容器快速入門(mén)指南

介 紹

容器，以及Docker和Kubernetes之類(lèi)的容器技術(shù)已經(jīng)日益成為許多開(kāi)發(fā)人員工具包中常見(jiàn)的工具。容器化的核心目標(biāo)是提供一種更好的方式，以可預(yù)測(cè)和便于管理的方式在不同的環(huán)境中創(chuàng)建、打包以及部署軟件。

在本文中，我們將一窺什么是容器，它與其他虛擬化技術(shù)有何不同以及它在部署和運(yùn)維的過(guò)程中有哪些優(yōu)勢(shì)。如果您只是想迅速了解有關(guān)容器的核心概念，您可以直接滑到倒數(shù)第二部分【容器專(zhuān)用術(shù)語(yǔ)】查看。

什么是容器？

容器是一種操作系統(tǒng)虛擬化技術(shù)，用于打包應(yīng)用程序及其依賴(lài)項(xiàng)，并在隔離環(huán)境中運(yùn)行它們。在不同類(lèi)型的基礎(chǔ)架構(gòu)中，容器以一種標(biāo)準(zhǔn)的方式，提供了輕量級(jí)打包和部署應(yīng)用程序的方法。

容器的這些特性使其對(duì)開(kāi)發(fā)和運(yùn)維人員極具吸引力。因?yàn)槿萜骺梢栽谌我庵С秩萜鞯闹鳈C(jī)上運(yùn)行一致，所以開(kāi)發(fā)人員可以直接在本地測(cè)試相同的軟件，稍后就可以方便地部署到完整的生產(chǎn)環(huán)境中。同時(shí)，Container Format可以確保應(yīng)用程序的依賴(lài)項(xiàng)被放到鏡像中，簡(jiǎn)化了手動(dòng)操作的部分和發(fā)布流程。因?yàn)檫\(yùn)行容器的主機(jī)和平臺(tái)是通用的，所以可以標(biāo)準(zhǔn)化管理基于容器系統(tǒng)的基礎(chǔ)架構(gòu)。

容器從容器鏡像中創(chuàng)建，其中包含了系統(tǒng)、應(yīng)用程序和容器環(huán)境。容器鏡像和創(chuàng)建特定容器模板一樣，同一鏡像可用于生成任意數(shù)量的運(yùn)行中的容器。這與類(lèi)和實(shí)例在面向?qū)ο?a href="http://www.ttokpm.com/v/tag/1315/" target="_blank">編程中的工作方式類(lèi)似：一個(gè)單獨(dú)的類(lèi)可以用于創(chuàng)建任何數(shù)量的實(shí)例，一個(gè)單獨(dú)的容器鏡像也可以用于創(chuàng)建任何數(shù)量的容器。這類(lèi)比喻也適用于繼承方面，因?yàn)槿萜麋R像可以作為其他自定義容器鏡像的父級(jí)。用戶(hù)可以從外部資源下載預(yù)先構(gòu)建的容器，也可以根據(jù)需要構(gòu)建自定義鏡像。

什么是Docker？

雖然Linux容器是一種能夠以不同方式實(shí)現(xiàn)和管理的通用技術(shù)，但Docker是目前為止運(yùn)行構(gòu)建和容器最常見(jiàn)的方式。它包含了一系列的工具，可以允許用戶(hù)創(chuàng)建容器鏡像，從外部鏡像倉(cāng)庫(kù)推送或者拉取鏡像，還能在不同的環(huán)境中運(yùn)行和管理容器?？梢赃@么說(shuō)，容器在Linux上迅速流行主要?dú)w功于Docker在2013年發(fā)布之后所做的努力。

docker命令行工具扮演了多種角色。它可以充當(dāng)容器工作負(fù)載的流程管理器來(lái)運(yùn)行和管理容器。此外，它還可以通過(guò)閱讀和執(zhí)行Dockerfile或者拍攝運(yùn)行中的容器快照來(lái)創(chuàng)建新的容器鏡像。這一命令還可以和Docker Hub（一種容器鏡像倉(cāng)庫(kù)）交互，來(lái)拉取新的容器鏡像或者推送本地鏡像以保存或者發(fā)布它們。

