容器基础-进程

进程：程序被执行时，它就从磁盘上的二进制文件，变成了计算机内存中的数据、寄存器里的值、堆栈中的指令、被打开的文件，以及各种设备的状态信息的一个集合。像这样一个程序运行起来后的计算机执行环境的总和，就是进程。

对于进程来说，它的静态表现就是程序；而一旦运行起来，它就变成了计算机里的数据和状态的总和，这就是它的动态表现。

容器技术的核心功能，就是通过约束和修改进程的动态表现，从而为其创造出一个“边界”。

对于Docker等大多数Linux容器来说，Cgroups技术是用来制造约束的主要手段，而Namespace技术则是用来修改进程视图的主要方法。

Linux里的Namespace机制：假如在宿主机上运行了一个程序，操作系统会给它分配一个进程编号，比如PID=100。这个编号是进程的唯一标识，就像员工的工牌一样。所以PID=100,可以粗略地理解为这个公司里的第100号员工，而第1号员工自然就是比尔盖茨这样统领全局的人物。通过docker 把这个程序运行在一个容器当中，这时候，docker 就会在这个第100号员工入职时给他施一个“障眼法”，让他永远看不到前面的其他99个员工。这样，他就会错误地以为自己就是公司里的第1号员工。

这种机制，其实就是对被隔离应用的进程空间做了手脚，使得这些进程只能看到重新计算过的进程编号，如PID=1。可实际上，他们在宿主机的操作系统里，还是原来的第100号进程。

除了PID Namespace, Linux操作系统还提供了Mount、UTS、IPC、Network和User这些Namespace,用来对各种不同的进程上下文进行“障眼法”操作。

比如，Mount Namespace, 用于让被隔离进程只看到当前Namespace里的挂载点信息；Network Namespace, 用于让被隔离进程看到当前Namespace里的网络设备和配置。

这就是Linux容器最基本的实现原理。

Docker容器实际上在创建容器进程时，指定了这个进程所需要启用的一组Namespace参数。这样，容器就只能“看”到当前Namespace所限定的资源、文件、设备、状态，或者配置。而对于宿主机以及其他不相关的程序，它就完全看不到了。

所以说，容器，其实是一种特殊的进程而已。