Docker底层原理详解

最新推荐文章于 2025-05-20 11:43:59 发布

wespten

最新推荐文章于 2025-05-20 11:43:59 发布

阅读量305

点赞数 1

CC 4.0 BY-SA版权

分类专栏：云原生 K8s CICD DevOps 云原生边缘AI计算文章标签： docker

本文链接：https://blog.youkuaiyun.com/qq_35029061/article/details/135769301

云原生 K8s CICD DevOps 云原生边缘AI计算专栏收录该内容

209 篇文章 ¥19.90 ¥99.00

订阅专栏

超级会员免费看

Docker并非轻量级虚拟机，而是利用Linux内核的命名空间（Namespace）实现进程隔离，通过控制组（CGroups）限制资源，结合UnionFS实现文件系统层的叠加，提供高效的容器运行环境。与虚拟机相比，Docker启动快速、资源占用少，通过Dockerfile可以便捷构建和分享应用镜像。Docker的核心概念包括命名空间的六种隔离（User、Mount、Network、PID、IPC、UTS）、控制组的资源限制和UnionFS的文件系统层组合。此外，Docker的存储驱动，如overlay2，优化了资源使用和性能。Docker架构包括Docker守护进程、REST API和命令行客户端，通过仓库（Repository）管理镜像，实现容器的生命周期管理。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、Docker原理

1、Docker简介

我们知道进程是Linux操作系统执行任务的最小单元，一个时间同步服务是一个进程，一个Java服务是一个进程，一个Nginx服务是一个主进程+若干工作进程，总之，把一个系统比作一个办公室，进程就是一个个打工人：

正常情况下，一个进程是能感知到其他进程的存在的，正如一个打工人放眼望去，办公室里还坐着一群其他打工人。进程的唯一标识是进程ID，用数字1、2、3……表示，好比打工人的工牌号，大家都各不一样。

而容器技术首先要解决的就是进程的隔离，即一个进程在运行的时候看不到其他进程。如何让一个打工人在工作时看不到其他打工人呢？方法是给这个打工人带一个VR眼镜，于是他看到的不是一个真实的办公室，而是一个虚拟的办公室。在这个虚拟办公室中，只有他一个打工人，没有别人。在Linux系统中，对一个进程进行隔离，主要是通过Namespace和Cgroup两大机制实现的。一个被隔离的进程，操作系统也会正常分配进程ID，比如12345，但是隔离进程自己看到的ID总是1，好比打工人的工牌是12345，但他自己通过VR眼镜看到的工牌号却是1，感觉自己是1号员工似的：