雖然在Linux上Docker只提供了眾多實(shí)現(xiàn)方式中的一種，但它讓容器世界更容易進(jìn)入，并且具備最常用的解決方案。盡管已經(jīng)為容器開(kāi)發(fā)了開(kāi)放標(biāo)準(zhǔn)以確?；ネㄐ?，但大多數(shù)與容器相關(guān)的平臺(tái)和工具都將Docker作為測(cè)試和發(fā)布軟件時(shí)的主要參照。對(duì)于既定環(huán)境，Docker可能并不總是最高性能的解決方案，但它可能是最受歡迎的測(cè)試選項(xiàng)之一。實(shí)際上，對(duì)于容器而言，雖然在Linux上有許多其他的替代方案，但大家通常都會(huì)首先學(xué)習(xí)Docker，這并非毫無(wú)理由，因?yàn)镈ocker無(wú)處不在并且在容器生態(tài)系統(tǒng)中對(duì)術(shù)語(yǔ)、標(biāo)準(zhǔn)以及工具都擁有影響力。

容器如何工作？

了解容器的工作原理對(duì)于討論其與虛擬機(jī)的區(qū)別大有裨益。

虛擬機(jī)vs容器

虛擬機(jī)，或稱(chēng)VMs，是一種硬件虛擬技術(shù)，它可以讓您完全虛擬化硬件或計(jì)算機(jī)資源。一個(gè)單獨(dú)的訪(fǎng)客操作系統(tǒng)管理虛擬機(jī)與運(yùn)行在主機(jī)系統(tǒng)的OS完全分開(kāi)。在主機(jī)系統(tǒng)上，一個(gè)名為hypervisor的軟件負(fù)責(zé)啟動(dòng)、停止和管理虛擬機(jī)。由于虛擬機(jī)作為完全不同的計(jì)算機(jī)運(yùn)行，在正常運(yùn)行條件下不會(huì)影響主機(jī)系統(tǒng)或其他虛擬機(jī)，因此虛擬機(jī)具備極大的隔離性和安全性。然而，它們也存在不足。例如，虛擬化整個(gè)計(jì)算機(jī)需要VM使用大量的資源。此外，由于虛擬機(jī)在單獨(dú)的訪(fǎng)客操作系統(tǒng)上運(yùn)行，因此虛擬機(jī)的配置和啟動(dòng)時(shí)間可能相當(dāng)慢。同時(shí)，因?yàn)樘摂M機(jī)作為一個(gè)獨(dú)立的機(jī)器運(yùn)行，所以管理員通常需要采用類(lèi)似基礎(chǔ)架構(gòu)的管理工具和流程來(lái)更新和運(yùn)行各個(gè)環(huán)境。

總而言之，虛擬機(jī)允許您將計(jì)算機(jī)的資源細(xì)分為較小的單個(gè)計(jì)算機(jī)，但最終結(jié)果與管理一組物理計(jì)算機(jī)沒(méi)有顯著差異。計(jì)算機(jī)規(guī)模擴(kuò)大，每個(gè)主機(jī)的責(zé)任可能變得更加集中，但您使用的工具，策略和流程以及系統(tǒng)的功能可能不會(huì)有明顯的變化。

與虛擬化整個(gè)計(jì)算機(jī)相比，容器則采用不同的方式——直接虛擬化操作系統(tǒng)。它作為由主機(jī)操作系統(tǒng)內(nèi)核管理的專(zhuān)用進(jìn)程運(yùn)行，但具有受限且嚴(yán)格操作的系統(tǒng)進(jìn)程、資源和環(huán)境視圖。容器存在于共享系統(tǒng)上，并且像它們?cè)谕耆刂频挠?jì)算機(jī)上運(yùn)行一樣。

與其將容器視為像虛擬機(jī)一樣的完整計(jì)算機(jī)，倒不如說(shuō)更常見(jiàn)的管理容器與應(yīng)用程序更為相似。例如，雖然您可以將SSH服務(wù)器綁定到容器中，但這不是推薦的模式。相反，調(diào)試通常通過(guò)日志記錄界面執(zhí)行，通過(guò)滾動(dòng)新鏡像來(lái)應(yīng)用更新，并且不再?gòu)?qiáng)調(diào)服務(wù)管理以支持管理整個(gè)容器。

這些特性意味著容器占據(jù)著位于虛擬機(jī)的強(qiáng)隔離性和傳統(tǒng)流程的本地管理之間的空間。容器提供區(qū)域化和以流程為中心的虛擬化，可在限制，靈活性和速度之間實(shí)現(xiàn)良好平衡。

