摘要：本文立足于新手，從容器和虛擬機兩個大的概念入手，由淺入深，由宏轉(zhuǎn)微，為我們解析了的方方面面。出于各種考量與需求，容器在外觀上與虛擬機非常相似。大家可以在數(shù)秒鐘內(nèi)完成容器的創(chuàng)建與運行，而虛擬機則由于需要引導完整的虛擬操作系統(tǒng)而耗費更多時間。

當小數(shù)看到這篇文章時內(nèi)心是激動的，因為或許介紹Docker容器的文章有無數(shù)，但是如此清晰易懂、對小白如此友好的卻不多見。本文立足于新手，從容器和虛擬機兩個大的概念入手，由淺入深，由宏轉(zhuǎn)微，為我們解析了Docker的方方面面。來吧朋友們，理解它，熱愛它，然后更好地使用它。

作為程序員或者技術(shù)人員，大家肯定聽說過Docker的鼎鼎大名——這款工具能夠幫助我們高效打包、發(fā)布及運行承載著應(yīng)用程序的“容器”系統(tǒng)。其發(fā)展如火如荼——從開發(fā)者到運維人員，每個人都在關(guān)注著這位技術(shù)新貴。即使是像谷歌、VMware與Amazon這樣的技術(shù)巨擘也在構(gòu)建相關(guān)服務(wù)為其提供支持。

無論大家是否有意立即使用Docker，我們都應(yīng)當對其基礎(chǔ)概念加以了解，并明確區(qū)分容器與虛擬機之間的差異所在。目前網(wǎng)絡(luò)上已經(jīng)存在大量對二者關(guān)聯(lián)與區(qū)別的闡述性文章，不過在今天的綜述中，我們將立足于新手對其加以剖析。

下面首先聊聊虛擬機與容器究竟是什么。

容器與虛擬機擁有著類似的使命：對應(yīng)用程序及其關(guān)聯(lián)性進行隔離，從而構(gòu)建起一套能夠隨處運行的自容納單元。

此外，容器與虛擬機還擺脫了對物理硬件的需求，允許我們更為高效地使用計算資源，從而提升能源效率與成本效益。

容器與虛擬機之間的核心差異在于其架構(gòu)方法。下面一起進行深入了解。

虛擬機在本質(zhì)上就是在模擬一臺真實的計算機設(shè)備，同時遵循同樣的程序執(zhí)行方式。虛擬機能夠利用“虛擬機管理程序”運行在物理設(shè)備之上。反過來，虛擬機管理程序則可運行在主機設(shè)備或者“裸機”之上。

下面用更直白的表達來說明：

虛擬機管理程序可表現(xiàn)為軟件、固件或者硬件，并作為虛擬機的運行基礎(chǔ)。虛擬機管理程序本身運行在物理計算機之上，我們也將這種底層硬件稱為“主機設(shè)備”。主機設(shè)備為虛擬機提供資源，包括內(nèi)存與CPU。這些資源由不同虛擬機共享，并根據(jù)需要進行隨意分配。因此如果一套虛擬機運行有需求大量資源的高強度應(yīng)用程序，那么我們可以在同一主機設(shè)備上為其分配遠高于其它虛擬機的資源配額。

運行在主機設(shè)備上的虛擬機（當然，需要配合虛擬機管理程序）通常被稱為一套“客戶機”。這套客戶機容納有應(yīng)用程序及其運行所必需的各類組件（例如系統(tǒng)二進制文件及庫）。它同時還包含有完整的虛擬硬件堆棧，其中包括虛擬網(wǎng)絡(luò)適配器、存儲以及CPU——這意味著它也擁有自己的完整訪客操作系統(tǒng)。著眼于內(nèi)部，這套客戶機自成體系并擁有專用資源。而從外部來看，這套虛擬機使用的則是由主機設(shè)備提供的共享資源。

如上所述，客戶機可以運行主機虛擬機管理程序或者裸機虛擬機管理程序。二者之間存在著多種重要區(qū)別。

首先，主機虛擬機管理程序運行在主機設(shè)備的操作系統(tǒng)之上。舉例來說，一臺運行有OS X的計算機可以在操作系統(tǒng)之上安裝虛擬機（例如VirtualBox或者VMware Workstation 8）。該虛擬機并不會直接訪問硬件，因此其需要經(jīng)由主機操作系統(tǒng)（也就是Mac OS X）實現(xiàn)資源獲取。

