式之外，其他所有的絡模式都有一個個人的 netork namespace 的文件；
第五個是 user namespace，這個 namespace 是管理用戶 U 和 G 在容器內部和宿主機上的一個映射，但是這個 namespace 用的對照少；
第六個是 IPC namespace，這個 namespace 是管理了歷程兼通訊的一些物品，比喻說信號量；
第七個是 cgroup namespace，上圖右邊有兩張昭示圖，差別是表明開啟和關閉 cgroup namespace。用 cgroup namespace 帶來的一個優點是容器中看到的 cgroup 視圖是以根的格式來展示的，這樣的話就和宿主機上面歷程看到的 cgroup namespace 的一個視圖方式是雷同的；另有一個優點是讓容器內部採用 cgroup 會變得更安全。
這里我們簡樸用 unshare 示例一下 namespace 創辦的過程。容器中 namespace 的創造實在都是用 unshare 這個體制調用來創造的。
上圖上半部門是 unshare 採用的一個範例，下半部門是我實質用 unshare 這個號召去創造的一個 p namespace。可以看到這個 bash 歷程已經是在一個新的 p namespace 里面，然后 ps 看到這個 bash 的 p 此刻是 1，說明它是一個新的 p namespace。
cgroup
兩種 cgroup 驅動
cgroup 重要是做物質限制的，docker 容器有兩種 cgroup 驅動：一種是 systemd 的，另有一種是 cgroupfs 的。
– **cgroupfs **對照好懂得。例如說要限制內存是幾多、要用 CPU share 為幾多？實在直接把 p 寫入對應的一個 cgroup 文件，然后把對應需求限制的物質也寫入相應的 memory cgroup 文件和 CPU 的 cgroup 文件就可以了；
另有一個是 **systemd **的一個 cgroup 驅動。這個驅動是由於 systemd 本身可以提供一個 cgroup 控制方式。所以假如用 systemd 做 cgroup 驅動的話，所有的寫 cgroup 操縱都必要通過 systemd 的接口來辦妥，不可手動更換 cgroup 的文件。
容器中常用的 cgroup
接下來看一下容器中常用的 cgroup。Linux 內核本身是提供了許多種 cgroup，不過 docker 容器用到的大約只有下面六種：
第一個是 CPU，CPU 通常會去建置 cpu share 和 cupset，管理 CPU 的採用率；
第二個是 memory，是管理歷程內存的採用量；
第三個 device ，device 管理了你可以在容器中看到的 device 器材；
第四個 freezer。它和第三個 cgroup（device）都是為了安全的。當你休止容器的時候，freezer 會把當前的歷程全體都寫入 cgroup，然后把所有的歷程都凍結掉，這樣做的目標是：防範你在休止的時候，有歷程會去做 fork。這樣的話就相當于防範歷程逃逸到宿主機上面去，是為安全斟酌；
第五個是 blkio，blkio 重要是限制容器用到的磁盤的一些 IOPS 還有 bps 的速率限制。由於 cgroup 不唯一的話，blkio 只能限制同步 io，docker io 是沒設法限制的；
第六個是 p cgroup，p cgroup 限制的是容器里面可以用到的最大歷程數目。
少用的 cgroup
也有一部門是 docker 容器沒有用到的 cgroup。容器中常用的和少用的，這個區別是對 docker 來說的，由於對于 runC 來說，除了最下面的 rdma，所有的 cgroup 實在都是在 runC 里面支持的，不過 docker 并沒有開啟這部門支持，所以說 docker 容器是不支持下圖這些 cgroup 的。
**二、容器鏡像**
docker images
接下來我們講一下容器鏡像，以 docker 鏡像為例去講一下容器鏡像的構成。
docker 鏡像是基于聯盟文件體制的。簡樸繪出一下聯盟文件體制，大約的意思即是說：它許可文件是寄存在差異的層級上面的，不過終極是可以通過一個統一的視圖，看到這些層級上面的所有文件。
如上圖所示，右邊是從 docker 官拿過來的容器儲備的一個組織圖。
這張圖極度形象地表示了 docker 的儲備，docker 儲備也即是基于聯盟文件體制，是分層的。每一層是一個 Layer，這些 Layer 由差異的文件構造，它是可以被其他鏡像所復用的。
可以看一下，當鏡像被運行成一個容器的時候，最上層就會是一個容器的讀寫層。這個容器的讀寫層也可以通過 mit 把它變成一個鏡像頂層最新的一層。