Linux cgroups和命名空間

Linux控制組或cgroups是一種內(nèi)核功能，允許將進(jìn)程及其資源作為一個(gè)單元進(jìn)行分組、隔離和管理。cgroups和流程一起綁定，并且決定資源的訪(fǎng)問(wèn)權(quán)限以及提供管理和監(jiān)控它們行為的機(jī)制。它們遵循分層系統(tǒng)，允許子進(jìn)程繼承其父進(jìn)程的條件并可能采用進(jìn)一步的限制。cgroups將進(jìn)程作為一個(gè)組，并將所需的功能與其綁定在一起，并限制它們可以訪(fǎng)問(wèn)的資源。

另一個(gè)容器所依賴(lài)的內(nèi)核功能是Linux命名空間。命名空間限制了什么進(jìn)程可以看到余下的系統(tǒng)。運(yùn)行在命名空間內(nèi)部的進(jìn)程無(wú)法獲取任何命名空間外運(yùn)行的進(jìn)程。由于命名空間定義了與系統(tǒng)其余部分分離的獨(dú)特上下文，因此命名空間的進(jìn)程樹(shù)需要反映該上下文。在命名空間內(nèi)部，主進(jìn)程變?yōu)?a href="http://www.ttokpm.com/tags/pi/" target="_blank">PID1（process ID1），傳統(tǒng)上為OS的init系統(tǒng)保留PID。在命名空間內(nèi)構(gòu)建嚴(yán)格操作的虛擬進(jìn)程樹(shù)讓在容器內(nèi)運(yùn)行的進(jìn)程表現(xiàn)得像在正常的、不受限制的環(huán)境中操作一樣。

容器化的優(yōu)勢(shì)

上文中我們已經(jīng)討論了一些能夠使得容器成為可能的技術(shù)，那么現(xiàn)在我們來(lái)看一看它們最重要的特性有什么。

輕量級(jí)虛擬化

與使用虛擬機(jī)的硬件虛擬化相比，容器顯得更為輕便。首先，容器使用主機(jī)系統(tǒng)的內(nèi)核并在該操作系統(tǒng)中作為分區(qū)進(jìn)程運(yùn)行，而不是虛擬化所有硬件資源并在該環(huán)境中運(yùn)行完全獨(dú)立的操作系統(tǒng)。

其次，從主機(jī)的角度出發(fā)，容器像其他進(jìn)程一樣運(yùn)行，這意味著它們可以迅速啟動(dòng)和停止并且可以使用受限制的資源。此外，容器不僅可以查看和訪(fǎng)問(wèn)主機(jī)的進(jìn)程空間和資源子集，而且還能夠在大多數(shù)情況下，可以表現(xiàn)得像一個(gè)完全獨(dú)立的操作系統(tǒng)。

容器鏡像本身也可以非常小。最小的鏡像能夠使依賴(lài)于拉取最新鏡像的工作流不會(huì)出現(xiàn)顯著延遲。這是許多容錯(cuò)，自我修復(fù)的分布式系統(tǒng)的要求。

環(huán)境隔離

通過(guò)使用cgroups以及命名空間等Linux內(nèi)核功能，容器可以與主機(jī)環(huán)境彼此隔離。這提供了一定程度的功能限制，以防止容器環(huán)境互相干擾。

雖然不夠強(qiáng)大，不足以被視為完全安全沙箱，但這種隔離確實(shí)具有優(yōu)勢(shì)。由于主機(jī)和每個(gè)容器將軟件保存在單獨(dú)的文件系統(tǒng)中，因此更容易避免依賴(lài)性和庫(kù)沖突。網(wǎng)絡(luò)環(huán)境可以分離，因此容器內(nèi)的應(yīng)用程序可以綁定到其本機(jī)端口，而無(wú)需擔(dān)心主機(jī)系統(tǒng)中或其他容器中的軟件會(huì)產(chǎn)生沖突。然后，管理員可以根據(jù)需要選擇如何將容器的網(wǎng)絡(luò)映射到主機(jī)網(wǎng)絡(luò)中。

標(biāo)準(zhǔn)化打包格式和運(yùn)行時(shí)目標(biāo)

