關(guān)于容器的歷史、發(fā)展以及技術(shù)本質(zhì)，在互聯(lián)網(wǎng)上已經(jīng)有非常多的文章了。這里旨在結(jié)合自身的工作經(jīng)驗(yàn)和理解，通過(guò)一系列的文章，講清楚這項(xiàng)技術(shù)。

容器的歷史和發(fā)展

前世

講到容器，就不得不提LXC(Linux Container)，他是Docker的前生，或者說(shuō)Docker是LXC的使用者。完整的LXC能力在2008年合入Linux主線，所以容器的概念在2008年就基本定型了，并不是后面Docker造出來(lái)的。關(guān)于LXC的介紹很多，大體都會(huì)說(shuō)“LXC是Linux內(nèi)核提供的容器技術(shù)，能提供輕量級(jí)的虛擬化能力，能隔離進(jìn)程和資源”，但總結(jié)起來(lái)，無(wú)外乎就兩大知識(shí)點(diǎn)Cgroups(Linux Control Group)和Linux Namespace。搞清楚他倆，容器技術(shù)就基本掌握了。

• Cgroups：重點(diǎn)在“限制”。限制資源的使用，包括CPU、內(nèi)存、磁盤的使用，體現(xiàn)出對(duì)資源的管理能力。
• Namespace：重點(diǎn)在“隔離”。隔離進(jìn)程看到的Linux視圖。說(shuō)大白話就是，容器和容器之間不要相互影響，容器和宿主機(jī)之間不要相互影響。

少年期起步艱難

2009年，Cloud Foundry基于LXC實(shí)現(xiàn)了對(duì)容器的操作，該項(xiàng)目取名為Warden。2010年，dotCloud公司同樣基于LXC技術(shù)，使用Go語(yǔ)言實(shí)現(xiàn)了一款容器引擎，也就是現(xiàn)在的Docker。那時(shí)，dotCloud公司還是個(gè)小公司，出生卑微的Docker沒(méi)什么熱度，活得相當(dāng)艱難。

成長(zhǎng)為巨無(wú)霸

2013年，dotCloud公司決定將Docker開(kāi)源。開(kāi)源后，項(xiàng)目突然就火了。從大的說(shuō)，火的原因就是Docker的這句口號(hào)“Build once，Run AnyWhere”。呵呵，是不是似曾相識(shí)?對(duì)的，和Java的Write Once，Run AnyWhere一個(gè)道理。對(duì)于一個(gè)程序員來(lái)說(shuō)，程序?qū)懲旰蟠虬社R像就可以隨處部署和運(yùn)行，開(kāi)發(fā)、測(cè)試和生產(chǎn)環(huán)境完全一致，這是多么大一個(gè)誘惑。程序員再也不用去定位因環(huán)境差異導(dǎo)致的各種坑爹問(wèn)題。

Docker開(kāi)源項(xiàng)目的異常火爆，直接驅(qū)動(dòng)dotCloud公司在2013年更名為Docker公司。Docker也快速成長(zhǎng)，干掉了CoreOS公司的rkt容器和Google的lmctfy容器，直接變成了容器的事實(shí)標(biāo)準(zhǔn)。也就有了后來(lái)人一提到容器就認(rèn)為是Docker。

總結(jié)起來(lái)，Docker為什么火，靠的就是Docker鏡像。他打包了應(yīng)用程序的所有依賴，徹底解決了環(huán)境的一致性問(wèn)題，重新定義了軟件的交付方式，提高了生產(chǎn)效率。

被列強(qiáng)蠶食

Docker在容器領(lǐng)域快速成長(zhǎng)，野心自然也變大了。2014年推出了容器云產(chǎn)品Swarm(Kubenetes的同類產(chǎn)品)，想擴(kuò)張事業(yè)版圖。同時(shí)Docker在開(kāi)源社區(qū)擁有絕對(duì)話語(yǔ)權(quán)，相當(dāng)強(qiáng)勢(shì)。這種走自己的路，讓別人無(wú)路可走的行為，讓容器領(lǐng)域的其他大廠玩家很是不爽，為了不讓Docker一家獨(dú)大，決定要干他。

