docker容器原理探究第一篇:unix隔离技术

docker介绍

docker是一种基于轻量级虚拟化思想的一种容器实现。相较于传统的虚拟化技术，容器提供的是一种按需所取的容器化思想。他不是从真实的物理机虚拟化出整个宿主机，而是借助unix命名空间隔离和cgroup技术实现的轻量级虚拟化容器。容器本质上一个或者多个进程，但是相较于直接运行在真实物理机上的进程不同，我们在物理机上启动的每一个容器，都哟是相互独立，相互隔离的。有着自己的命名空间，有着自己的文件系统，网络资源等，在容器的视角下，好像占有了整个操作系统，并且和其他的容器（进程）相互独立。

上图揭示了容器虚拟化和传统虚拟机机制的不同，传统的虚拟机是在真实物理机之上完全虚拟出一整个虚拟机，然后我们的应用再运行在之上。但是docker容器仅仅提供一层很薄的资源视图隔离和资源控制机制，在这之上模拟出独立的操作系统。

操作系统包含了多种资源，我们为了针对进程进行资源视图视图隔离，就需要针对不同的资源采用不同的隔离方法。我们可以大致将操作系统针对进程提供的资源分为三种，独立于进程的资源：例如文件系统，和进程绑定的资源：例如pid继承关系，命名空间等，以及其他特殊资源。接下来就分别基于这三种资源隔离进行介绍

双向资源隔离

单向资源隔离

特殊资源隔离

性能隔离