OCI 是什么？

原创于 2025-08-03 17:34:17 发布 · 1.4k 阅读

19 ·

CC 4.0 BY-SA版权

文章标签：

#K8s

K8s 专栏收录该内容

504 篇文章

订阅专栏

目录标题

容器领域的 OCI 是指 Open Container Initiative，是一个开放的行业标准组织，旨在为容器技术制定统一标准。下面是对 OCI 的详细解读：

✅ 一、OCI 是什么？

OCI（Open Container Initiative） 是由 Docker 公司于 2015 年主导成立的开源组织，托管于 Linux 基金会，目的是：

建立容器运行时和镜像的开放标准，确保容器在不同平台间的兼容性与可移植性。

✅ 二、OCI 的组成标准

OCI 主要定义了两个关键规范：

标准名称	描述	当前状态
🔹 OCI Runtime Specification	描述容器运行时的行为（进程启动、命名空间、挂载等）	1.1.0
🔹 OCI Image Specification	定义容器镜像格式（manifest、layers、config.json）	1.1.0
🔹 OCI Distribution Specification	定义容器镜像如何在仓库中分发（registry API）	1.0.1

🔹 1. OCI Runtime Spec（运行时规范）

定义一个标准的 JSON 文件（config.json），描述容器运行时行为。
规定容器应如何使用 Linux 的 Cgroups、Namespace、Mounts 等功能。
兼容的运行时如：
- runc（Docker/Podman 默认使用）
- crun（更轻量）
- Kata Containers（安全隔离）
- youki（Rust 编写的 OCI runtime）

🔹 2. OCI Image Spec（镜像规范）

定义镜像应包含哪些文件：
- manifest.json：镜像清单
- config.json：容器配置信息
- layers/：多个压缩的文件系统层
保证不同工具（如 Docker、Podman、containerd）能共享、识别相同格式的镜像。

🔹 3. OCI Distribution Spec（分发规范）

类似 Docker Registry HTTP API v2，定义镜像如何上传/下载/拉取。
兼容的仓库包括：
- Docker Hub
- Harbor
- Quay
- GitHub Container Registry（GHCR）
- AWS/GCP/Azure Container Registry

✅ 三、OCI 和 Docker / Podman / containerd 的关系

工具/组件	是否符合 OCI	描述
Docker	✅（部分）	使用 OCI 镜像格式，但 runtime 用的是 `runc`
containerd	✅	由 CNCF 维护，符合 runtime 和 image spec
Podman	✅	无守护进程，支持 `runc/crun`
cri-o	✅	Kubernetes 社区 OCI runtime
nerdctl	✅	containerd 的 CLI，兼容 Docker 命令

✅ 四、为什么 OCI 很重要？

优势	说明
🔄 可移植性	不同容器引擎间镜像、运行时可通用
🔐 安全性	清晰规范运行时权限、挂载、网络
🔌 互操作性	支持多个工具链（Docker、Podman、containerd）
🚀 促进创新	各厂商可以基于标准扩展而非闭源封闭系统

✅ 五、示意图：OCI 容器运行架构

+--------------------------+
|      Container Image     | <== OCI Image Spec
|--------------------------|
|   - config.json          |
|   - manifest.json        |
|   - layers/              |
+--------------------------+

          |
          v

+--------------------------+
|  Container Runtime (runc)| <== OCI Runtime Spec
+--------------------------+
| Uses: namespaces, cgroups, mount, etc.
+--------------------------+

          |
          v

+--------------------------+
|    Linux Kernel / OS     |
+--------------------------+

✅ 六、常见误区澄清

误区	正确理解
OCI 是某个软件？	❌ 它是一个标准/规范组织，不是工具
Docker 是 OCI？	❌ Docker 并非完全等同于 OCI，但兼容其标准
Podman / containerd 更现代？	✅ 它们是更“纯净”的 OCI 实现，不依赖守护进程

如你希望进一步了解 如何构建 OCI 镜像、手动运行 runc 容器、或 OCI 与 Kubernetes 的集成机制，我可以继续深入。是否需要示例或实践步骤？