耿雨飞的个人博客

[[ slide_text ]]

[[ item.c ]]

Docker 架构原理

发布时间：2023-03-20 作者：gengyufei 来源：gengyufei个人博客

Docker

# 摘要
Docker 容器运行在操作系统上，需要来自操作系统的支持。本节以容器领域最流行的 Linux 宿主系统为例，介绍 Docker 底层依赖的核心技术：
- docker 基本架构
- Linux操作系统：
 - 命名空间 namespace
 - 控制组 control group
 - 联合文件系统 union file system
 - 网络虚拟化

# 基本架构
Docker 目前采用标准的C/S架构，包括客户端、服务端两大核心组件，同时通过镜像仓库来存储镜像。客户端和服务端既可以运行在一个机器上，也可以通过socket或者restfulAPI来进行通信。
![](https://tcs-devops.aliyuncs.com/storage/112o97b8e1945360b9adace7ebc85a1ea6ed?Signature=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJBcHBJRCI6IjVlNzQ4MmQ2MjE1MjJiZDVjN2Y5YjMzNSIsIl9hcHBJZCI6IjVlNzQ4MmQ2MjE1MjJiZDVjN2Y5YjMzNSIsIl9vcmdhbml6YXRpb25JZCI6IiIsImV4cCI6MTY3OTkyMTc4MCwiaWF0IjoxNjc5MzE2OTgwLCJyZXNvdXJjZSI6Ii9zdG9yYWdlLzExMm85N2I4ZTE5NDUzNjBiOWFkYWNlN2ViYzg1YTFlYTZlZCJ9._CUkh3gKz5mYRXaV8zWWmZzz8WIDrIQHgnjxB9YViGU)

## 服务端
Docker服务端一般**运行在宿主主机后台**，**dockerd作为服务端接收来自客户的请求**，并通过**containerd具体处理与容器的相关请求，包括创建、运行、删除容器等**。服务端主要包括4个组件：
- **dockerd**：为客户端提供 RESTful API，响应来自客户端的请求，采用模块化的架构，通过专门的 Engine 模块来分发管理各个来自客户端的任务，并且可单独升级；
- **docker-proxy**：是dockerd的子进程，当需要进行容器端口映射时，它负责完成网络映射配置；
- **containerd**：是dockerd的子进程，提供 gRPC 接口响应来自dockerd的请求，对下管理 runC 镜像和容器环境，可单独升级
- **containerd-shim**：是containerd的子进程，为 runC 容器提供支持，同时作为容器内进程的根进程。

**dockerd 默认监听本地的 unix:///var/run/docker.sock 套接字**，只允许本地的 root 用户或docker用户组成员访问。可以**通过 -H 选项来修改监听的方式**：
```
# 让dockerd 监听本地的TCP连接1234端口
sudo dockerd -H 127.0.0.1:1234
```
## 客户端
**Docker客户端为用户提供一系列可执行命令，使用这些命令可实现与Docker 服务端交互**。
客户端默认通过本地的 unix:///var/run/docker.sock 套接字向服务端发送命令。如果服务端没有监听在默认的地址，则需要客户端在执行命令的时候显示地指定服务端的地址。如：
```
# 假定服务端监听在本地的TCP连接1234端口：tcp://127.0.0.1:1234
docker -H tcp://127.0.0.1:1234 info
```
## 镜像仓库
镜像是使用容器的基础，Docker使用镜像仓库(Registry)在大规模场景下存储和分发Docker镜像。镜像仓库提供了对不同存储后端的支持，存放镜像文件，并且支持RESTful API，接收来自 Dockerd的命令，包括：拉取、上传镜像等。

# 命名空间
**命名空间(namespace)是Linux内核的一个强大特性**，为容器虚拟化的实现带来极大便利。利用这一特性，每个容器都可以拥有自己单独的命名空间，**运行在其中的应用都像是在独立的操作系统环境中一样**。命名空间机制**保证了容器之间彼此互不影响**。