容器最引人注目的其中一個(gè)優(yōu)勢(shì)是它可以統(tǒng)一和簡(jiǎn)化打包和部署軟件的流程。容器鏡像可以讓您綁定應(yīng)用程序和所有的運(yùn)行時(shí)需求到可跨多個(gè)基礎(chǔ)架構(gòu)部署的單個(gè)單元中。

在容器內(nèi)部，開(kāi)發(fā)人員可以安裝和使用其應(yīng)用程序所需的任一庫(kù)，而無(wú)需擔(dān)心干擾主機(jī)系統(tǒng)庫(kù)。當(dāng)鏡像創(chuàng)建時(shí)，依賴(lài)項(xiàng)是版本鎖定的。容器運(yùn)行時(shí)可以充當(dāng)一個(gè)標(biāo)準(zhǔn)、穩(wěn)定的部署平臺(tái)，因此開(kāi)發(fā)人員無(wú)需了解容器在哪個(gè)特定的機(jī)器上運(yùn)行。只要容器運(yùn)行時(shí)可操作且有足夠的系統(tǒng)資源可用，容器就會(huì)像在開(kāi)發(fā)環(huán)境中那樣運(yùn)行。

同樣的，從運(yùn)維的角度來(lái)看，容器化使部署環(huán)境的需求標(biāo)準(zhǔn)化了。管理員可以專(zhuān)注于維護(hù)充當(dāng)容器平臺(tái)的通用主機(jī)，并分配這些計(jì)算機(jī)可以訪(fǎng)問(wèn)的資源池，而不是基于應(yīng)用程序的語(yǔ)言、運(yùn)行時(shí)和依賴(lài)項(xiàng)來(lái)配置和維護(hù)特定的環(huán)境。綁定容器中的所有特定應(yīng)用程序特性會(huì)在應(yīng)用程序的關(guān)注點(diǎn)與平臺(tái)的關(guān)注點(diǎn)之間創(chuàng)建自然邊界。

可擴(kuò)展性

容器的既定范式可以讓您以一種相對(duì)簡(jiǎn)單的機(jī)制來(lái)擴(kuò)展您的應(yīng)用程序。輕量級(jí)鏡像、快速的啟動(dòng)時(shí)間、創(chuàng)建測(cè)試以及部署“黃金鏡像”以及標(biāo)準(zhǔn)化的運(yùn)行時(shí)環(huán)境這些特性使得構(gòu)建高度擴(kuò)展的系統(tǒng)成為可能。

一個(gè)可擴(kuò)展性的系統(tǒng)是高度依賴(lài)于應(yīng)用程序架構(gòu)和容器鏡像本身是如何構(gòu)建的。與容器范例配合良好的設(shè)計(jì)將會(huì)充分發(fā)揮容器格式的優(yōu)勢(shì)，以實(shí)現(xiàn)速度、可用性和可管理性的良好平衡。面向服務(wù)的架構(gòu)，特別是微服務(wù)，在容器化環(huán)境中非常流行，因?yàn)閷?yīng)用程序分解為具有集中目的的離散組件使得開(kāi)發(fā)，擴(kuò)展和更新更加簡(jiǎn)單。

容器專(zhuān)用術(shù)語(yǔ)

在我們結(jié)束之前，讓我們回顧一下我們?cè)诒疚闹薪榻B的一些關(guān)鍵術(shù)語(yǔ)，以及您在繼續(xù)學(xué)習(xí)時(shí)可能遇到的一些新術(shù)語(yǔ)。