2015年6月，在Google、Redhat等大廠的“運(yùn)作”下，Linux基金會(huì)成立了OCI(Open Container Initiative)組織，旨在圍繞容器格式和運(yùn)行時(shí)制定一個(gè)開(kāi)放的工業(yè)化標(biāo)準(zhǔn)，也就是我們常說(shuō)的OCI標(biāo)準(zhǔn)。同時(shí)，Docker公司將Libcontainer模塊捐給CNCF社區(qū)，作為OCI標(biāo)準(zhǔn)的實(shí)現(xiàn)，這就是現(xiàn)在的RunC項(xiàng)目。說(shuō)白了，就是現(xiàn)在這塊兒有個(gè)標(biāo)準(zhǔn)了，大家一起玩兒，不被某個(gè)特定項(xiàng)目的綁定。

講到Docker，就得說(shuō)說(shuō)Google家的Kubernetes，他作為容器云平臺(tái)的事實(shí)標(biāo)準(zhǔn)，如今已被廣泛使用，儼然已成為大廠標(biāo)配。Kubernetes原生支持Docker，讓Docker的市場(chǎng)占有率一直居高不下。如圖是2019年容器運(yùn)行時(shí)的市場(chǎng)占有率。

但在2020年，Kubernetes突然宣布在1.20版本以后，也就是2021年以后，不再支持Docker作為默認(rèn)的容器運(yùn)行時(shí)，將在代碼主干中去除dockershim。

如圖所示，Kubenetes自身定義了標(biāo)準(zhǔn)的容器運(yùn)行時(shí)接口CRI(Container Runtime Interface)，目的是能對(duì)接任何實(shí)現(xiàn)了CRI接口的容器運(yùn)行時(shí)。在初期，Docker是容器運(yùn)行時(shí)不容置疑的王者，Kubenetes便內(nèi)置了對(duì)Docker的支持，通過(guò)dockershim來(lái)實(shí)現(xiàn)標(biāo)準(zhǔn)CRI接口到Docker接口的適配，以此獲得更多的用戶。隨著開(kāi)源的容器運(yùn)行時(shí)Containerd(實(shí)現(xiàn)了CRI接口，同樣由Docker捐給CNCF)的成熟，Kubenetes不再維護(hù)dockershim，僅負(fù)責(zé)維護(hù)標(biāo)準(zhǔn)的CRI，解除與某特定容器運(yùn)行時(shí)的綁定。當(dāng)然，也不是Kubenetes不支持Docker了，只是dockershim誰(shuí)維護(hù)的問(wèn)題。 隨著Kubenetes態(tài)度的變化，預(yù)計(jì)將會(huì)有越來(lái)越多的開(kāi)發(fā)者選擇直接與開(kāi)源的Containerd對(duì)接，Docker公司和Docker開(kāi)源項(xiàng)目(現(xiàn)已改名為Moby)未來(lái)將會(huì)發(fā)生什么樣的變化，誰(shuí)也說(shuō)不好。

講到這里，不知道大家有沒(méi)有注意到，Docker公司其實(shí)是捐獻(xiàn)了Containerd和runC。這倆到底是啥東西。簡(jiǎn)單的說(shuō)，runC是OCI標(biāo)準(zhǔn)的實(shí)現(xiàn)，也叫OCI運(yùn)行時(shí)，是真正負(fù)責(zé)操作容器的。Containerd對(duì)外提供接口，管理、控制著runC。所以上面的圖，真正應(yīng)該長(zhǎng)這樣。

Docker公司是一個(gè)典型的小公司因一個(gè)爆款項(xiàng)目火起來(lái)的案例，不管是技術(shù)層面、公司經(jīng)營(yíng)層面以及如何跟大廠纏斗，不管是好的方面還是壞的方面，都值得我們?nèi)W(xué)習(xí)和了解其背后的故事。

什么是容器

按國(guó)際慣例，在介紹一個(gè)新概念的時(shí)候，都得從大家熟悉的東西說(shuō)起。幸好容器這個(gè)概念還算好理解，喝水的杯子，洗腳的桶，養(yǎng)魚的缸都是容器。容器技術(shù)里面的“容器”也是類似概念，只是裝的東西不同罷了，他裝的是應(yīng)用軟件本身以及軟件運(yùn)行起來(lái)需要的依賴。用魚缸來(lái)類比，魚缸這個(gè)容器里面裝的應(yīng)用軟件就是魚，裝的依賴就是魚食和水。這樣大家就能理解Docker的Logo了。大海就是宿主機(jī)，Docker就是那條鯨魚，鯨魚背上的集裝箱就是容器，我們的應(yīng)用程序就裝在集裝箱里面。