docker 鏡像的儲備，它的底層是基于差異的文件體制的，所以它的儲備驅動也是針對差異的文件體制作為定制的，例如 AUFS、btrfs、devicemapper 還有 overlay。docker 對這些文件體制做了一些相對應的 graph driver 的驅動，通過這些驅動把鏡像存在磁盤上面。
以 overlay 為例
儲備流程
接下來我們以 overlay 這個文件體制為例，看一下 docker 鏡像是怎麼在磁盤長進行儲備的。
先看一下下面這張圖，簡樸地繪出了 overlay 文件體制的任務原則。
– 最基層是一個 loer 層，也即是鏡像層，它是一個只讀層；
右上層是一個 upper 層，upper 是容器的讀寫層，upper 層采用了寫實復制的機制，也即是說只有對某些文件需求進行改動的時候才會從 loer 層把這個文件拷貝上來，之后所有的改動操縱城市對 upper 層的副本進行改動；世足運彩怎麼買ptt
upper 并列的有一個 orkdir，它的作用是擔任一個中間層的作用。也即是說，當對 upper 層里面的副本進行改動時，會先放到 orkdir，然后再從 orkdir 移到 upper 里面去，這個是 overlay 的任務機制；
最上面的是 mergedir，是一個統一視圖層。從 mergedir 里面可以看到 upper 和 loer 中所有數據的整合，然后我們 docker exec 到容器里面，看到一個文件體制實在即是 mergedir 統一視圖層。
文件操縱
接下來我們講一下基于 overlay 這種儲備，怎麼對容器里面的文件進行操縱？
先看一下讀操縱，容器剛創造出來的時候，upper 實在是空的。這個時候假如去讀的話，所有數據都是從 loer 層讀來的。
寫操縱如剛剛所提到的，overlay 的 upper 層有一個寫實數據的機制，對一些文件需求進行操縱的時候，overlay 會去做一個 copy up 的動作，然后會把文件從 loer 層拷貝上來，之后的一些寫改動城市對這個部門進行操縱。
然后看一下刪除操縱，overlay 里面實在是沒有真正的刪除操縱的。它所謂的刪除實在是通過對文件進行標誌，然后從最運彩 台彩上層的統一視圖層去看，看到這個文件假如做標誌，就會讓這個文件顯示出來，然后就以為這個文件是被刪掉的。這個標誌有兩種方式：
一種是 hiteout 的方式；
– 第二個即是通過建置目次的一個開拓權限，通過建置開拓參數來做到目次的刪除。
操縱程序
接下來看一下實質用 docker run 去發動 busybox 的容器，它的 overlay 的掛載點是什麼樣子的？
第二張圖是 mount，可以看到這個容器 rootfs 的一個掛載，它是一個 overlay 的 type 作為掛載的。里面包含有了 upper、loer 還有 orkdir 這三個層級。
然后看一下容器里面新文件的寫入。docker exec 去創造一個新文件，diff 這個從上面可以看到，是它的一個 upperdir。再看 upperdir 里面有這個文件，文件里面的內容也是 docker exec 寫入的。
最后看一下最下面的是 mergedir，mergedir 里面整合的 upperdir 和 loerdir 的內容，也可以看到我們寫入的數據。
**三、容器引擎**
containerd 容器條理詳解
接下來我們基于 CNCF 的一個容器引擎上的 containerd，來講一下容器引擎大要的構成。下圖是從 containerd 官拿過來的一張條理圖，基于這張條理圖先簡樸介紹一下 containerd 的條理。
上圖假如把它分成擺佈兩端的話，可以以為 containerd 提供了兩大性能。
第一個是對于 runtime，也即是對于容器性命周期的控制，左邊 storage 的部門實在是對一個鏡像儲備運彩 舉重的控制。containerd 會擔當進行的拉取、鏡像的儲備。
依照程度層次來看的話
– 第一層是 GRPC，containerd 對于運彩 達人上層來說是通過 GRPC serve 的格式來對上層提供辦事的。Metrics 這個部門重要是提供 cgroup Metrics 的一些內容；
下面這層的左邊是容器鏡像的一個儲備，中線 images、containers 下面是 Metadata，這部門 Matadata 是通過 **bootfs **儲備在磁盤上面的。右邊的 Tasks 是控制容器的容器組織，Events 是對容器的一些操縱城市有一個 Event 向上層發出，然后上層可以去訂閱這個 Event，由此知道容器狀態發作什麼變動；
最基層是 Runtimes 層，這個 Runtimes 可以從類型分辨，例如說 runC 或者是安全容器之類的。
shim v1v2 是什麼
接下來講一下 containerd 在 runtime 這邊的大要條理。下面這張圖是從 kata 官拿過來的，上半部門是原圖，下半部門加了一些開拓示例，基于這張圖我們來看一下 containerd 在 runtime 這層的條理。
