歡迎光臨
每天分享高質量文章

面試官:你簡歷中寫用過docker,能說說容器和鏡像的區別嗎?

作者:bethal

鏈接:https://www.cnblogs.com/bethal/p/5942369.html

這篇文章希望能夠幫助讀者深入理解Docker的命令,還有容器(container)和鏡像(image)之間的區別,並深入探討容器和運行中的容器之間的區別。

 

當我對Docker技術還是一知半解的時候,我發現理解Docker的命令非常困難。於是,我花了幾周的時間來學習Docker的工作原理,更確切地說,是關於Docker統一檔案系統(the union file system)的知識,然後回過頭來再看Docker的命令,一切變得順理成章,簡單極了。

 

題外話:就我個人而言,掌握一門技術併合理使用它的最好辦法就是深入理解這項技術背後的工作原理。通常情況下,一項新技術的誕生常常會伴隨著媒體的大肆宣傳和炒作,這使得用戶很難看清技術的本質。更確切地說,新技術總是會發明一些新的術語或者隱喻詞來幫助宣傳,這在初期是非常有幫助的,但是這給技術的原理蒙上了一層砂紙,不利於用戶在後期掌握技術的真諦。

 

Git就是一個很好的例子。我之前不能夠很好的使用Git,於是我花了一段時間去學習Git的原理,直到這時,我才真正明白了Git的用法。我堅信只有真正理解Git內部原理的人才能夠掌握這個工具。

# Image Definition

鏡像(Image)就是一堆只讀層(read-only layer)的統一視角,也許這個定義有些難以理解,下麵的這張圖能夠幫助讀者理解鏡像的定義。

 

從左邊我們看到了多個只讀層,它們重疊在一起。除了最下麵一層,其它層都會有一個指標指向下一層。這些層是Docker內部的實現細節,並且能夠在主機(譯者註:運行Docker的機器)的檔案系統上訪問到。統一檔案系統(union file system)技術能夠將不同的層整合成一個檔案系統,為這些層提供了一個統一的視角,這樣就隱藏了多層的存在,在用戶的角度看來,只存在一個檔案系統。我們可以在圖片的右邊看到這個視角的形式。

 

你可以在你的主機檔案系統上找到有關這些層的檔案。需要註意的是,在一個運行中的容器內部,這些層是不可見的。在我的主機上,我發現它們存於/var/lib/docker/aufs目錄下。

 

sudo tree -L 1 /var/lib/docker/

 

# Container Definition

容器(container)的定義和鏡像(image)幾乎一模一樣,也是一堆層的統一視角,唯一區別在於容器的最上面那一層是可讀可寫的。

細心的讀者可能會發現,容器的定義並沒有提及容器是否在運行,沒錯,這是故意的。正是這個發現幫助我理解了很多困惑。

 

要點:容器 = 鏡像 + 可讀層並且容器的定義並沒有提及是否要運行容器。

 

接下來,我們將會討論運行態容器。

 

# Running Container Definition

一個運行態容器(running container)被定義為一個可讀寫的統一檔案系統加上隔離的行程空間和包含其中的行程。下麵這張圖片展示了一個運行中的容器。

 

 

正是檔案系統隔離技術使得Docker成為了一個前途無量的技術。一個容器中的行程可能會對檔案進行修改、刪除、創建,這些改變都將作用於可讀寫層(read-write layer)。下麵這張圖展示了這個行為。

 

 

我們可以通過運行以下命令來驗證我們上面所說的:

 

docker run ubuntu touch happiness.txt

 

即便是這個ubuntu容器不再運行,我們依舊能夠在主機的檔案系統上找到這個新檔案。

 

/var/lib/docker/aufs/diff/860a7b...889/happiness.txt

# Image Layer Definition

為了將零星的資料整合起來,我們提出了鏡像層(image layer)這個概念。下麵的這張圖描述了一個鏡像層,通過圖片我們能夠發現一個層並不僅僅包含檔案系統的改變,它還能包含了其他重要信息。

 

元資料(metadata)就是關於這個層的額外信息,它不僅能夠讓Docker獲取運行和構建時的信息,還包括父層的層次信息。需要註意,只讀層和讀寫層都包含元資料。

 

除此之外,每一層都包括了一個指向父層的指標。如果一個層沒有這個指標,說明它處於最底層。

 

 

Metadata Location:
我發現在我自己的主機上,鏡像層(image layer)的元資料被儲存在名為”json”的檔案中,比如說:

 

/var/lib/docker/graph/e809f156dc985.../json

e809f156dc985…就是這層的id。

 

