,,

《Docker極簡(jiǎn)教程》--Docker基礎(chǔ)--基礎(chǔ)知識(shí)（三）

當(dāng)前位置：點(diǎn)晴教程→知識(shí)管理交流 →『技術(shù)文檔交流』

admin

2024年2月7日 18:57 本文熱度 1051

一、Namespace和Cgroups

1.1 Namespace的作用和類型

Docker 的 Namespace 是 Linux 內(nèi)核提供的一種機(jī)制，用于隔離系統(tǒng)資源，使得容器能夠擁有自己獨(dú)立的視圖，從而實(shí)現(xiàn)更高程度的隔離和安全性。Namespace 在 Docker 中扮演著至關(guān)重要的角色，它允許容器內(nèi)的進(jìn)程以及其他系統(tǒng)資源（如網(wǎng)絡(luò)、文件系統(tǒng)等）在一個(gè)獨(dú)立的 Namespace 中運(yùn)行，彼此之間相互隔離，不會(huì)相互干擾。

以下是 Docker 中常見的 Namespace 類型及其作用：

PID Namespace（進(jìn)程 ID Namespace）：

作用：為容器內(nèi)的進(jìn)程提供一個(gè)獨(dú)立的進(jìn)程 ID 空間，使得容器內(nèi)的進(jìn)程看到的進(jìn)程 ID 從 1 開始，而不受宿主機(jī)或其他容器中進(jìn)程 ID 的影響。這種隔離使得容器內(nèi)的進(jìn)程無法感知到宿主機(jī)或其他容器的進(jìn)程。

Network Namespace（網(wǎng)絡(luò) Namespace）：

作用：提供獨(dú)立的網(wǎng)絡(luò)棧，使得容器內(nèi)的網(wǎng)絡(luò)資源（如網(wǎng)絡(luò)接口、IP 地址、路由表等）與宿主機(jī)及其他容器的網(wǎng)絡(luò)資源相互隔離，每個(gè)容器都擁有自己獨(dú)立的網(wǎng)絡(luò)環(huán)境，從而實(shí)現(xiàn)網(wǎng)絡(luò)隔離。

Mount Namespace（掛載 Namespace）：

作用：使得容器擁有獨(dú)立的文件系統(tǒng)視圖，容器內(nèi)的文件操作不會(huì)影響到宿主機(jī)或其他容器的文件系統(tǒng)。這種隔離保證了容器內(nèi)文件系統(tǒng)的獨(dú)立性。

UTS Namespace（UTS Namespace）：

作用：提供容器內(nèi)部的主機(jī)名和域名的隔離，使得容器內(nèi)部可以擁有自己獨(dú)立的主機(jī)名和域名信息，與宿主機(jī)及其他容器相互隔離。

IPC Namespace（IPC Namespace）：

作用：隔離容器內(nèi)部的進(jìn)程間通信（Inter-Process Communication），使得容器內(nèi)的進(jìn)程無法直接與宿主機(jī)或其他容器中的進(jìn)程進(jìn)行通信。

User Namespace（用戶 Namespace）：

作用：允許容器內(nèi)的進(jìn)程擁有獨(dú)立的用戶和用戶組標(biāo)識(shí)，容器內(nèi)的進(jìn)程可以以不同于宿主機(jī)用戶的身份運(yùn)行，提供額外的安全性。

通過組合使用這些 Namespace 類型，Docker 實(shí)現(xiàn)了容器的隔離，使得容器內(nèi)的進(jìn)程和資源得以隔離運(yùn)行，從而保證了容器的安全性、獨(dú)立性和互不干擾性。

1.2 Cgroups的作用和管理資源

Cgroups（Control Groups）是 Linux 內(nèi)核提供的一種機(jī)制，用于限制、跟蹤和分配系統(tǒng)資源，如 CPU、內(nèi)存、磁盤 I/O 等，以及控制進(jìn)程組的資源使用情況。Cgroups 允許系統(tǒng)管理員將一組進(jìn)程組織起來，并對(duì)它們的資源使用進(jìn)行限制和管理，從而實(shí)現(xiàn)資源隔離、優(yōu)先級(jí)調(diào)整、資源配額等功能。 Cgroups 的主要作用包括：

