Docker 系列一（概念原理和安装）.
一、概念
Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化，容器是完全使用沙箱机制，相互之间不会有任何接口。—— 百度百科
之前一直有一个误区，老听人说 Docker 是一个容器，应用程序打包好镜像，然后在这个容器中运行，以此达到 "一次封装，处处运行"（Build，Ship and Run Any App,Anywhere）的目的。其实不然，Docker 只是一个应用程序引擎（引擎的基础是Linux自带的容器（Linux Containers,LXC）技术），然后每一个进程都是一个容器 —— 运行于 Docker引擎上的容器。
Docker 在运行时分为 Docker 引擎（也就是服务端守护进程）和客户端工具。Docker 的引擎提供了一组 REST API，被称为 Docker Remote API，而如 docker 命令这样的客户端工具，则是通过这组 API 与 Docker 引擎交互，从而完成各种功能。因此，虽然表面上我们好像是在本机执行各种 docker 功能，但实际上，一切都是使用的远程调用形式在服务端（Docker 引擎）完成。也因为这种 C/S 设计，让我们操作远程服务器的 Docker 引擎变得轻而易举。
Client 和 Server可以运行在同一台集群，也可以通过跨主机实现远程通信。
传统的虚拟机技术和容器技术的区别？
传统虚拟机技术是虚拟出一套硬件后（内存分一点，磁盘分一点），在宿主上运行一个完整操作系统，在该系统上再运行所需要的应用进程；而容器内没有自己的内核，而且也没有进行硬件虚拟，应用进程直接运行于宿主的内核，而且进程和进程之间是相隔离的，是一个操作系统级别的虚拟化技术。
虚拟化技术通过 Hypervisor 实现虚拟机与底层硬件的解耦，虚拟机实现依赖 Hypervisor 层，Hypervisor 是整个虚拟机的核心所在。Hypervisor 虚拟机可以模拟机器硬件资源，协调虚拟机对硬件资源的访问，同时在各个虚拟机之间进行隔离。
虚拟化技术为用户提供了一个完整的虚拟机，包括操作系统在内。虚拟化技术有更佳的隔离性和安全性，但是更新和升级困难。
容器化技术为应用程序提供了隔离的运行空间，容器之间共享同一个上层操作系统内核。容器化具有快速扩展、灵活性和易用性等优势，但其隔离性较差、安全性相对较低。
实际部署一般是把两种技术结合起来，比如一个虚拟机中运行多个容器，这样既保证了较好的强隔离性和安全性，也有了快速扩展、灵活性和易用性。
Docker 的优势：
1、更高效的利用系统资源（不需要进行硬件虚拟以及运行完整操作系统等额外开销，一个相同配置的主机，往往可以运行更多数量的应用。单机支持上千个容器）
2、更快速的启动时间
3、一致的运行环境
4、持续交付和部署
5、更轻松的迁移
6、更轻松的维护和扩展
Docker 包括三个基本概念：
镜像：是一个特殊的文件系统，除了提供容器运行时所需的程序、库、资源、配置等文件外，还包含了一些为运行时准备的一些配置参数（如匿名卷、环境变量、用户等） 。镜像不包含任何动态数据，其内容在构建之后也不会被改变，任何用户程序都可以成为镜像的一部分。
镜像=操作系统+软件运行环境+用户程序。
容器：镜像和容器的关系，就像是面向对象程序设计中类和实例的关系，镜像是静态的定义，容器是镜像运行时的实体。容器可以被创建、启动、停止、删除、暂停等。
容器的实质是进程，但与直接在宿主执行的进程不同，容器进程运行于属于自己的独立命名空间。容器内的进程是运行在一个隔离的环境中，使用起来，就好像是在一个独立于宿主的系统下操作一样。
每一个容器运行时，是以镜像为基础层，在其上创建一个当前容器的存储层，容器存储层的的生命周期和容器一样，容器消亡时，容器存储层也随之消亡。按照 Docker 的最佳实践，容器不应该向存储层写入任何数据，容器存储层要保持无状态变化。所有的文件写入操作，都应该使用 数据卷（Volume） 、或者绑定宿主目录，在这些位置的读写会跳过容器存储层，直接对宿主（或网络存储） 发生读写，其性能和稳定性更高。
Docker Register：一个集中的存储、分发镜像的服务，一个Docker Register 中可以包含多个仓库（打包好的软件镜像）；每个仓库可以包含多个标签（一个软件的多个版本镜像）；
tips：官方的镜像库 https://hub.docker.com/
国内阿里云的镜像库 https://cr.console.aliyun.com/
二、安装
下面仅介绍 CentOS 安装 Docker CE，支持 64 位版本 CentOS 7，并且要求内核版本不低于 3.10。
1、内核版本
2、系统版本
3、使用以下命令卸载旧版本的 Docker