在講容器的時(shí)候一定繞不開(kāi)容器鏡像，這里先簡(jiǎn)單的把容器鏡像理解為是一個(gè)壓縮包，后續(xù)再詳細(xì)講解。壓縮包里包含應(yīng)用的可執(zhí)行程序以及程序依賴的文件(例如：配置文件和需要調(diào)用的動(dòng)態(tài)庫(kù)等)，接下來(lái)通過(guò)實(shí)際操作來(lái)看看容器到底是個(gè)啥。

宿主機(jī)視角看容器

1、首先，我們啟動(dòng)容器。

docker run -d --name="aimar-1-container" euleros_arm:2.0SP8SPC306 /bin/sh -c "while true; do echo aimar-1-container; sleep 1; done" 

這是Docker的標(biāo)準(zhǔn)命令。意思是使用euleros_arm:2.0SP8SPC306鏡像(鏡像名:版本號(hào))創(chuàng)建一個(gè)新的名字為“aimar-1-container”的容器，并在容器中執(zhí)行shell命令：每秒打印一次“aimar-1-container”。

參數(shù)說(shuō)明：

• -d：使用后臺(tái)運(yùn)行模式啟動(dòng)容器，并返回容器ID。
• --name：為容器指定一個(gè)名字。

docker run -d --name="aimar-1-container" euleros_arm:2.0SP8SPC306 /bin/sh -c "while true; do echo aimar-1-container; sleep 1; done"  
207b7c0cbd811791f7006cd56e17033eb430ec656f05b6cd172c77cf45ad093c 

從輸出中，我們看到一串長(zhǎng)字符207b7c0cbd811791f7006cd56e17033eb430ec656f05b6cd172c77cf45ad093c。他就是容器ID，能唯一標(biāo)識(shí)一個(gè)容器。當(dāng)然在使用的時(shí)候，不需要使用全id，直接使用縮寫id即可(全id的前幾位)。例如下圖中，通過(guò)docker ps查詢到的容器id為207b7c0cbd81。

aimar-1-container容器啟動(dòng)成功后，我們?cè)谒拗鳈C(jī)上使用ps進(jìn)行查看。這時(shí)可以發(fā)現(xiàn)剛才啟動(dòng)的容器就是個(gè)進(jìn)程，PID為12280。

我們嘗試著再啟動(dòng)2個(gè)容器，并再次在宿主機(jī)進(jìn)行查看，你會(huì)發(fā)現(xiàn)又新增了2個(gè)進(jìn)程，PID分別為20049和21097。

所以，我們可以得到一個(gè)結(jié)論。從宿主機(jī)的視角看，容器就是進(jìn)程。

2、接下來(lái)，我們進(jìn)入這個(gè)容器。

docker exec -it 207b7c0cbd81 /bin/bash 

docker exec也是Docker的標(biāo)準(zhǔn)命令，用于進(jìn)入某個(gè)容器。意思是進(jìn)入容器id為207b7c0cbd81的容器，進(jìn)入后執(zhí)行/bin/bash命令，開(kāi)啟命令交互。

參數(shù)說(shuō)明：

• -it其實(shí)是-i和-t兩個(gè)參數(shù)，意思是容器啟動(dòng)后，要分配一個(gè)輸入/輸出終端，方便我們跟容器進(jìn)行交互，實(shí)現(xiàn)跟容器的“對(duì)話”能力。

從hostname從kwephispra09909變化為207b7c0cbd81，說(shuō)明我們已經(jīng)進(jìn)入到容器里面了。在容器中，我們嘗試著啟動(dòng)一個(gè)新的進(jìn)程。

[root@207b7c0cbd81 /]# /bin/sh -c "while true; do echo aimar-1-container-embed; sleep 1; done" & 

再次回到宿主機(jī)進(jìn)行ps查看，你會(huì)發(fā)現(xiàn)不管是直接啟動(dòng)容器，還是在容器中啟動(dòng)新的進(jìn)程，從宿主機(jī)的角度看，他們都是進(jìn)程。