資源限制和管理：Cgroups 允許管理員為進(jìn)程或進(jìn)程組分配特定的資源限制，如 CPU 使用時(shí)間、內(nèi)存量、磁盤 I/O 帶寬等。這樣可以確保系統(tǒng)中不同的進(jìn)程或組之間不會(huì)互相干擾，從而提高系統(tǒng)的穩(wěn)定性和可靠性。
優(yōu)先級(jí)調(diào)整：通過 Cgroups，管理員可以為不同的進(jìn)程或進(jìn)程組分配不同的資源優(yōu)先級(jí)，從而確保重要任務(wù)獲得足夠的資源，并且可以根據(jù)需求動(dòng)態(tài)調(diào)整資源分配策略。
資源配額：Cgroups 允許管理員為不同的進(jìn)程或進(jìn)程組設(shè)置資源配額，確保系統(tǒng)中的資源分配合理，防止某些進(jìn)程占用過多的資源導(dǎo)致其他進(jìn)程無法正常運(yùn)行。
資源統(tǒng)計(jì)和監(jiān)控：Cgroups 可以跟蹤和記錄進(jìn)程或進(jìn)程組的資源使用情況，包括 CPU 使用時(shí)間、內(nèi)存消耗、磁盤 I/O 等，管理員可以通過這些統(tǒng)計(jì)信息了解系統(tǒng)資源的使用情況，進(jìn)行資源優(yōu)化和調(diào)整。

Cgroups 可以通過在文件系統(tǒng)中的特定目錄下創(chuàng)建和配置相應(yīng)的控制組來進(jìn)行資源管理。在使用 Docker 等容器技術(shù)時(shí)，Cgroups 也被廣泛用于限制和管理容器的資源使用，確保容器之間資源的隔離和公平分配。

二、鏡像的加載和運(yùn)行過程

2.1 鏡像的拉取和保存

鏡像的拉取和保存是 Docker 中常見的操作，它們?cè)试S用戶從遠(yuǎn)程倉(cāng)庫(kù)獲取鏡像以及將本地的鏡像保存為一個(gè)文件。下面我將分別介紹鏡像的拉取和保存過程：

鏡像的拉取：

Docker 將下載鏡像的各個(gè)層（layers），然后組裝為完整的鏡像。等待過程取決于網(wǎng)絡(luò)速度和鏡像大小。
可以通過指定鏡像的標(biāo)簽來選擇特定版本或者標(biāo)記的鏡像，例如 ubuntu:20.04 表示拉取 Ubuntu 20.04 版本的鏡像。
使用 docker pull 命令從 Docker Hub 或其他注冊(cè)表（Registry）拉取鏡像。例如：
```
docker pull ubuntu:latest
```
這將從 Docker Hub 上獲取名為 ubuntu 的鏡像的最新版本。
從遠(yuǎn)程倉(cāng)庫(kù)拉取鏡像：
指定鏡像標(biāo)簽：
等待鏡像拉取完成：

鏡像的保存：

Docker 將把指定的鏡像保存為一個(gè) tar 文件，該過程的時(shí)間取決于鏡像的大小和系統(tǒng)性能。
可以根據(jù)需要選擇要保存的特定鏡像，如果需要保存多個(gè)鏡像，可以一次性指定多個(gè)鏡像。例如：
```
docker save -o images.tar ubuntu:latest nginx:latest
```
這將同時(shí)保存 ubuntu:latest 和 nginx:latest 兩個(gè)鏡像為 images.tar 文件。
使用 docker save 命令保存本地鏡像為一個(gè)文件。例如：
```
docker save -o ubuntu_latest.tar ubuntu:latest
```
這將保存名為 ubuntu:latest 的鏡像為 ubuntu_latest.tar 文件。
保存本地鏡像：
指定保存的鏡像：
等待保存完成：

以上是關(guān)于 Docker 鏡像的拉取和保存的基本操作。拉取和保存鏡像是日常 Docker 使用中常見的任務(wù)，它們可以幫助用戶輕松地獲取和管理鏡像。

2.2 容器的啟動(dòng)和執(zhí)行流程

容器的啟動(dòng)和執(zhí)行流程包括以下幾個(gè)關(guān)鍵步驟：

鏡像拉取或加載：

如果容器所使用的鏡像尚未在本地存在，Docker 會(huì)首先嘗試從遠(yuǎn)程倉(cāng)庫(kù)（如 Docker Hub）拉取鏡像。如果鏡像已經(jīng)在本地存在，則會(huì)直接使用本地的鏡像。

創(chuàng)建容器：

Docker 使用鏡像創(chuàng)建一個(gè)新的容器實(shí)例。在創(chuàng)建容器時(shí)，Docker 將應(yīng)用容器的配置，如網(wǎng)絡(luò)設(shè)置、掛載點(diǎn)、環(huán)境變量等。

設(shè)置 Namespace 和 Cgroups：

Docker 使用 Linux 的 Namespace 和 Cgroups 功能，為容器提供隔離的運(yùn)行環(huán)境。這包括 PID Namespace、Network Namespace、Mount Namespace、UTS Namespace、IPC Namespace、以及針對(duì)資源限制的 Cgroups。

