纯理论容器实现的原理

近期在复习容器的原理，希望这篇文章可以帮助到大家。

一、什么是容器？

容器本质上就是主机上的一个进程。这个进程拥有自己的用户空间并且和主机共享内核空间。

容器内的进程可以通过系统调用与内核进行交互，使用内核提供的各种功能和资源。

扩展：什么是内核空间以及用户空间？

Linux 操作系统分为内核空间（Kernel Space）和用户空间（User Space）。内核空间是由操作系统内核使用的内存区域，用于执行核心功能，如设备驱动、内存管理、进程调度等。用户空间则是给用户程序提供的运行环境，用户程序在用户空间中运行，通过系统调用（system call）与内核空间进行交互。

二、namespace是什么？

1、Namespace简介

Namespace是Linux基于内核实现的资源视图隔离功能，使得不同Namespace的资源彼此不可见。

2、容器常见的隔离如下：

PID Namespace（进程隔离）： 每个容器都拥有自己的 PID Namespace，使得容器内的进程只能看到自己所属的 PID 命名空间中的进程，从而实现进程的隔离。
Network Namespace（网络隔离）： 每个容器都有自己的 Network Namespace，使得容器内的网络栈与宿主机的网络栈相互隔离，每个容器拥有自己的网络接口、IP 地址、路由表等网络资源，从而实现网络的隔离。
Mount Namespace（文件系统隔离）： 每个容器都有自己的 Mount Namespace，使得容器内的文件系统与宿主机的文件系统相互隔离，每个容器拥有自己的根文件系统，可以挂载自己的文件系统，从而实现文件系统的隔离。
UTS Namespace（主机名与域名隔离）： 每个容器都有自己的 UTS Namespace，使得容器内的主机名与域名与宿主机相互隔离，每个容器拥有自己的主机名和域名，从而实现主机名与域名的隔离。
1. 重点：
  上述隔离都可以通过很简单的实验来证明。创建容器执行：ps -aux、查看userid、查看ifconfig、查看自己的目录是否和主机的文件目录内容相同、以及修改主机名是否对主机有影响。

三、怎么理解联合文件系统？

联合文件系统也是容器镜像的文件系统，打包时每一层均作为可读层（LowerDir），如果修改复制可读层到可写层(UpperDir)镜像修改，可读层不可变,用户看到的是可读和可写层合并后的Rootfs.

在Docker中，联合文件系统被广泛应用于容器的镜像管理中。下面是Docker中涉及到的几个重要概念：

LowerDir：LowerDir是指联合文件系统中底层的只读文件系统层。在Docker中，LowerDir通常指的是镜像的分层文件系统，即容器的基础镜像和其上的其他镜像层。
UpperDir：UpperDir是指联合文件系统中的可写层，用于保存容器的修改或新增的文件。在Docker中，UpperDir存储的是容器运行时产生的文件变化。
MergedDir：MergedDir是LowerDir和UpperDir合并后形成的联合文件系统的可见部分。在MergedDir中，会包含LowerDir和UpperDir中的文件，以及它们的修改和新增。
WorkDir：WorkDir是联合文件系统的工作目录，用于处理文件系统的合并操作。在Docker中，WorkDir通常指的是容器运行时的临时工作目录。
Rootfs：Rootfs是指容器的根文件系统，即容器中的文件系统树的顶层目录。在Docker中，Rootfs是由LowerDir和UpperDir合并而成的，它包含了容器中所有的文件和目录。

四、什么是Mount namespace?

简单的说就是将目录的挂载点挂载通过系统调用Clone将新的mnt namespace挂载到新的namespace中，来隔离挂点。

五、怎么实现进程有自己独立的Rootfs？

5.1 容器这个进程为什么有自己的Rootfs？

因为容器镜像文件系统驱动overlay2以及Mount namespace结合使用来实现进程拥有自己namespace级别的的Rootfs.