如圖所示：依照從左往右的一個次序，從上層到終極 runtime 運行起來的一個流程。
我們先看一下最左邊，最左邊是一個 CRI Client。通常即是 kubelet 通過 CRI 請願，向 containerd 發送請願。containerd 收取到容器的請願之后，會途經一個 containerd shim。containerd shim 是控制容器性命周期的，它重要擔當雙方面：
– 第一個是它會對 io 進行轉發；
第二是它會對信號進行通報。
圖的上半部門畫的是安全容器，也即是 kata 的一個流程，這個就不具體展開了。
下半部門，可以看到有不同種類各樣差異的 shim。下面介紹一下 containerd shim 的條理。
一開端在 containerd 中只有一個 shim，也即是藍色框框起來的 containerd-shim。這個歷程的意思是，不顧是 kata 容器也好、runc 容器也好、gvisor 容器也好，上面用的 shim 都是 containerd。
后面針對差異類型的 runtime，containerd 去做了一個開拓。這個開拓是通過 shim-v2 這個 interface 去做的，也即是說只要去實現了這個 shim-v2 的 interface，差異的 runtime 就可以定制差異的 shim。例如：runC 可以個人做一個 shim，叫 shim-runc；gvisor 可以個人做一個 shim 叫 shim-gvisor；像上面 kata 也可以個人去做一個 shim-kata 的 shim。這些 shim 可以替代掉上面藍色框的 containerd-shim。
這樣做的優點有許多，舉一個對照形象的範例。可以看一下 kata 這張圖，它上面原本假如用 shim-v1 的話實在有三個組件，之所以有三個組件的來由是由於 kata 自身的一個限制，不過用了 shim-v2 這個條理后，三個組件可以做成一個二進制，也即是原本三個組件，此刻可以變成一個 shim-kata 組件，這個可以表現出 shim-v2 的一個優點。
containerd 容器條理詳解 – 容器流程示例
接下來我們以兩個示例來詳細辯白一下容器的流程是怎麼任務的，下面的兩張圖是基于 containerd 的條理畫的一個容器的任務流程。
start 流程
先看一下容器 start 的流程：
這張圖由三世足即時個部門構造：
– 第一個部門是容器引擎部門，容器引擎可以是 docker，也可以是別的的；
– 兩個虛線框框起來的 containerd 和 containerd-shim，它們兩個是屬于 containerd 條理的部門；
– 最下面即是 container 的部門，這個部門是通過一個 runtime 去拉起的，可以以為是 shim 去操縱 runC 號召創造的一個容器。
先看一下這個流程是怎麼任務的，圖里面也標明晰 1、2、3、4。這個 1、2、3、4 即是 containerd 怎麼去創造一個容器的流程。
首要它會去創造一個 matadata，然后會去發請願給 task service 說要去創造容器。通過中間一系列的組件，終極把請願下發到一個 shim。containerd 和 shim 的交互實在也是通過 GRPC 來做交互的，containerd 把創造請願發給 shim 之后，shim 會去調用 runtime 創造一個容器出來，以上即是容器 start 的一個示例。
exec 流程
接下來看下 面這張圖是怎麼去 exec 一個容器的。
和 start 流程極度類似，組織也大約雷同，差異的部門實在即是 containerd 怎麼去處置這部門流程。和上面的圖一樣，我也在圖中標明晰 1、2、3、4，這些程序就典型了 containerd 去做 exec 的一個先后次序。
由上圖可以看到：exec 的操縱還是發給 containerd-shim 的。對容器來說，去 start 一個容器和去 exec 一個容器，實在并沒有本性的區別。
終極的一個區別無非即是：是否對容器中跑的歷程做一個 namespace 的創造。
exec 的時候，需求把這個歷程參加到一個已有的 namespace 里面；
– start 的時候，容器歷程的 namespace 是需求去專門創造。
# 本文結算
最后但願各位同窗看完本文后，或許對 Linux 容器有更深刻的了解。這里為大家簡樸結算一下本文的內容：
1. 容器如何用 namespace 做物質隔離以及 cgroup 做物質限制；
2. 簡樸介紹了基于 overlay 文件體制的容器鏡像儲備；
3. 以 docker+containerd 為例介紹了容器引擎如何任務的。