容器視角看容器

前面我們已經(jīng)進(jìn)入容器里面，并啟動(dòng)了新的進(jìn)程。但是我們并沒(méi)有在容器里查看進(jìn)程的情況。在容器中執(zhí)行ps，會(huì)發(fā)現(xiàn)得到的結(jié)果和宿主機(jī)上執(zhí)行ps的結(jié)果完全不一樣。下圖是容器中的執(zhí)行結(jié)果。

在Container1容器中只能看見(jiàn)剛起啟動(dòng)的shell進(jìn)程(container1和container1-embed)，看不到宿主機(jī)上的其他進(jìn)程，也看不到Container2和Container3里面的進(jìn)程。這些進(jìn)程像被關(guān)進(jìn)了一個(gè)盒子里面，完全感知不到外界，甚至認(rèn)為我們執(zhí)行的container1是1號(hào)進(jìn)程(1號(hào)進(jìn)程也叫init進(jìn)程，是系統(tǒng)中所有其他用戶進(jìn)程的祖先進(jìn)程)。所以，從容器的視角，容器覺(jué)得“我就是天，我就是地，歡迎來(lái)到我的世界”。

但尷尬的是，在宿主機(jī)上，他們卻是普通得不能再普通的進(jìn)程。注意，相同的進(jìn)程，在容器里看到的進(jìn)程ID和在宿主機(jī)上看到的進(jìn)程ID是不一樣的。容器中的進(jìn)程ID分別是1和1859，宿主機(jī)上對(duì)應(yīng)的進(jìn)程ID分別是12280和9775(見(jiàn)上圖)。

總結(jié)

通過(guò)上面的實(shí)驗(yàn)，對(duì)容器的定義就需要再加上一個(gè)定語(yǔ)。容器就是進(jìn)程=>容器是與系統(tǒng)其他部分隔離開(kāi)的進(jìn)程。這個(gè)時(shí)候我們?cè)倏聪聢D就更容易理解，容器是跑在宿主機(jī)OS(虛機(jī)容器的宿主機(jī)OS就是Guest OS)上的進(jìn)程，容器間以及容器和宿主機(jī)間存在隔離性，例如：進(jìn)程號(hào)的隔離。

在容器內(nèi)和宿主機(jī)上，同一個(gè)進(jìn)程的進(jìn)程ID不同。例如：Container1在容器內(nèi)PID是1，在宿主機(jī)上是12280。那么該進(jìn)程真正的PID是什么呢?當(dāng)然是12280!那為什么會(huì)造成在容器內(nèi)看到的PID是1呢，造成這種幻象的，正是Linux Namespace。

Linux Namespace是Linux內(nèi)核用來(lái)隔離資源的方式。每個(gè)Namespace下的資源對(duì)于其他Namespace都是不透明，不可見(jiàn)的。

Namespace按隔離的資源進(jìn)行分類：

前面提到的容器內(nèi)外，看到的進(jìn)程ID不同，正是使用了PID Namespace。那么這個(gè)Namespace在哪呢?在Linux上一切皆文件。是的，這個(gè)Namespace就在文件里。在宿主機(jī)上的proc文件中(/proc/進(jìn)程號(hào)/ns)變記錄了某個(gè)進(jìn)程對(duì)應(yīng)的Namespace信息。如下圖，其中的數(shù)字(例如：pid:[ 4026534312])則表示一個(gè)Namespace。

對(duì)于Container1、Container2、Container3這3個(gè)容器，我們可以看到，他們的PID Namespace是不一樣的。說(shuō)明他們3個(gè)容器中的PID相互隔離，也就是說(shuō)，這3個(gè)容器里面可以同時(shí)擁有PID號(hào)相同的進(jìn)程，例如：都有PID=1的進(jìn)程。

在一個(gè)命名空間中，那這倆進(jìn)程就相互可見(jiàn)，只是PID與宿主機(jī)上看到的不同而已。

至此，我們可以對(duì)容器的定義再細(xì)化一層。容器是與系統(tǒng)其他部分隔離開(kāi)的進(jìn)程=》容器是使用Linux Namespace實(shí)現(xiàn)與系統(tǒng)其他部分隔離開(kāi)的進(jìn)程。