Docker容器的总结

容器的本质是一个进程，只不过这个进程加上了视图上的隔离和资源上的限制。 就容器本质而言，它并没有在宿主机上启动一个“容器进程”，它启动的还是用户原来要启动的应用程序，只不过这个应用程序上加了视图隔离和资源限制。虚拟机也能实现视图隔离和资源限制，但它底层的技术实现与容器不同，在宿主机上你能看到这样一个“虚拟机进程”。因此，与容器相比，虚拟机会带来更多的性能损耗，主要在(1)虚拟机本身的进程需要占用一部分资源 (2)与底层硬件交互的时候(网络、磁盘I/O)都需要经过虚拟化软件拦截，会有损耗。但是它比容器有更好的隔离性和安全性。

容器使用的底层技术：(1)视图隔离：Namespace (2)资源限制：cgropus

对于Docker项目来说，它最核心的原理实际就是为待创建的用户进程：
1、启用Linux Namespace配置：视图隔离
2、设置指定的Cgroups参数：资源限制
3、切换进程的根目录(Change Root)：容器镜像生效，以实现环境一致性。所谓容器镜像，本质就是容器的根文件系统(rootfs)。

Docker容器的增量rootfs：即下层已经生成的永远不会改变，所有的修改都通过在上层叠加。比如，删除A文件，就是在上层添加一个“白障”，让系统无法读取到下层A文件。修改则是先copy一个备份到新的层(新老的文件可能都在可读写层)，然后读取的时候直接读取新的层。

Docker通过Volume来实现将宿主机的文件挂载到容器中。

参考资料： https://time.geekbang.org/column/article/18119?utm_term=pc_interstitial_672