弃用 Docker 后！哪几种超好用的容器工具能替代？

2020 年底，Kubernetes 发布了公告，官方宣布从 v1.24 开始停止对 Docker 的支持。然而，Kubernetes 弃用 docker 对我们的影响不应过于恐慌。

有以下几种工具可以替代 Docker ？并且相比 Docker 都有哪些优点？

containerd

containerd是一个轻量级容器守护进程，它提供了一个标准的容器API，可以管理容器生命周期、网络和存储。它被设计成与任何容器引擎、集群管理系统和操作系统集成。由于它的轻量级和可移植性，容器引擎和集群管理系统可以利用containerd作为它们的底层运行时，这样它们就能完美地集成在一起。

containerd是由 Docker 开发的一个开源项目，它最初是Docker引擎的一部分，但现在它已经成为一个独立的项目，并被CNCF（Cloud Native Computing Foundation）认证为一个孵化项目。containerd致力于为云原生应用提供一个可扩展、可靠、高效和易于管理的容器运行时环境，成为了目前全球最受欢迎的容器运行时环境之一。

对比 docker，containerd有以下优点

1. 更轻量级：containerd比docker更轻量级，仅包含基本的容器运行时功能，而不像docker那样包含完整的容器生态系统，从而减少了大量的复杂性和冗余。

2. 更高效：与docker相比，containerd具有更高的性能和更快的启动时间，这使得它更适合构建、运行和管理大规模生产环境中的容器化应用程序。

3. 更稳定：containerd是一个设计稳定的平台，特别是在处理高负载、高并发和大规模部署方面。它是由Docker贡献给OCI（Open Container Initiative）的一个组件，受到全球社区的广泛支持和审查，因此在稳定性方面得到更好的保证。

4. 更可靠：containerd是一个经过认真测试和验证的平台，具有更高的可靠性和可用性。它的代码经过了许多公司和社区的审查和测试，这使它成为一个适合开发者构建生产级容器应用程序的可靠平台。

5. 更易于扩展：containerd具有可扩展性和灵活性，开发者可以通过使用外部插件来扩展其功能，而不必扰乱核心代码。这使得开发者可以更加自由地实现自己的容器管理和应用构建策略。

Podman

Podman是一个容器引擎，它可以在没有守护进程的情况下管理和运行容器。它提供了一个类似于Docker的CLI界面，允许用户以类似Docker的方式创建、管理和部署容器。Podman不需要使用Docker守护进程。相反，它使用与宿主操作系统的进程管理器进行交互来管理容器。

因此，在Podman中创建和运行容器时，它不会创建额外的进程或守护进程。Podman还提供了多个命令，例如pod，以便管理容器组，例如pod中的多个容器，在共同的命名空间和以隔离的方式运行。Podman还提供了多种将存储挂载到容器和其他高级容器编排的方法，并支持OCI（Open Container Initiative）规范。

Podman 和 Docker 都是容器运行时工具，但有以下优点：

1. 安全性更好。Podman 不需要 root 权限就可以运行容器，这降低了安全风险。

2. 更轻量级。Podman 容器引擎可以在不需要守护进程的情况下运行，因此比 Docker 更轻量级。

3. 更容易管理。Podman 容器可以直接作为一个 Linux 进程来管理，不需要额外的守护进程或管理工具。

4. 更容易开发。Podman 容器可以直接使用现有的 Dockerfile 来构建，而不需要任何修改。

5. 更灵活。Podman 支持与 Kubernetes 集成，可以在 Kubernetes 集群中部署容器。

6. 更高效。Podman 可以并行构建容器，从而提高构建速度。综上所述，Podman 是一个更安全、更灵活、更高效、更轻量级的容器引擎。

LXC/LXD

LXC（Linux Containers）是一种容器虚拟化技术，它允许在同一台物理主机上运行多个隔离的 Linux 系统环境，每个环境都有自己的独立命名空间、文件系统、网络和进程空间。相比于传统的虚拟化技术，LXC 的性能更高，启动速度更快，资源占用更少。