主機虛擬機管理程序的優(yōu)勢在于，其基本擺脫了對底層硬件的要求。該主機操作系統(tǒng)負責提供硬件驅(qū)動程序，而非由虛擬機管理程序自身提供，因此我們認為其具備更理想的“硬件兼容性”。在另一方面，這種介于硬件與虛擬機管理程序之間的額外層會帶來更多資源消耗，進而降低虛擬機性能表現(xiàn)。

裸機虛擬機管理程序則將虛擬機直接安裝并運行在主機設(shè)備硬件之上以改善性能表現(xiàn)。由于其直接接入底層硬件，因此我們不再需要主機操作系統(tǒng)作為輔助。在這種情況下，我們可以直接在硬件上安裝虛擬機管理程序并將其作為操作系統(tǒng)。與主機虛擬機管理程序不同，裸機虛擬機管理程序擁有自己的設(shè)備驅(qū)動程序及接口，從而直接支持各類I/O、處理或者操作系統(tǒng)特定任務(wù)相關(guān)組件。這種方式能夠帶來更理想的性能水平、可擴展性以及穩(wěn)定性。但代價是其硬件兼容性比較有限，因為虛擬機管理程序只能包含一部分設(shè)備驅(qū)動程序。

說到這里，大家可能提出疑問：為什么我們非得在虛擬機與主機設(shè)備之間添加“虛擬機管理程序”呢？

這個嘛，因為虛擬機本身擁有一套虛擬操作系統(tǒng)，而虛擬機管理程序則負責為虛擬機提供平臺以管理并運行這套訪客操作系統(tǒng)。如此一來，主機計算機就能夠為運行于其上的各虛擬機分配共享資源了。

虛擬機原理示意圖

如大家所見，虛擬機會將虛擬硬件、內(nèi)核（即操作系統(tǒng)）以及用戶空間打包在新虛擬機當中。

與提供硬件虛擬化機制的虛擬機不同，容器通過對“用戶空間”的抽象化處理提供操作系統(tǒng)層級的虛擬化機制。通過對容器進行分解，大家將可以非常清晰地理解其中含義。

出于各種考量與需求，容器在外觀上與虛擬機非常相似。舉例來說，二者皆擁有專有處理空間、能夠作為root執(zhí)行命令、提供專有網(wǎng)絡(luò)接口與IP地址、允許定制化路由及iptable規(guī)則，且可啟動文件系統(tǒng)等等。

容器與虛擬機間的最大區(qū)別在于，各容器系統(tǒng)共享主機系統(tǒng)的內(nèi)核。

容器原理示意圖

以上示意圖顯示了容器如何對用戶空間進行打包，而不像虛擬機那樣同樣對內(nèi)核或者虛擬硬件進行打包。每套容器都擁有自己的隔離化用戶空間，從而使得多套容器能夠運行在同一主機系統(tǒng)之上。我們可以看到全部操作系統(tǒng)層級的架構(gòu)都可實現(xiàn)跨容器共享。惟一需要獨立構(gòu)建的就是二進制文件與庫。正因為如此，容器才擁有極為出色的輕量化特性。

Docker為基于Linux容器的開源項目，其利用Linux內(nèi)核中的各項功能——例如命名空間與控制組——以在操作系統(tǒng)之上創(chuàng)建容器。

容器概念并不是什么新鮮事物; 谷歌公司多年來一直在使用自己開發(fā)的容器技術(shù)。其它Linux容器技術(shù)方案還包括Solaris Zones、BSD jails以及LXC，且其都已經(jīng)擁有多年的發(fā)展歷史。

那么為什么Docker的出現(xiàn)會快速吸引到技術(shù)業(yè)界的注意？

易用性: Docker能夠為潛在受眾帶來出色的易用性——開發(fā)者、系統(tǒng)管理員以及架構(gòu)師等等——從而幫助其充分利用容器技術(shù)優(yōu)勢以快速構(gòu)建并測試可移植應(yīng)用程序。每個人都可以在自己的筆記本上打包應(yīng)用程序，并將其直接運行在任何公有云、私有云甚至是裸機之上。其座右銘是：一次構(gòu)建，隨處運行。

