【第一章】docker镜像管理

一、 Docker 概述

1.1 IT架构演变

云计算涌现出很多改变传统IT架构和运维方式的新技术，比如虚拟机、容器、微服务、Serverless（无服务），无论这些技术应用在哪些场景，降低成本、提升效率是云服务永恒的主题

1.运行物理机，也称为裸金属

2.虚拟机VM，可以在一台物理机上创建多个虚拟机，并把物理配置分发成多个虚拟配置

缺点：性能损耗大，大约损耗50%

虚拟机常用软件：

VMware workstation（windows）

vm Sphere+ESXI （Windows server）

KVM（linux内核）

3.容器 （常用软件：docker、podman、rocket、container）

容器内部自身有一个小型操作系统

4.函数（函数化，代码化）

1.2 Docker 是什么
Docker 是一个开源的应用容器引擎，基于go 语言开发并遵循了apache2.0 协议开源
Docker 是在Linux 容器里运行应用的开源工具，是一种轻量级的“虚拟机”
Docker 的容器技术可以在一台主机上轻松为任何应用创建一个轻量级的，可移植的，自给自足的容器。

Docker 的Logo设计为蓝色鲸鱼，拖着许多集装箱，鲸鱼可以看作为宿主机，集装箱可以理解为相互隔离的容器，每个集装箱中都包含自己的应用程序。

1.3 Docker的设计宗旨
Build，Ship and Run Any App，Anywhere，即通过对应用组件的封装、发布、部署、运行等生命周期的管理，达到应用组件级别的“一次封装，到处运行”的目的。这里的组件，既可以是一个应用，也可以是一套服务，甚至是一个完整的操作系统。

1.4 Docker特点
容器化越来越受欢迎，因为容器是：

灵活：即使是最复杂的应用也可以集装箱化。
轻量级：容器利用并共享主机内核。
可互换：可以即时部署更新和升级。
便携式：可以在本地构建，部署到云，并在任何地方运行。
可扩展：可以增加并白动分发容器副本。
可堆叠：可以垂直和即时堆叠服务。
容器是在linux上本机运行，并与其他容器共享主机的内核，它运行的是一个独立的进程，不占用其他任何可执行文件的内存，非常轻量。

虚拟机运行的是一个完整的操作系统，通过虚拟机管理程序对主机资源进行虚拟访问，相比之下需要的资源更多。

Docker从一开始就以提供标准化的运行时环境为目标，真正做到"Build，Ship and Run any APP，Angwhere"，可以将同一个构建版本用于开发、测试、预发布、生产等任何环境，并且做到了与底层操作系统的解耦。在此基础上还进一步发展出了Caas (容器即服务)技术。

1.5 Docker与KVM（虚拟机）的区别
1 、隔离与共享

虚拟机通过添加Hypervisor层（虚拟化中间层），虚拟出网卡、内存、CPU等虚拟硬件，再在其上建立虚拟机，每个虚拟机都有自己的系统内核。而Docker容器则是通过隔离（namesapce）的方式，将文件系统、进程、设备、网络等资源进行隔离，再对权限、CPU资源等进行控制（cgroup），最终让容器之间互不影响，容器无法影响宿主机。

容器与宿主机共享内核、文件系统、硬件等资源。

2 、性能与损耗

与虚拟机相比，容器资源损耗要少。同样的宿主机下，能够建立容器的数量要比虚拟机多

但是，虚拟机的安全性要比容器稍好，要从虚拟机攻破到宿主机或其他虚拟机，需要先攻破 Hypervisor层，这是极其困难的

而docker容器与宿主机共享内核、文件系统等资源，更有可能对其他容器、宿主机产生影响。

不同点    Docker容器    虚拟机
启动速度    快，几秒钟    慢，几分钟
运行性能    接近原生（直接在内核中运行）    运行于Hypervisor上，50%左右损失
磁盘占用    小，甚至几十KB（根据镜像层的情况）    非常大，上GB
并发性    一台宿主机可以启动成百上千个容器    最多几十个虚拟机
隔离性    进程级别 | 资源隔离/限制    系统级别（更彻底）| 完全隔离
操作系统    主要支持Linux    几乎所有（KVM）
封装程度    只打包项目代码和依赖关系，共享宿主机内核    完整的操作系统，与宿主机隔离
1.6 容器在内核中支持2种重要技术
docker 本质就是宿主机的一个进程，docker 通过namespace 实现资源隔离，通过cgroups 实现资源限制，通过写时复制技术（copy-on-write）实现了高效的文件操作（类似虚拟机的磁盘。比如分配500G，并不是实际占用物理磁盘500g，而是随着使用扩展）