在操作系统中，包括：内核、文件系统、网络、进程号(pid)、用户号(uid)、进程间通信(interProcess Communication, IPC)等资源，所有的资源都是应用进程直接共享的。要想实现虚拟化，除了要实现对内存、CPU、网络io、硬盘io、存储空间等的限制外，还要实现文件系统、网络、PID、UID、IPC等的互相隔离。前者好实现些，后者则需要宿主主机系统的深入支持。

**随着Linux系统对于命名空间功能的逐步完善，现在已经可以实现这些需求，让进程在彼此隔离的命名空间中运行**。虽然这些进程仍在共用同一个内核和某些运行时环境（如：一些系统命令和系统库），**但是彼此是不可见的，并且认为自己是独占系统的**。

## 进程命名空间
**Linux通过进程命名空间管理进程号**。**进程命名空间是一个父子关系的结构，子空间中的进程对父空间是可见的**。新fork出的一个进程，在父命名空间和子命名空间将对应不同的进程号。

一般情况下，启动多个容器时，宿主机与容器内进程空间的关系下图所示：
![](https://tcs-devops.aliyuncs.com/storage/112o2acea7815c2391f0c8d323b0e29d39d5?Signature=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJBcHBJRCI6IjVlNzQ4MmQ2MjE1MjJiZDVjN2Y5YjMzNSIsIl9hcHBJZCI6IjVlNzQ4MmQ2MjE1MjJiZDVjN2Y5YjMzNSIsIl9vcmdhbml6YXRpb25JZCI6IiIsImV4cCI6MTY3OTkyMTc4MCwiaWF0IjoxNjc5MzE2OTgwLCJyZXNvdXJjZSI6Ii9zdG9yYWdlLzExMm8yYWNlYTc4MTVjMjM5MWYwYzhkMzIzYjBlMjlkMzlkNSJ9.y6FcpuSkoGjJ8xOrwOMta1n7ZTXcaJ_sDPcrdgFdsYQ)
## IPC 命名空间
容器中的进程交互还是采用了Linux常见的进程间交互方法（interProcess Communication, IPC），包括：**信号量、消息队列和共享内存**等方式。

PID 命名空间 和 IPC 命名空间可以组合起来一起使用，同一个IPC命名空间内的进程可以彼此可见，允许进行交互；不同空间的进程则无法交互。
## 网络命名空间
有了进程命名空间后，不同命名空间中的进程号可以互相隔离，但是网络端口还是共享本地系统的端口。

**通过网络命名空间，可以实现网络隔离**。**一个网络命名空间为进程提供了一个完全独立的网络协议栈的视图**。包括：**网络设备接口、IPV4 和 IPV6协议栈、IP路由表、防火墙规则、sockets**等，这样**每个容器的网络就能隔离开来**。

**Docker 采用虚拟网络设备的方式**，将不同命名空间的网络设备连接到一起。默认情况下，Docker 在宿主机上创建多个虚机网桥(如：默认的网桥 docker0)，容器中的虚拟网卡通过网桥进行连接，如下图所示：
![](https://tcs-devops.aliyuncs.com/storage/112o57b3f92e4db6af527d55d73a3fbc00bd?Signature=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJBcHBJRCI6IjVlNzQ4MmQ2MjE1MjJiZDVjN2Y5YjMzNSIsIl9hcHBJZCI6IjVlNzQ4MmQ2MjE1MjJiZDVjN2Y5YjMzNSIsIl9vcmdhbml6YXRpb25JZCI6IiIsImV4cCI6MTY3OTkyMTc4MCwiaWF0IjoxNjc5MzE2OTgwLCJyZXNvdXJjZSI6Ii9zdG9yYWdlLzExMm81N2IzZjkyZTRkYjZhZjUyN2Q1NWQ3M2EzZmJjMDBiZCJ9.px4VNE27ARD5s9qp-F0SPpd3FYyJ1krnjLAIEEn-Ex0)

上一篇：Git 使用教程下一篇：Docker 更改默认存储位置

你觉得文章怎么样