速度: Docker容器具備輕量化與高速特性。由于容器本身屬于運行在內(nèi)核之上的沙箱環(huán)境，因為其對資源的需求量極低。大家可以在數(shù)秒鐘內(nèi)完成容器的創(chuàng)建與運行，而虛擬機則由于需要引導完整的虛擬操作系統(tǒng)而耗費更多時間。

Docker Hub: Docker用戶還能夠享受由Docker Hub帶來的豐富生態(tài)系統(tǒng)支持，我們可以將其理解成“Docker鏡像的應(yīng)用商店”。Docker Hub提供成千上萬由社區(qū)開發(fā)的公共鏡像，且可立即加以使用。我們可以輕松根據(jù)需要搜索到合適的鏡像，將其提取并稍加修改即加以使用。

模塊性與可擴展性: Docker允許我們輕松將應(yīng)用程序的功能拆分成多個獨立容器。舉例來說，我們可以將自己的Postgres數(shù)據(jù)庫運行在一套容器當中，并將Redis服務(wù)器運行在另一容器內(nèi)，而Node.js也擁有自己的容器系統(tǒng)。在Docker的幫助上，大家能夠輕松將這些容器對接起來以創(chuàng)建完整的應(yīng)用程序，這就讓未來的規(guī)模伸縮或者組件更新得以通過相互獨立的方式完成。

最后但同樣重要的是，Docker鯨魚實在是太惹人喜愛了～

現(xiàn)在我們對Docker有了宏觀印象，下面具體對其組件進行解讀：

Docker Engine屬于Docker的運行層。這是一套輕量化運行時及工具組合，負責管理容器、鏡像、構(gòu)建 等等。它以原生方式運行在Linux系統(tǒng)之上，并由以下元素構(gòu)成：

Docker Daemon，運行在主機計算機之上。
Docker Client，負責與Docker Daemon通信以執(zhí)行命令。
REST API，用于同Docker Daemon遠程交互。

Docker Client正是我們作為最終用戶的通信對象。我們可以將其視為Docker的UI。

我們進行的一切操作都將直接接入Docker Client，再由其將指令傳遞至Docker Daemon。

Docker Daemon直接將執(zhí)行命令發(fā)送至Docker Client——例如構(gòu)建、運行以及分發(fā)等等。Docker Daemon運行在主機設(shè)備之上，但作為用戶，我們永遠不會直接與該Daemon進行通信。Docker Client也可以運行在主機設(shè)備上，但并非必需。它亦能夠運行在另一臺設(shè)備上，并與運行在目標主機上的Docker Daemon進行遠程通信。

Dockerfile是我們編寫指令以構(gòu)建Docker鏡像的載體。這些指令包括：
RUN apt-get y install some-package:安裝某軟件包
EXPOSE 8000: 開放端口
ENV ANT_HOME /usr/local/apache-ant：傳遞環(huán)境變量

類似的指令還有很多。一旦設(shè)置了Dockerfile，大家就可以利用docker build命令來構(gòu)建鏡像了。下面來看Dockerfile示例：

示例Dockerfile

鏡像屬于只讀模板，大家可以借此配合Dockerfile中的編寫指令集進行容器構(gòu)建。鏡像定義了打包的應(yīng)用程序以及其相關(guān)依賴。這些依賴就好像是其啟動時需要運行的進程。

Docker鏡像利用Dockerfile實現(xiàn)構(gòu)建。Dockerfile中的每條指令都會在鏡像中添加一個新的“層”，這些層則表現(xiàn)為鏡像文件系統(tǒng)中的一個分區(qū)——我們可以對其進行添加或者替換。層概念正是Docker輕量化的基礎(chǔ)。Docker利用一套Union File System建立起這套強大的結(jié)構(gòu)：

Docker利用Union File System以構(gòu)建鏡像。大家可以將Union File System視為一套可堆疊文件系統(tǒng)，這意味著各文件系統(tǒng)中的文件與目錄（在Docker中被稱為分支）可以透明方式覆蓋并構(gòu)成單一文件系統(tǒng)。

