docker之namespace与cgroup简介

前言

当谈论docker时，常常会聊到docker的实现方式。很多开发者都知道，docker容器本质上是宿主机的进程，Docker通过namespace实现了资源隔离，通过cgroups实现了资源限制，通过写时复制机制（copy-on-write）实现了高效的文件操作。

对于Linux容器的最小组成，可以由下面公式来表示

容器=namespace+cgroup+rootfs+容器引擎（用户态工具）

其中各项的功能分别为：

• Namespace：访问隔离
• Cgroup：资源控制
• rootfs：文件系统隔离
• 容器引擎：生命周期控制

目前市场上所有的Linux容器都包含了以上组件，一般来说，容器技术主要包括Namespace和Croup这两个内核特性

容器创建过程

下面通过三段代码来简要说明容器的创建过程

代码一

pid = clone(fun,stack,flags,clone_arg);
(flags: CLONE_NEWPID | CLONE_NEWNS |
	CLONE_NEWUSER | CLONE_NEWNET |
	CLONE_NEWIPC | CLONE_NEWUTS
	...