容器技术原理

chroot

chroot 就是 change root，也就是可以改变某进程的根目录，使这个程序不能访问该目录之外的其他目录，增进系统的安全性，限制使用者能做的事。以下例子说明：/home/opt_user/rootfs 目录下有一些目录和文件，然后使用 chroot 命令启动一个 sh 进程，并且把 /home/opt_user/rootfs 目录作为 sh 进程的根目录。

$ cd /home/opt_user/rootfs
$ ls 
bin  busybox.tar  dev  etc  home  proc  root  sys  tmp  usr  var

$ chroot /home/opt_user/rootfs /bin/sh

/ # /bin/ls /
bin  busybox.tar  dev  etc  home  proc  root  sys  tmp  usr  var

---

Namespace

Namespace 是 Linux 内核的一项功能，该功能对内核资源进行隔离，使得容器中的进程都可以在单独的命名空间中运行，并且只可以访问当前容器命名空间的资源。Namespace 可以隔离进程ID、主机名、用户ID、文件名、网络访问和进程间通信等相关资源。

Docker 主要用到以下五种命名空间：
● pid namespace：进程ID隔离 
● net namespace：网络接口隔离
● mnt namespace：文件系统挂载点隔离
● ipc namespace：信息量、消息队列和共享内存隔离
● uts namespace：主机名和域名隔离

---

Cgroups

Cgroups 是一种 Linux 内核功能，可以限制和隔离进程的资源使用情况（CPU、内存、磁盘I/O、网络等）。在容器的实现中，Cgroups 通常用来限制容器的CPU和内存等资源的使用。

Cgroups 主要提供了以下四大功能：
● 资源限制：对任务资源总额进行限制，比如设定任务运行时使用的内存上限，一旦超出就发OOM。
● 优先级分配：通过分配的CPU时间片数量和磁盘IO带宽，实际上就等同于控制了任务运行的优先级。
● 资源统计：统计系统的资源使用量，比如CPU使用时长、内存用量等，多见于类似公有云的按需收费。
● 任务控制：对任务执行挂起、恢复等操作。

---

联合文件系统

联合文件系统，又叫 UnionFS，是一种通过创建文件层进程操作的文件系统，因此，联合文件系统非常轻快。Docker 使用联合文件系统为容器提供构建层，使得容器可以实现写时复制以及镜像的分层构建和存储。

Docker 支持以下存储驱动程序：
● overlay2：是当前所有受支持的Linux发行版的首选存储驱动程序，不需要任何额外的配置。
● aufs：是在内核3.13上的Ubuntu 14.04上运行的Docker 18.06及更早版本的首选存储驱动程序，而该内核不支持overlay2。
● devicemapper：是CentOS和RHEL的推荐存储驱动程序，因为它们的内核版本不支持overlay2。
● btrfs/zfs：驱动程序是后备文件系统（安装了Docker的主机的文件系统），则使用它们。
● vfs：用于测试目的，以及无法使用写时复制文件系统的情况，性能较差不推荐生产环境中使用。