容器。 容器除了运行其中应用外，基本不消耗额外的系统资源，使得应用的性能很高，同时系统的开销尽量小。 传统虚拟机方式运行 10 个不同的应用就要起 10 个虚拟机，而Docker 只需要启动 10 个隔离的应用即可。 具体说来，Docker 在如下几个方面具有较大的优势。 对开发和运维（devop）人员来说，最希望的就是一次创建或配置，可以在任意地方正常运行。 开发者可以使用一个标准的镜像来构 个已经做好的镜像来直接使用。 Docker 镜像 Docker —— 从入门到实践 12 镜像 Docker 利用容器来运行应用。 容器是从镜像创建的运行实例。它可以被启动、开始、停止、删除。每个容器都是相互隔离的、保证安全 的平台。 可以把容器看做是一个简易版的 Linux 环境（包括root用户权限、进程空间、用户空间和网络空间等）和运 行在其中的应用程序。 *注：镜像是只读的，容器在启动的时候创建一层可写层作为最上层。 test $ sudo docker export 7691a814370e > ubuntu.tar 这样将导出容器快照到本地文件。 可以使用 docker import 从容器快照文件中再导入为镜像，例如 $ cat ubuntu.tar | sudo docker import - test/ubuntu:v1.0 $ sudo docker

等技术，对进程进行封装隔离，属于 操作 系统层面的虚拟化技术。由于隔离的进程独立于宿主和其它的隔离的进程，因此也称其为容 器。最初实现是基于 LXC，从 0.7 版本以后开始去除 LXC，转而使用自行开发的 libcontainer，从 1.11 开始，则进一步演进为使用 runC 和 containerd。 Docker 在容器的基础上，进行了进一步的封装，从文件系统、网络互联到进程隔离等等，极 大的简化了容器的创建和维护。使得 名空间。因此容器可以拥有自己的 root 文件系统、自己的网络配置、自己的进程空间，甚 至自己的用户 ID 空间。容器内的进程是运行在一个隔离的环境里，使用起来，就好像是在一 个独立于宿主的系统下操作一样。这种特性使得容器封装的应用比直接在宿主运行更加安 全。也因为这种隔离的特性，很多人初学 Docker 时常常会混淆容器和虚拟机。 前面讲过镜像使用的是分层存储，容器也是如此。每一个容器运行时，是以镜像为基础层， EXPOSE 所声明的端口才可以被访问。这个 --icc=false 的用法，在引入了 docker network 后已经基本不用了，通过自定义网络可以很 轻松的实现容器间的互联与隔离。 要将 EXPOSE 和在运行时使用 -p <宿主端口>:<容器端口> 区分开来。 -p ，是映射宿主端口和 容器端口，换句话说，就是将容器的对应端口服务公开给外界访问，而 EXPOSE

Image • Start Container • Stop Container • Docker Image Storage 容器系统整体架构 Namespace • 提供进程级别的资源隔离 • 为进程提供不同的命名空间视图 • 与虚拟机不同 Namespace 概念及当前支持的种类 • mnt (Mount points) • pid (Processes) • net (Network container stop ，但 umount 失败， start container 会失败 JD image storage system 小结 • 当前 Namespace 功能仍不完善，需要更多的隔离 • Docker 主要用到 CGroup 的一部分子系统 • Docker 存储端仍需做一些选择或工作 • 选择 DM thin-provision 时需要注意 data 及 metadata

系统未隔离相互影响 3. ⼤量的环境配置时间 带来的问题 ... 1. 系统镜像特别⼤ 2. 打包⽆法⾃动化 3. 启动及资源占⽤ 带来的问题 1. 系统镜像特别⼤ 2. 打包⽆法⾃动化 3. 启动及资源占⽤ 带来的问题 1. 系统镜像特别⼤ 2. 打包⽆法⾃动化 3. 启动及资源占⽤ 带来的问题 优点 1. 体积⼩巧 2. 启动快速资源占⽤低 3. 沙箱机制环境隔离 3. 打包运⾏