05|容器技术基本原理之容器镜像

容器镜像是Docker公司的创新发明，它解决了应用程序的分发问题，在了解了Namespace和Cgroups的基本原理后，我们再来谈谈容器镜像的知识。

我们说容器可以理解成一个被封闭起来的特殊进程，Cgroups限制了进程的最大资源使用量（相当于天花板），Namespace对资源进行了隔离（相当于围墙），下面还要对进程视角的文件系统进行一下限制（相当于地板），这样就全方位多角度的把进程封闭起来了。

说起容器文件系统的限制，可以想到Namespace中包含一个Mount namespace,但是Mount namespace相比于Pid namespace有一些不同，来回顾一下Pid namespace实现Pid隔离的流程，当操作系统执行clone操作并传入CLONE_NEWPID参数时，所生成的新进程Pid为1，新的进程视图已经生效，它以为自己是老大了。

int pid = clone(main_function, stack_size, CLONE_NEWPID | SIGCHLD, NULL); 

Mount namespace的使用，也是通过操作系统clone操作并传入CLONE_NEWNS来实现：

int pid = clone(main_function, stack_size, CLONE_NEWNS | SIGCHLD , NULL);

但是当新的进程生成后，它能看到的文件系统信息和宿主机还是一样的，这是因为Mount namespace要生效，需要重新执行挂载操作才可以。

所以Docker在调用clone操作并传入CLONE_NEWNS参数新起进程后&