Docker基础教程（十一）runC的使用：揭秘runC：Docker背后的“隐形引擎“是如何狂飙的？

1 什么是runCDocker华丽外衣下的朴素内核

当大家谈论Docker时，往往想到的是华丽的镜像商店、便捷的命令行工具和高效的开发流程。但少有人知的是，所有这些炫目功能都建立在一個极为朴素的核心之上——runC。

简单来说，runC就是一个轻量级的容器运行时工具，它专注于做好一件事：根据开放容器标准（OCI）创建和运行容器。

这就像一家高级餐厅：顾客看到的是精致的装潢、优雅的侍者和美味的菜肴（Docker），但所有这些都依赖于后厨那个简单但高效的炉灶（runC）。没有炉灶，一切无从谈起。

Docker在2015年做了一次重要的架构重构，将容器运行时功能剥离出来，形成了runC项目。这一举措使得Docker更加模块化，同时也推动了容器标准的形成。

2 为什么需要runC？容器生态的"普通话革命"

在runC出现之前，容器世界有点像春秋战国时期——各家有各家的标准和实现方式。Docker有自家的容器运行时，其他公司也有自己的方案，这导致了容器可移植性的大问题。

runC的出现相当于为容器世界带来了"普通话"，它实现了开放容器倡议（OCI） 标准，使得不同公司开发的容器工具能够相互兼容。

2.1 OCI标准的两大部分

1. 运行时规范（runtime-spec）：定义了容器的运行环境、执行过程和生命周期
2. 镜像规范（image-spec）：定义了容器镜像的格式、打包和分发方式

runC主要实现了运行时规范，负责解析容器配置、设置隔离环境并启动容器进程。这种专业分工的模式极大地促进了容器生态的繁荣。

3 runC的工作原理：命名空间、cgroups和文件系统的三重奏

runC实现容器隔离的核心依赖于Linux内核的三项技术：命名空间（Namespaces）、控制组（cgroups）和联合文件系统（UnionFS）。

3.1 命名空间：容器隔离的魔法边界

命名空间为容器提供了进程隔离的魔法边界，让容器内的进程仿佛运行在一个独立的系统中。Linux提供了多种命名空间类型：

• PID命名空间：隔离进程ID，容器内进程以为自己的PID是1
• Network命名空间：隔离网络设备、端口和协议栈