覆蓋分支內(nèi)的各目錄內(nèi)容擁有同樣的路徑，并將被視為單一合并目錄，這就避免了需要為每個層分別創(chuàng)建副本的麻煩。相反，這些目錄可調(diào)用特定指針以指向同樣的資源; 當特定層需要進行修改時，其會分別創(chuàng)建修改前與修改后的本地副本。通過這種方式，文件系統(tǒng)表現(xiàn)出可寫入特性，但其實際上并未接受任何寫入操作。（換言之，這是一套‘寫入即復(fù)制’系統(tǒng)。）

分層系統(tǒng)擁有兩大核心優(yōu)勢：

無重復(fù)數(shù)據(jù): 分層機制使得我們在使用鏡像創(chuàng)建并運行新容器時無需復(fù)制完整的文件集，從而保證Docker容器實例擁有良好的運行速度與低廉的資源成本。
層隔離: 變更操作速度很快——當我們對鏡像進行變更時，Docker只需要對進行了變更的層進行廣播。

Volumes屬于容器中的“數(shù)據(jù)”部分，會在容器創(chuàng)建時進行初始化。Volumes機制允許我們持久保留并共享容器數(shù)據(jù)。數(shù)據(jù)卷 獨立于默認Union File System之外，且作為普通目錄及文件存在于主機文件系統(tǒng)當中。因此即使是在對容器進行銷毀、更新或者重構(gòu)時，數(shù)據(jù)卷仍然不受影響。當我們需要對某一數(shù)據(jù)卷進行更新時，直接加以變更即可。（作為另一項優(yōu)勢，數(shù)據(jù)卷還能夠在不同容器之間進行共享與復(fù)用。）

如上所述，Docker容器將一款應(yīng)用程序的軟件打包在單一環(huán)境當中，同時包含全部運行必需的要素。其中包括操作系統(tǒng)、應(yīng)用程序代碼、運行時、系統(tǒng)工具、系統(tǒng)庫等等。Docker容器由Docker鏡像構(gòu)建而成。由于鏡像存在只讀屬性，因此Docker會在鏡像在只讀文件系統(tǒng)之上添加一套讀取-寫入文件系統(tǒng)以實現(xiàn)容器創(chuàng)建。

另外，在創(chuàng)建容器時，Docker還會創(chuàng)建一套網(wǎng)絡(luò)接口以幫助容器同本地主機通信、對接可用IP地址并執(zhí)行用戶在定義鏡像時所執(zhí)行的進程以運行應(yīng)用程序。
在成功創(chuàng)建了一套容器之后，我們隨后可以將其運行在任何環(huán)境當中，而不必再做任何變更。

打開容器，我們會發(fā)現(xiàn)其中包含大量活動組件。容器的實現(xiàn)機制一直令我感到驚訝而好奇，特別是考慮到容器不存在任何抽象的基礎(chǔ)設(shè)施邊界。在閱讀了大量材料之后，我將結(jié)合自己的理解為大家進行講解：）

“容器”這一術(shù)語其實只是個抽象概念，用于表述多種不同的相關(guān)特性，而其與原詞“container”的另一含義“集裝箱”有著千絲萬縷的聯(lián)系。下面就來一起了解：

1) 命名空間

命名空間為容器提供對應(yīng)的底層Linux系統(tǒng)視圖，即限制容器的查看與訪問范疇。當我們運行一套容器時，Docker會創(chuàng)建多個命名空間供特定容器使用。
Docker會在內(nèi)核中使用多種不同類型的命名空間，例如：

NET: 為容器提供獨特的系統(tǒng)網(wǎng)絡(luò)堆棧視圖（例如自有網(wǎng)絡(luò)設(shè)備、IP地址、IP路由表、/proc/net目錄、端口編號等等）。

PID: PID代表進程ID。如果大家曾經(jīng)在命令行中運行過ps aux以檢查當前系統(tǒng)正在運行的進程，就會發(fā)現(xiàn)其中一欄名為“PID”。PID命名空間為容器提供其能夠查看與交互的進程范圍，其中包括獨立的init（PID 1），其屬于“所有進程的元祖”。

