容器技术概念入门篇2
- 继Namespace构建了四周了围墙（进程隔离），Cgroups构建了受控的天空优先使用阳光雨露（资源限制），Mount namespace与rootfs构建了脚下的大地，这片土地是你熟悉和喜欢的，不管你走到哪里，都可以带着它，就好像你从未离开过家乡，没有丝毫的陌生感（容器的一致性）~
- 既然容器的 rootfs（比如，Ubuntu 镜像），是以只读方式挂载的，那么又如何在容器里修改 Ubuntu 镜像的内容呢？（提示：Copy-on-Write）
- 上面的读写层通常也称为容器层，下面的只读层称为镜像层，所有的增删查改操作都只会作用在容器层，相同的文件上层会覆盖掉下层。知道这一点，就不难理解镜像文件的修改，比如修改一个文件的时候，首先会从上到下查找有没有这个文件，找到，就复制到容器层中，修改，修改的结果就会作用到下层的文件，这种方式也被称为copy-on-write。
- Dockerfile 的设计思想，是使用一些标准的原语（即大写高亮的词语），描述我们所要构建的 Docker 镜像。并且这些原语，都是按顺序处理的。
- 默认情况下，Docker 会为你提供一个隐含的 ENTRYPOINT，即：/bin/sh -c。所以，在不指定 ENTRYPOINT 时，比如在我们这个例子里，实际上运行在容器里的完整进程是：/bin/sh -c “python app.py”，即 CMD 的内容就是 ENTRYPOINT 的参数。
- 我们后面会统一称 Docker 容器的启动进程为 ENTRYPOINT，而不是 CMD。
- Dockerfile中每个原语执行后，都会生成一个对应的镜像层。
- 一个进程的每种Linux Namespace,都在它对应的/proc/[进程号]/ns下有有一个对应的虚拟文件，并且链接到一个真实的Namespace文件上。
- docker inspect --format '{{ .State.Pid }}' 容器名称【或容器ID】
- ls -l /proc/78294/ns
- 有了这样一个可以“hold住”所有Linux Namespace的文件，我们就可以对Namespace做一些有意义事情了，比如：加入到一个已经存在的Namespace当中。
- 这也就意味着：一个进程，可以选择加入到某个进程已有的Namespace当中，从而达到“进入”这个进程所在容器的目的，这正是docker exec的实现原理。
- 这个操作所依赖的，乃是一个名叫 setns() 的 Linux 系统调用。
- docker commit.实际上就是在容器运行起来后，把最上层的“可读写层”，加上原先容器镜像的只读层，打包组成了一个新的镜像。
- Copy-on-Write:由于使用了联合文件系统，你在容器里对镜像rootfs所做的任何修改，都会被操作系统先复制到这个可读写层，然后再修改。
- 统一存放镜像的系统，就叫作Docker Registry。
- Docker Volume要解决的问题：Volume 机制，允许你将宿主机上指定的目录或者文件，挂载到容器进行读取和修改操作。
- docker run -v /test ...
- docker run -v /home:/test ...
- 在第一种情况下，由于你并没有显示声明宿主机目录，那么 Docker 就会默认在宿主机上创建一个临时目录 /var/lib/docker/volumes/[VOLUME_ID]/_data，然后把它挂载到容器的 /test 目录上。而在第二种情况下，Docker 就直接把宿主机的 /home 目录挂载到容器的 /test 目录上。
- “容器进程”已经创建，意味着Mount Namespace已经开启，这个挂载只在这个容器里可见。你在宿主机上是看不见容器内部这个挂载点的。这就保证了容器的隔离性不会被Volume打破。
- “容器进程”，是Docker创建的第一个容器初始化进程（dockerinit）,而不是应用进程（ENTERPOINT+CMD）。dockerinit会负责完成根目录的准备、挂在设备和目录、配置hostname等一系列需要再容器内进行初始化操作。最后，它通过execv()系统调用，让应用进程取代自己，成为容器里PID=1的进程。
- 绑定挂载（bind mount）机制。它的主要作用就是，允许你将一个目录或者文件，而不是整个设备，挂载到一个指定的目录上。
- 绑定挂载实际上是inode替换的过程。再Linux操作系统中，inode可以理解为存放文件内容的“对象”，而dentry，也叫目录项，就是访问这个inode所使用的“指针”。
- 再一个正确的时机，进行一次绑定挂载，Docker就可以成功地将一个宿主机上地目录或文件，不动声色地挂载到容器中。
- Docker容器地“全景图”：
1、用 Docker 部署一个用 Python 编写的 Web 应用，代码如下：
from flask import Flask import socket import os app = Flask(__name__) @app.route('/') def hello(): html = "<h3>Hello {name}<\h3>" \ "<b>Hostname:<\b> {hostname}<br/>" return html.format(name=os.getenv("NAME","world"), hostname=socket.gethostname()) if __name__ == "__main__": app.run(host='0.0.0.0', port=80)
2、将python依赖的包放入txt文件中：
echo 'Flask' > requirements.txt
3、制作Docker镜像，使用Dockerfile
# 使用官方提供的 Python 开发镜像作为基础镜像 FROM python:2.7-slim # 将工作目录切换为 /app WORKDIR /app # 将当前目录下的所有内容复制到 /app 下 ADD . /app # 使用 pip 命令安装这个应用所需要的依赖 RUN pip install --trusted-host pypi.python.org -r requirements.txt # 允许外界访问容器的 80 端口 EXPOSE 80 # 设置环境变量 ENV NAME World~ctc # 设置容器进程为：python app.py，即：这个 Python 应用的启动命令 CMD ["python","app.py"]
4、制作镜像（其中，-t 的作用是给这个镜像加一个 Tag，即：起一个好听的名字。）：
docker build -t helloworld-ctc .
5、具体操作截图：
docker exec 的实现原理：
一个名叫 setns() 的 Linux 系统调用。它的调用方法，我可以用如下一段小程序为你说明：
#define _GNU_SOURCE #include <fcntl.h> #include <sched.h> #include <unistd.h> #include <stdlib.h> #include <stdio.h> #define errExit(msg) do { perror(msg); exit(EXIT_FAILURE);} while (0) int main(int argc, char *argv[]) { int fd; fd = open(argv[1], O_RDONLY); if (setns(fd, 0) == -1) { errExit("setns"); } execvp(argv[2], &argv[2]); errExit("execvp"); }
这段代码功能非常简单：它一共接收两个参数，第一个参数是 argv[1]，即当前进程要加入的 Namespace 文件的路径，比如 /proc/78294/ns/；而第二个参数，则是你要在这个 Namespace 里运行的进程，比如 /bin/bash。
这段代码的的核心操作，则是通过 open() 系统调用打开了指定的 Namespace 文件，并把这个文件的描述符 fd 交给 setns() 使用。在 setns() 执行后，当前进程就加入了这个文件对应的 Linux Namespace 当中了。
将容器打包成镜像并上传docker hub
$ docker exec -it 4ddf4638572d /bin/sh
# 在容器内部新建了一个文件
root@4ddf4638572d:/app# touch test.txt
root@4ddf4638572d:/app# exit
# 将这个新建的文件提交到镜像中保存
$ docker commit 4ddf4638572d geektime/helloworld:v2