啟動(dòng)容器進(jìn)程：

Docker 在容器內(nèi)啟動(dòng)主要進(jìn)程。這通常是容器的主應(yīng)用程序，它可能是一個(gè)命令行工具、一個(gè)服務(wù)、一個(gè)網(wǎng)站等。Docker 使用容器的啟動(dòng)命令來運(yùn)行這個(gè)主要進(jìn)程。

執(zhí)行容器中的任務(wù)：

一旦容器啟動(dòng)并運(yùn)行主要進(jìn)程，它開始執(zhí)行容器中的任務(wù)。這可能包括處理請(qǐng)求、執(zhí)行作業(yè)、提供服務(wù)等。

監(jiān)控和管理容器：

Docker 守護(hù)進(jìn)程會(huì)監(jiān)控容器的運(yùn)行狀態(tài)，并根據(jù)需要采取措施。例如，如果容器進(jìn)程異常退出，Docker 可以自動(dòng)重啟容器。

收集容器日志：

Docker 收集容器的標(biāo)準(zhǔn)輸出和標(biāo)準(zhǔn)錯(cuò)誤輸出，并將它們轉(zhuǎn)發(fā)到 Docker 守護(hù)進(jìn)程，然后可能進(jìn)一步記錄到日志文件中。

容器退出：

當(dāng)容器的主要進(jìn)程完成任務(wù)或者發(fā)生錯(cuò)誤時(shí)，容器將退出。Docker 可以根據(jù)容器的退出狀態(tài)進(jìn)行適當(dāng)?shù)奶幚恚缰匦聠?dòng)、刪除等。

這些步驟構(gòu)成了容器的啟動(dòng)和執(zhí)行流程。Docker 提供了強(qiáng)大的管理工具和機(jī)制，使得容器的創(chuàng)建、運(yùn)行和管理變得簡(jiǎn)單而靈活。

三、數(shù)據(jù)卷和網(wǎng)絡(luò)

3.1 數(shù)據(jù)卷的定義和使用

在 Docker 中，數(shù)據(jù)卷（Data Volume）是一種用于持久化數(shù)據(jù)的特殊文件或目錄，可以繞過容器的文件系統(tǒng)，使得數(shù)據(jù)可以在容器之間共享、傳遞，并且能夠在容器生命周期內(nèi)保持持久性。數(shù)據(jù)卷可以存儲(chǔ)數(shù)據(jù)庫(kù)文件、配置文件、日志文件等應(yīng)用程序數(shù)據(jù)，而不受容器的生命周期限制。

定義數(shù)據(jù)卷：在 Docker 中，數(shù)據(jù)卷可以通過以下幾種方式定義：

命令行定義：使用 -v 或 --volume 參數(shù)在容器運(yùn)行時(shí)指定數(shù)據(jù)卷，例如：
```
docker run -v /host/path:/container/path ...
```
Dockerfile 定義：在 Dockerfile 中使用 VOLUME 指令定義數(shù)據(jù)卷，例如：
```
VOLUME /container/path
```
匿名卷定義：在容器啟動(dòng)時(shí)，可以使用 -v 或 --volume 參數(shù)直接指定一個(gè)匿名卷，Docker 將自動(dòng)生成一個(gè)隨機(jī)的卷名稱。

使用數(shù)據(jù)卷：一旦數(shù)據(jù)卷被定義，容器就可以通過掛載數(shù)據(jù)卷來使用它。常見的用法包括：

掛載到容器中的路徑：使用 -v 或 --volume 參數(shù)將數(shù)據(jù)卷掛載到容器中的指定路徑，例如：
```
docker run -v /host/path:/container/path ...
```
掛載到容器中的命名卷：如果已經(jīng)在容器中定義了數(shù)據(jù)卷，可以直接通過卷的名稱來掛載，例如：
```
docker run --volume my_volume:/container/path ...
```
多個(gè)數(shù)據(jù)卷掛載：容器可以掛載多個(gè)數(shù)據(jù)卷，每個(gè)數(shù)據(jù)卷都可以掛載到容器中的不同路徑，例如：
```
docker run -v /host/path1:/container/path1 -v /host/path2:/container/path2 ...
```
容器間數(shù)據(jù)共享：多個(gè)容器可以共享同一個(gè)數(shù)據(jù)卷，從而實(shí)現(xiàn)數(shù)據(jù)的共享和傳遞。