首先容器镜像是基于层级，一层一层只读层叠加最后合并组合为一个镜像。技术叫做联合文件系统，驱动名称为overlay2，在主机上的呈现为一个一个独立的目录。（每一层镜像可读层就是一个目录），编写dockerfile中每一个命令。RUN、COPY、CMD都是一层。

六、容器是怎么挂载和使用主机的Dir的？

当容器启动时，会使用overlay2存储驱动将容器的LowerDir、UpperDir、WorkDir、MergedDir镜像合并，组成容器的Rootfs(进入容器后看到的就是Rootfs文件系统加上隔离的namespace容器的用户空间),并且在 Docker 中，当你使用 -v 或 --volume 参数将主机上的目录挂载到容器中时，Docker 实际上会在容器的 mount namespace 中创建一个新的挂载点，将主机上的目录挂载到这个新的挂载点上。这样，容器内的进程就能够通过这个挂载点来访问主机上的目录，实现文件共享和交互。

七、Docker 容器运行时组件的简要描述：

1. **Docker Client（Docker 客户端）：**
- Docker 客户端是用户与 Docker 交互的主要方式之一，它可以通过命令行或者 API 来与 Docker 交互。
- Docker 客户端可以连接到 Docker 守护进程（Dockerd）并发送命令来管理容器、镜像、网络等资源。
- Docker 客户端可以与 Docker 守护进程通过 REST API 或者 Unix 套接字进行通信。

2. **Dockerd（Docker 守护进程）：**
- Dockerd 是 Docker 的守护进程，负责管理容器的生命周期、镜像的存储和分发、网络的管理等。
- Dockerd 通过监听 REST API 的请求来接收来自 Docker 客户端的命令，并执行相应的操作。
- Dockerd 也可以与其他容器运行时组件，如 Containerd，进行交互。

3. **Containerd：**
- Containerd 是一个用于管理容器生命周期的守护进程，是 Docker 中的一个核心组件。
- Containerd 负责管理容器的创建、运行、暂停、停止、删除等操作，以及容器与宿主机资源的隔离。
- Containerd 提供了 REST API，允许其他组件（如 Dockerd）通过 REST API 调用它的功能。

4. **Runc：**
- Runc 是一个用于运行容器的工具，是 Open Container Initiative（OCI）规范的实现之一。
- Runc 负责根据 OCI 规范创建和运行容器，它使用 Linux 的原生功能，如 cgroups、namespace 等来实现容器的隔离和运行。
- Dockerd 使用 Runc 来启动容器，它通过调用 Runc 的接口来创建和管理容器的生命周期。

下面是创建容器各个组件的交付：

Docker Client 使用 Unix 套接字或者 REST API 与 Dockerd 守护进程通信，向 Dockerd 发送命令以管理容器和其他 Docker 资源。
Dockerd 守护进程接收来自 Docker Client 的命令，并根据这些命令调用 Containerd 来管理容器的生命周期。
Containerd 负责实际的容器管理，包括创建、运行、停止、删除等操作。它通过 REST API 与 Dockerd 通信，接收来自 Dockerd 的命令。
重点：
当 Containerd 需要创建容器时，它会调用 Runc 来实际运行容器。Runc 使用系统调用（如 clone()）来创建新的容器进程，并根据需要分配新的命名空间等资源。

八、虽然容器和主机使用不同的namespace,但他们使用相同的主机上的内核空间，就以为着他们共享主机上的物理计算资源。怎么做限制的？

8.1 Cgroup简单介绍

Cgroup（Control Groups）是 Linux 内核提供的一个功能，用于管理和限制进程对系统资源的使用。它主要用于计费、监视和限制进程对 CPU、内存、存储 IO、网络 IO 等资源的使用。

Cgroup 使用树状结构来组织资源的管理，每个分支代表一个子系统，而子系统则代表一个特定的资源，如 CPU、内存、存储 IO、网络 IO 等。进程被分配到适当的子系统中，以便对其资源使用进行管理。

在 Cgroup 中，每个进程都被保存在一个名为 tasks 的文件中，该文件位于相应子系统的目录下。通过编辑和配置 /sys/fs/cgroup 目录下的文件，可以对子系统和进程的资源使用进行调整和控制。

8.2 那么默认情况下新创建的容器是不受资源限制的吗？

默认情况下，新创建的容器是不受资源限制的。当你使用 Docker 创建一个容器时，Docker 默认不会为该容器设置任何资源限制，容器可以使用主机上的所有资源，包括 CPU、内存、磁盘 IO、网络带宽等。

要为容器设置资源限制，你可以通过 Docker 的参数来指定容器的资源限制，如 --cpu、--memory、--cpus 等。你还可以使用 Docker Compose 文件或者 Kubernetes 的资源配置来设置容器的资源限制。通过设置这些参数，你可以限制容器使用的 CPU 资源数量、内存使用量等，以防止容器占用过多的系统资源。