• 容器： 在Linux系統(tǒng)中，容器是一個(gè)操作系統(tǒng)虛擬化技術(shù)，來(lái)打包應(yīng)用程序及它們的依賴(lài)項(xiàng)并在獨(dú)立的環(huán)境中運(yùn)行它們。
• 容器鏡像： 容器鏡像是靜態(tài)文件，其定義文件系統(tǒng)以及特定容器配置的行為。它還可以作為創(chuàng)建容器的模板。
• 容器編排： 容器編排用于描述跨多個(gè)主機(jī)管理容器隊(duì)列所需的進(jìn)程和工具。它通常使用容器平臺(tái)控制擴(kuò)展、容錯(cuò)、資源分配和調(diào)度。
• 容器運(yùn)行時(shí)： 容器運(yùn)行時(shí)是在一臺(tái)主機(jī)上運(yùn)行和管理容器的組件。其最基本的要求通常是能夠從給定的鏡像中配置容器，但許多運(yùn)行時(shí)還綁定了其他功能，如進(jìn)程管理、監(jiān)控和鏡像管理。Docker內(nèi)在docker命令中包含了一個(gè)容器運(yùn)行時(shí)，但還有許多其他可用于不同用例的替代方案。
• Docker： Docker是第一個(gè)成功推廣Linux容器概念的技術(shù)。其中，Docker的工具生態(tài)系統(tǒng)包括docker，一個(gè)帶有大量容器的容器運(yùn)行時(shí)以及鏡像管理特性，docker-compose，一個(gè)定義和運(yùn)行多容器應(yīng)用程序的系統(tǒng)，以及Docker Hub，容器鏡像倉(cāng)庫(kù)。
• Dockerfile： Dockerfile是一個(gè)用于描述如何構(gòu)建一個(gè)容器鏡像的文本文件。它定義了基本的鏡像，在系統(tǒng)內(nèi)運(yùn)行的命令以及在容器內(nèi)運(yùn)行時(shí)啟動(dòng)和管理進(jìn)程的方式。雖然Dockerfile并非唯一的選項(xiàng)，但它是最常用的定義容器鏡像的格式，即使不使用Docker鏡像的構(gòu)建功能。
• Kata Containers： Kata Container是一種使用模型，工作流和工具來(lái)管理輕量級(jí)虛擬機(jī)的方法，它復(fù)制了容器的使用體驗(yàn)。Kata Container尋求獲得容器的好處，同時(shí)提供更強(qiáng)大的隔離和安全性。
• Kubernetes： Kubernetes是一個(gè)功能強(qiáng)大的容器編排平臺(tái)，它可以管理容器主機(jī)的集群以及運(yùn)行在上面的工作負(fù)載。Kubernetes提供工具和抽象化，以在高可用生產(chǎn)環(huán)境中部署、擴(kuò)展、監(jiān)控和管理容器。
• Linux cgroups： Linux cgroups，或稱(chēng)控制組，是綁定了進(jìn)程的內(nèi)核功能，并且可以決定它們對(duì)資源的訪(fǎng)問(wèn)權(quán)限。Linux中的容器是使用cgroups實(shí)現(xiàn)的，可以方便管理資源和單獨(dú)的進(jìn)程。
• Linux命名空間： Linux命名空間用于將進(jìn)程或cgroup的可見(jiàn)性限制為余下系統(tǒng)的一種內(nèi)核功能。在Linux的容器使用命名空間來(lái)幫助隔離工作負(fù)載和來(lái)自運(yùn)行在系統(tǒng)上的其他進(jìn)程的資源。
• LXC： LXC是Linux容器化的一種形式，它早于Docker和其他許多技術(shù)，同時(shí)也依賴(lài)于許多相同的內(nèi)核技術(shù)。相比于Docker，LXC通常虛擬化整個(gè)操作系統(tǒng)而非僅僅運(yùn)行應(yīng)用程序的進(jìn)程，這與虛擬機(jī)更為相似。
• 虛擬機(jī)： 虛擬機(jī)，或VMs，是一種硬件虛擬技術(shù)，它模擬為一整臺(tái)計(jì)算機(jī)。在虛擬機(jī)內(nèi)安裝一個(gè)完整的操作系統(tǒng)可用于管理內(nèi)部組件和訪(fǎng)問(wèn)虛擬機(jī)的計(jì)算資源。
• 虛擬化： 虛擬化是一個(gè)創(chuàng)建、運(yùn)行以及管理虛擬環(huán)境或者計(jì)算機(jī)資源的過(guò)程。虛擬化是一種抽象物理資源的方式，并且常用于以不同目的分割資源池。

總 結(jié)

容器并非魔彈，但它們的確具備一些優(yōu)于在裸機(jī)上運(yùn)行軟件或使用其他虛擬化技術(shù)的優(yōu)勢(shì)。通過(guò)提供輕量級(jí)、功能性隔離和開(kāi)發(fā)豐富的工具生態(tài)系統(tǒng)來(lái)幫助管理復(fù)雜性，為容器在開(kāi)發(fā)期間和整個(gè)運(yùn)維生命周期中提供了極大的靈活性和可控性。