通過使用數(shù)據(jù)卷，Docker 可以更加靈活地管理容器中的數(shù)據(jù)，并且使得數(shù)據(jù)在容器之間的共享和傳遞變得更加簡(jiǎn)單。數(shù)據(jù)卷的使用還可以提高容器的可移植性和可維護(hù)性，使得容器在不同的環(huán)境中更容易部署和運(yùn)行。

3.2 網(wǎng)絡(luò)的配置和通信

在 Docker 中，網(wǎng)絡(luò)的配置和通信是容器化應(yīng)用中至關(guān)重要的一部分。下面是關(guān)于 Docker 網(wǎng)絡(luò)的配置和通信的基本概念和方法：

網(wǎng)絡(luò)配置：

容器可以連接到一個(gè)或多個(gè)網(wǎng)絡(luò)。在創(chuàng)建容器時(shí)，可以使用 --network 參數(shù)指定容器連接的網(wǎng)絡(luò)。
Docker 允許創(chuàng)建自定義網(wǎng)絡(luò)，用戶可以使用自定義網(wǎng)絡(luò)來隔離容器、控制容器的通信以及提供更高級(jí)的網(wǎng)絡(luò)功能。用戶可以使用 docker network create 命令創(chuàng)建自定義網(wǎng)絡(luò)。
Docker 默認(rèn)提供了三種網(wǎng)絡(luò)驅(qū)動(dòng)：bridge、host 和 none。其中，bridge 是默認(rèn)的網(wǎng)絡(luò)驅(qū)動(dòng)，會(huì)為每個(gè)容器分配一個(gè)獨(dú)立的 IP 地址，并且容器可以通過容器名稱進(jìn)行通信。
默認(rèn)網(wǎng)絡(luò)：
自定義網(wǎng)絡(luò)：
連接到網(wǎng)絡(luò)：

網(wǎng)絡(luò)通信：

容器可以使用環(huán)回地址（127.0.0.1）與自身內(nèi)部的服務(wù)進(jìn)行通信。
可以使用 -p 或 --publish 參數(shù)將容器的端口映射到主機(jī)的端口，從而允許外部網(wǎng)絡(luò)訪問容器提供的服務(wù)。
如果容器連接到 overlay 網(wǎng)絡(luò)（適用于 Swarm mode），容器可以在多個(gè)主機(jī)上進(jìn)行通信。Swarm mode 提供了內(nèi)置的 DNS 解析服務(wù)，使得容器可以通過服務(wù)名稱進(jìn)行通信。
如果容器連接到 bridge 網(wǎng)絡(luò)，它可以通過主機(jī)的 IP 地址進(jìn)行通信。如果容器連接到自定義網(wǎng)絡(luò)，主機(jī)和容器可以使用容器的名稱進(jìn)行通信。
連接到同一個(gè)網(wǎng)絡(luò)的容器可以直接使用容器名稱進(jìn)行通信，無需知道對(duì)方的 IP 地址。
容器間通信：
主機(jī)和容器間通信：
跨主機(jī)通信：
端口映射：
環(huán)回地址通信：

通過合適的網(wǎng)絡(luò)配置，容器可以在不同的環(huán)境中進(jìn)行通信，提供服務(wù)，并與其他容器或主機(jī)進(jìn)行交互。網(wǎng)絡(luò)通信的靈活性和可配置性使得 Docker 在構(gòu)建分布式系統(tǒng)和微服務(wù)架構(gòu)時(shí)非常有用。

四、總結(jié)

本文介紹了 Docker 中的 Namespace 和 Cgroups，它們是 Linux 內(nèi)核提供的機(jī)制，用于實(shí)現(xiàn)容器的隔離和資源管理。Namespace 提供了多種類型的隔離，如 PID、Network、Mount、UTS、IPC 和 User Namespace，使得容器能夠擁有獨(dú)立的運(yùn)行環(huán)境。Cgroups 則用于管理容器的資源使用，包括 CPU、內(nèi)存、磁盤等。此外，還介紹了鏡像的拉取和保存過程，以及容器的啟動(dòng)和執(zhí)行流程。最后，討論了數(shù)據(jù)卷和網(wǎng)絡(luò)的配置與使用，它們?yōu)槿萜魈峁┝藬?shù)據(jù)持久化和網(wǎng)絡(luò)通信的功能。綜合而言，Docker 提供了強(qiáng)大的功能和靈活的配置選項(xiàng)，使得容器化應(yīng)用的開發(fā)、部署和管理變得更加簡(jiǎn)單和高效。

該文章在 2024/2/7 18:57:24 編輯過

關(guān)鍵字查詢

知識(shí)

基礎(chǔ)

相關(guān)文章

正在查詢...