MNT: 為容器提供獨特的系統(tǒng)“mounts”視圖。這樣不同mount命名空間內(nèi)的進程就將擁有彼此不同的文件系統(tǒng)結(jié)構(gòu)。

UTS: UTS代表UNIX分時系統(tǒng)。它允許某一進程識別系統(tǒng)身份（例如主機名稱或者域名等）。UTS允許容器擁有不同于其它容器以及主機系統(tǒng)的主機名稱與NIS域名。

IPC: IPC代表進程間通信。IPC命名空間負責對運行在每套容器內(nèi)的進程進行IPC資源隔離。

USER: 此命名空間用于對每套容器內(nèi)的用戶進行隔離。其允許各容器擁有不同的uid（即用戶ID）與gid（組ID）視圖區(qū)間，并將其與主機系統(tǒng)進行比對。這樣一來，某一進程的uid與gid在用戶命名空間之內(nèi)與之外即有所不同，這也使得該進程能夠在不影響容器內(nèi)root權(quán)限的情況下，撤銷同一用戶在容器外的權(quán)限。

Docker將這些命名空間結(jié)合起來以隔離并創(chuàng)建容器。下面要講的則是控制組。

2) 控制組

控制組（也被稱為cgroups）屬于Linux內(nèi)核中的一項功能，用于對一組進程的資源使用量（包括CPU、內(nèi)存、磁盤I/O以及網(wǎng)絡(luò)等）進行隔離、排序與計數(shù)。這意味著cgroup能夠確保Docker容器只使用其必需的資源——并在必要情況下設(shè)置其所能使用的資源上限。另外，cgroups還能夠確保單一容器不至于占用太多資源并導致整體系統(tǒng)陷入癱瘓。

最后要說明的是Union文件系統(tǒng)：

3) 隔離化Union file system：

我們在之前的Docker鏡像章節(jié)中已經(jīng)解釋過了：）

這就是關(guān)于Docker容器的全部內(nèi)容了（當然，實現(xiàn)細節(jié)才是最麻煩的環(huán)節(jié)——例如如何管理不同組件間的交互）。

盡管Docker已經(jīng)開始逐步成為主流，但我認為它不太可能對虛擬機造成真正的威脅。容器將繼續(xù)發(fā)展壯大，但虛擬機也仍然擁有適合自己的生存空間。

舉例來說，如果我們需要在多臺服務(wù)器上運行多款應(yīng)用程序，那么最理想的辦法就是使用虛擬機。在另一方面，如果我們需要運行同一應(yīng)用程序的多套副本，那么Docker則擁有更多具體優(yōu)勢。

另外，盡管容器允許我們將應(yīng)用程序拆分成多個功能組件，但這種分散化趨勢意味著我們需要管理更多功能部件，即帶來更為復(fù)雜的控制與協(xié)調(diào)任務(wù)。

安全同時也是Docker容器需要解決的一大難題——由于各容器共享同一套內(nèi)核，因此不同容器之間的屏障非常薄弱。與只需要調(diào)用主機虛擬機管理程序的虛擬機方案不同，Docker容器需要向主機內(nèi)核發(fā)出系統(tǒng)調(diào)用，而這會帶來更龐大的攻擊面。出于安全性的考量，很多開發(fā)人員可能更傾向于選擇虛擬機——其由抽象化硬件進行隔離，從而顯著提升了彼此交互的難度。

當然，安全性與管理等難題必將隨著容器在生產(chǎn)環(huán)境下的進一步普及而得到解決。就目前來講，關(guān)于容器與虛擬機孰優(yōu)孰劣的議題已經(jīng)成為開發(fā)人員與運維人員間的日常爭論素材。

到這里，希望大家已經(jīng)擁有了關(guān)于Docker的必要知識，也祝愿各位早日將Docker引入自己的日常工作。

當然，如果大家在文章中發(fā)現(xiàn)了什么謬誤，也歡迎在評論欄中做出說明。感謝大家，小數(shù)與你下次再見！

原文鏈接：https://medium.freecodecamp.com/a-beginner-friendly-introduction-to-containers-vms-and-docker-79a9e3e119b#.sl2xp8tiv