sudo yum remove docker docker-client docker-client-latest docker-common docker-latest docker-latest-logrotate docker-logrotate docker-selinux docker-engine-selinux docker-engine
4、安装依赖包并添加 Docker 源
$ sudo yum install -y yum-utils device-mapper-persistent-data lvm2
$ sudo yum-config-manager --add-repo https://mirrors.ustc.edu.cn/docker-ce/linux/centos/docker-ce.repo
5、安装 Docker CE
$ sudo yum makecache fast $ sudo yum -y install docker-ce
6、启动 Docker
$ sudo systemctl enable docker $ sudo systemctl start docker
7、建立 docker 用户组
默认情况下，docker 命令会使用 Unix socket 与 Docker 引擎通讯。而只有 root 用户和 docker 组的用户才可以访问 Docker 引擎的 Unix socket。完成前面的步骤，会自动建立 docker 用户组。
建立 docker 用户组：
$ sudo groupadd docker
添加用户到 docker 用户组：
$ sudo usermod -aG docker $USER
8、测试是否安装成功
退出当前终端并重新登陆（必须），输入如下命令验证是否成功：
9、安装镜像加速
修改 /etc/docker/daemon.json 文件，写入以下内容：
{
"registry-mirrors": [
"https://registry.docker-cn.com"
]
}
重启服务：
$ sudo systemctl daemon-reload $ sudo systemctl restart docker
三、原理
容器技术的核心是如何实现容器内资源的限制，以及不同容器之间的隔离，这些是基于 Linux 的 Namespace 和 CGroups 技术。
1. Namespace
Namespace 的目的是通过抽象方法使得 Namespace 中的进程看起来拥有它们自己的隔离的全局系统资源实例。
Linux 内核实现了六种 Namespace：
Mount namespaces:隔离文件系统
-
- UTS namespaces:定义 hostname 和 domainame
- IPC namespaces:特定的进程间通信资源
- PID namespaces:独立进程 ID 结构
- Network namespaces:独立网络设备
- User namespaces:用户和组 ID 空间
Docker 在创建一个容器的时候，会创建以上六种 Namespace 实例，然后将隔离的系统资源放入到相应的 Namespace 中，使得每个容器只能看到自己独立的系统资源。
2. Cgroups
Docker 利用 CGroups 进行资源隔离。CGroups（Control Groups）也是 Linux 内核中提供的一种机制，它的功能主要是限制、记录、隔离进程所使用的物理资源，比如 CPU、Mermory、IO、Network 等。
简单来说，CGroups 在接收到调用时，会给指定的进程挂上钩子，这个钩子会在资源被使用的时候触发，触发时会根据资源的类别，比如 CPU、Mermory、IO 等，然后使用对应的方法进行限制。
CGroups 中有一个术语叫作 Subsystem 子系统，也就是一个资源调度控制器，CPU Subsystem 负责 CPU 的时间分配，Mermory Subsystem 负责 Mermory 的使用量等。Docker 启动一个容器后，会在 /sys/fs/cgroup 目录下生成带有此容器 ID 的文件夹，里面就是调用 CGroups 的配置文件，从而实现通过 CGroups 限制容器的资源使用率。
Java 8 之前的版本无法跟 Docker 很好的配合，JVM 通过容器获取的可用内存和 CPU 数量并不是 Docker 允许使用的可用内存和 CPU 数量。
Runtime.getRuntime().availableProcessors()
分享一篇很好的 Docker 文章：Docker 入门教程
参考资料：《Docker — 从入门到实践》