LXD（Linux Container Daemon）是对 LXC 的高级封装，它提供了更加易用和安全的容器管理工具，可以通过 web 界面、命令行工具等方式管理容器，提供了高级的特性，如镜像管理、网络管理、备份恢复等。LXD 常用于构建云平台、开发测试环境、容器化应用程序等场景，它是目前 Linux 容器生态系统中最活跃、最受欢迎的容器管理器之一。

LXC/LXD 相比 docker 的优点包括：

1. 更轻量级的虚拟化：LXC 提供系统级虚拟化，而 Docker 提供进程级虚拟化。因此，LXC 的资源占用相对较少，启动和停止速度更快，镜像更小。

2. 更高的隔离性：相比 Docker 的进程级隔离，LXC 提供的是系统级隔离，能够实现更高的隔离性。比如，LXC 支持额外的保安措施，例如内核安全模块、限制内存资源等。

3. 操作系统支持更全面：LXD 可以管理多种不同的容器操作系统，包括 Ubuntu、Debian、CentOS、Fedora 等，而 Docker 只能运行在 Linux 操作系统上。

4. 更适合需要集成多种组件的应用程序：LXD 允许多个容器之间相互访问和通信，因此适合部署更复杂的应用程序，例如 web 应用服务和数据库服务等。

5. 更完善的管理工具：LXD 提供的管理工具 LXCFS 和 LXDUI 等，能够帮助管理员更好地管理容器，提高操作效率。

总之，LXC/LXD 在某些方面具有优势，比如更轻量、更隔离、支持多种操作系统等。但 Docker 也有其独特的优势，在轻量快速部署方面有其他虚拟化技术无法替代。因此，在选择虚拟化技术时需要根据具体需求进行选择。

rkt

rkt是一个高效、安全、轻量级的应用容器引擎，是以 CoreOS Linux 发行版为基础的一个开源项目。rkt 使用了一个强大的基于建议的安全模型来保护其内部的操作系统和容器，同时提供了良好的互操作性和灵活性，可以在多种环境中部署和管理容器化应用程序。rkt 的设计理念是简单的二个目标：保证系统安全和遵守应用容器标准。为了实现这些目标，rkt 采用了三个主要的设计思想：易用性、透明性和可移植性。

rkt 相对于 Docker 的优点包括：

1. 安全性更高：rkt 支持硬件隔离和 SELinux 等安全机制，从而可以提供更好的安全性。

2. 性能更好：rkt 的架构更简单，启动速度更快，资源占用更少，因此运行效率更高。

3. 容器的生命周期管理更方便：rkt 可以将容器的生命周期管理模块化，以便于用户进行更加灵活的容器管理。

4. 开放、标准化：rkt 的开发是完全开源的，而且由于符合标准化的容器格式，可以与其它容器管理软件和云平台集成使用。

5. 更加轻量级：rkt 不需要使用 Docker 的庞大镜像管理系统，因此镜像更加轻量级。

OpenVZ

OpenVZ是一个基于Linux内核虚拟化技术的开源虚拟化平台，它提供了一种轻量级的虚拟化技术，可以在单个Linux操作系统上创建多个隔离的虚拟环境（容器），并使各个容器互相隔离，从而提高系统资源利用率和安全性。OpenVZ的容器运行在单个Linux内核上，并共享主机系统的硬件、内存、CPU和网络资源。相比其他虚拟化技术，OpenVZ容器的启动速度更快、资源占用更少，因此在轻量级应用场景下广泛应用，如Web服务器、数据库服务器等。

相对于 Docker 的优点包括：

1. 资源利用率高：OpenVZ 可以更好地利用基础物理主机的资源，因为它使用共享内核。这意味着每个容器只需要使用必要的资源（内存、CPU、网络带宽等），而不是拥有整个虚拟操作系统的完整副本。