一個容器的元資料好像是被分成了很多檔案,但或多或少能夠在/var/lib/docker/containers/目錄下找到,就是一個可讀層的id。這個目錄下的檔案大多是運行時的資料,比如說網絡,日誌等等。

 

# 全域性理解(Tying It All Together)

現在,讓我們結合上面提到的實現細節來理解Docker的命令。

 

docker create id>

 

 

docker create 命令為指定的鏡像(image)添加了一個可讀層,構成了一個新的容器。註意,這個容器並沒有運行。

docker start <container-id>

 

 

Docker start命令為容器檔案系統創建了一個行程隔離空間。註意,每一個容器只能夠有一個行程隔離空間。

 

docker run <image-id>

 

看到這個命令,讀者通常會有一個疑問:docker start 和 docker run命令有什麼區別。

 

 

從圖片可以看出,docker run 命令先是利用鏡像創建了一個容器,然後運行這個容器。這個命令非常的方便,並且隱藏了兩個命令的細節,但從另一方面來看,這容易讓用戶產生誤解。

 

題外話:繼續我們之前有關於Git的話題,我認為docker run命令類似於git pull命令。git pull命令就是git fetch 和 git merge兩個命令的組合,同樣的,docker run就是docker create和docker start兩個命令的組合。

 

docker ps

 

docker ps 命令會列出所有運行中的容器。這隱藏了非運行態容器的存在,如果想要找出這些容器,我們需要使用下麵這個命令。

 

docker ps –a

 

 

docker ps –a命令會列出所有的容器,不管是運行的,還是停止的。

 

docker images

 

docker images命令會列出了所有頂層(top-level)鏡像。實際上,在這裡我們沒有辦法區分一個鏡像和一個只讀層,所以我們提出了top-level鏡像。只有創建容器時使用的鏡像或者是直接pull下來的鏡像能被稱為頂層(top-level)鏡像,並且每一個頂層鏡像下麵都隱藏了多個鏡像層。

docker images –a

 

docker images –a命令列出了所有的鏡像,也可以說是列出了所有的可讀層。如果你想要查看某一個image-id下的所有層,可以使用docker history來查看。

 

docker stop <container-id>

 

docker stop命令會向運行中的容器發送一個SIGTERM的信號,然後停止所有的行程。

 

docker kill <container-id>


 

docker kill 命令向所有運行在容器中的行程發送了一個不友好的SIGKILL信號。

docker pause <container-id>

 

 

docker stop和docker kill命令會發送UNIX的信號給運行中的行程,docker pause命令則不一樣,它利用了cgroups的特性將運行中的行程空間暫停。具體的內部原理你可以在這裡找到:https://www.kernel.org/doc/Documentation/cgroups/freezer-subsystem.txt,但是這種方式的不足之處在於發送一個SIGTSTP信號對於行程來說不夠簡單易懂,以至於不能夠讓所有行程暫停。

 

docker rm <container-id>

 

docker rm命令會移除構成容器的可讀寫層。註意,這個命令只能對非運行態容器執行。

docker rmi <image-id>

 

docker rmi 命令會移除構成鏡像的一個只讀層。你只能夠使用docker rmi來移除最頂層(top level layer)(也可以說是鏡像),你也可以使用-f引數來強制刪除中間的只讀層。

 

docker commit <container-id>

docker commit命令將容器的可讀寫層轉換為一個只讀層,這樣就把一個容器轉換成了不可變的鏡像。

 

docker build

 

docker build命令非常有趣,它會反覆的執行多個命令。

 

 

我們從上圖可以看到,build命令根據Dockerfile檔案中的FROM指令獲取到鏡像,然後重覆地1)run(create和start)、2)修改、3)commit。在迴圈中的每一步都會生成一個新的層,因此許多新的層會被創建。

 

docker exec 

 

docker exec 命令會在運行中的容器執行一個新行程。

docker inspect <container-id> or <image-id>

 

 

docker inspect命令會提取出容器或者鏡像最頂層的元資料。

 

docker save <image-id>

 

 

docker save命令會創建一個鏡像的壓縮檔案,這個檔案能夠在另外一個主機的Docker上使用。和export命令不同,這個命令為每一個層都儲存了它們的元資料。這個命令只能對鏡像生效。

 

docker export id>

 

docker export命令創建一個tar檔案,並且移除了元資料和不必要的層,將多個層整合成了一個層,只儲存了當前統一視角看到的內容(譯者註:expoxt後的容器再import到Docker中,通過docker images –tree命令只能看到一個鏡像;而save後的鏡像則不同,它能夠看到這個鏡像的歷史鏡像)

 

docker history 

 

docker history命令遞迴地輸出指定鏡像的歷史鏡像。

已同步到看一看
赞(0)

分享創造快樂