2. 更好的安全性：OpenVZ 提供了更好的安全性，因为它使用了硬件隔离和虚拟化技术，使得容器被彻底隔离并保护免受其他容器的影响。

3. 更好的性能：OpenVZ 比 Docker 更快，因为它可以直接与操作系统交互，而 Docker 具有额外的镜像层和虚拟机。这些额外层需要额外的 CPU 和 I/O 周期，从而降低了 Docker 的性能。

4. 更容易管理：由于 OpenVZ 使用单个内核并共享主机操作系统，因此更容易管理。这使得系统管理员可以更快速和轻松地部署、维护和监管所有容器。

5. 更稳定：由于 OpenVZ 使用硬件隔离技术和赋予每个容器特定的系统资源，因此更稳定。Docker 容器在多节点环境中可能会发生意外崩溃，而 OpenVZ 不会。

Singularity

Singularity 是一个开源的容器平台，主要针对科学计算、工程仿真等高性能计算领域。与传统的容器技术不同，Singularity 使用了 Linux 容器技术，并添加了一些其他特性，使其能够方便地在高性能计算环境下使用。

Singularity 支持以 root 用户在一个将运行的容器中运行任意二进制文件，而无需在主机上安装任何软件或修改环境设置。Singularity 还提供了一些功能，例如可以在容器内以用户身份运行应用程序、容器自动挂载主机文件系统等。Singularity 还支持在不同节点之间迁移容器，并能够在运行时动态调整容器的资源限制，从而实现可扩展性和高级动态调度。它的使用越来越普遍，特别是在科学计算和工程仿真方面。

作为 AI 和机器学习的最前沿技术之一，Singularity 比 Docker 有以下优点：

1. 避免版本冲突 - Singularity 支持使用系统管理的底层库和工具，因此可以避免版本冲突和依赖性问题。

2. 安全性 - Docker 是一种面向云端的工具，Singularity 则更注重本地环境的安全性和稳定性。

3. 简洁易用 - Singularity 适用于远程的 HPC 集群和超算中心。它旨在为科学家、研究人员和开发人员提供轻松易用的框架，以便快速开发和部署新的 AI 和机器学习应用。

4. 可重复性 - Singularity 可以确保在不同的系统上运行相同的任务时保持一致性和可重复性，这是科学研究和实验开发中的重要考虑因素之一。

总之，Singularity 的设计目标是为科研人员和开发人员提供一种更安全、更可靠、更易用和更可重复的 AI 和机器学习环境。

CRI-O

CRI-O是一个可轻松地在Kubernetes中运行OCI容器的容器运行时工具，它是一个完全基于标准容器框架（OCI）规范构建的轻量级工具，它使用Kubernetes CRI接口来与Kubernetes集群进行交互。CRI-O使运行容器变得更加容易、安全和高效，并使得开发者能够使用自己喜欢的工具链创建并运行容器。此外，CRI-O启用高效的资源利用和计算机基础设施的更大灵活性，从而大大提高了容器的可扩展性和可移植性，以实现更快的开发和更高的生产力。

CRI-O 是一个轻量级的容器运行时，专门为 Kubernetes 设计。相比 Docker，它有以下优点：

1. 更轻量级：CRI-O 的代码量比 Docker 少，运行时的镜像也比 Docker 轻量。

2. 更安全：CRI-O 的安全性更高，它使用多种机制保护容器，例如 seccomp，SELinux，AppArmor 等。

3. 更快速：CRI-O 在启动容器方面比 Docker 更快，因为它只运行运行时所需的程序，而不是整个 Docker 引擎。

4. 更稳定：CRI-O 是专门为 Kubernetes 设计的，因此它更适合在 Kubernetes 中使用，而且它能够更好地与 Kubernetes 集成。

5. 更灵活：CRI-O 支持多种容器镜像格式，包括 Docker、OCI 等。

6. 更易于管理：CRI-O 的管理方式和 Docker 相似，可以轻松地进行容器的启动、停止、删除等操作。同时，CRI-O 和 Kubernetes 的集成也更容易。