摘要：分別進(jìn)行配置和測(cè)試。也就是說對(duì)于開發(fā)和部署來說，使用可以更快速的交付和部署應(yīng)用環(huán)境。更便捷的應(yīng)用更新管理。使用鏡像創(chuàng)建并啟動(dòng)一個(gè)容器。執(zhí)行用戶指定的應(yīng)用程序。執(zhí)行完畢后，容器被終止。

Docker是為應(yīng)用的開發(fā)和部署提供的“一站式”容器解決方案，它能幫助開發(fā)者高效快速的構(gòu)建應(yīng)用，實(shí)現(xiàn)“Build，Ship and Run Any App, Anywhere”，從而達(dá)到“一次構(gòu)建，到處運(yùn)行”的目的。

Docker項(xiàng)目的發(fā)起人Solomon Hykes認(rèn)為：

Docker在正確的地點(diǎn)，正確的時(shí)間順應(yīng)了正確的趨勢(shì)－－即高效地構(gòu)建應(yīng)用。

隨著各種云平臺(tái)的興起，開發(fā)者或者應(yīng)用部署者有一種迫切的想要將應(yīng)用從底層機(jī)器環(huán)境中脫離的需求，并且還需要讓同一個(gè)應(yīng)用在“任何時(shí)間任何地點(diǎn)”可以方便地被獲取。

傳統(tǒng)的方式中，在服務(wù)器中搭建一個(gè)常見的LAMP（Linux＋Apache＋Mysql＋PHP）網(wǎng)站的步驟：

下載安裝Apache，Mysql和PHP以及其它的相關(guān)依賴環(huán)境。

分別進(jìn)行配置和測(cè)試。

整合到一起進(jìn)行功能測(cè)試。

這種方式操作枯燥繁瑣，將不同的軟件集成起來的過程中有很多不可控的風(fēng)險(xiǎn)，最無法忍受的是，一旦需要重新遷移服務(wù)器或者重新部署一套環(huán)境，這樣的瑣碎和無趣的“體力活”還將重新執(zhí)行一遍。

針對(duì)這個(gè)問題，以前我們通常用虛擬機(jī)集成部署好一套環(huán)境，然后做成一個(gè)虛擬機(jī)模版來解決。不過這種方式有資源利用率低，靈活性差和遷移平臺(tái)限制等問題。例如，我們想要的僅僅是一個(gè)LAMP環(huán)境，但是用這種方式卻必須集成打包一個(gè)完整的操作系統(tǒng)（每個(gè)虛擬機(jī)需要多帶帶分配獨(dú)占的內(nèi)存,磁盤等資源）。此外，這樣打包后的一套LAMP環(huán)境中，軟件之間版本依賴性強(qiáng)，很難進(jìn)行變更更新。最后，通常這樣的虛擬機(jī)還需要綁定特定的虛擬化管理程序來管理，這樣對(duì)于遷移的平臺(tái)就有了限制。

如今，Docker通過對(duì)Linux容器技術(shù)LXC（Linux Containers）等進(jìn)一步優(yōu)化，提供了各種容器管理工具，通過容器來管理應(yīng)用，這樣便可以達(dá)到"build once, works everywhere"的目的。也就是說對(duì)于開發(fā)和部署來說，使用Docker可以：

更快速的交付和部署應(yīng)用環(huán)境。

更高效的資源利用率。

更便捷的遷移和擴(kuò)展性。

更便捷的應(yīng)用更新管理。

Docker和虛擬機(jī)都是基于軟件的平臺(tái)虛擬化技術(shù)，其中：

虛擬機(jī)屬于完全虛擬化，即模擬完整的底層硬件環(huán)境特權(quán)指令的執(zhí)行，客戶操作系統(tǒng)無需進(jìn)行修改。比如我們常用的VirtualBox，VMWare Workstation和Parallels Desktop等虛擬化軟件。

Docker和其它容器技術(shù)便是操作系統(tǒng)級(jí)虛擬化，即直接通過內(nèi)核創(chuàng)建虛擬的操作系統(tǒng)實(shí)例（內(nèi)核和庫），來隔離不同的進(jìn)程和資源。

也就是說，Docker容器不需要額外的虛擬機(jī)管理軟件和虛擬機(jī)操作系統(tǒng)層，直接在宿主機(jī)操作系統(tǒng)層面上實(shí)現(xiàn)虛擬化，從而達(dá)到輕量級(jí)，高效的目的。如下圖所示(源自what-docker)，左側(cè)是傳統(tǒng)的虛擬化方式，右側(cè)是Docker虛擬化的方式。很顯然，Docker的虛擬化方式?jīng)]有了虛擬機(jī)管理程序Hypervisor和虛擬機(jī)操作系統(tǒng)Guest OS層，取而代之的是Docker Engine容器支持層。

Docker中不仔需要為不同的應(yīng)用啟動(dòng)相應(yīng)的虛擬機(jī)了，直接在Docker容器中運(yùn)行應(yīng)用，并不需要消耗額外的系統(tǒng)的資源。因此，Docker的啟動(dòng)速度很快，通?？梢赃_(dá)到秒級(jí)，而傳統(tǒng)的虛擬機(jī)基本是分鐘級(jí)。

關(guān)于Docker中使用的容器技術(shù)和虛擬機(jī)性能的比較，IBM的一份研究報(bào)告An Updated Performance Comparison of Virtual Machines and Linux Containers.中通過試驗(yàn)得出結(jié)論表示，通常情況下，Docker容器技術(shù)的性能等同或超出使用KVM的性能。當(dāng)然，在CPU和內(nèi)存性能方面，KVM和Docker一樣都有明顯的但可忽略不計(jì)的開銷。同時(shí)，對(duì)于I/O密集型的應(yīng)用，Docker和KVM也都需要進(jìn)行調(diào)整來減少開銷帶來的影響。

在隔離性方面，傳統(tǒng)虛擬機(jī)使用的是完全隔離，而Docker利用的是Linux系統(tǒng)的多種安全防護(hù)機(jī)制，從這個(gè)角度來看，傳統(tǒng)虛擬機(jī)比Docker多一層額外的隔離。當(dāng)然，這并不意味著，Docker就不安全，Docker使用了多種機(jī)制如安全選項(xiàng)和鏡像簽名機(jī)制等來保障使用Docker的安全性（Docker Doc:Introduction to Container Security。

接下來, 我們通過源自官網(wǎng)的Docker Architecture圖，來詳細(xì)闡述說明Docker的核心概念，其中主要構(gòu)成：

Docker Client是Docker的主要的用戶管理接口，也就是docker命令行管理界面，用戶與Docker Client打交道，通過它與Docker Daemon守護(hù)進(jìn)程進(jìn)行交互，進(jìn)而管理Docker中的Containers容器。

Docker Daemon是運(yùn)行在主機(jī)上的一個(gè)守護(hù)進(jìn)程。其中Docker Client和Docker Daemon可以運(yùn)行在同一個(gè)主機(jī)中，也可以通過Docker Client連接遠(yuǎn)程主機(jī)的Docker daemon。

Registry是注冊(cè)服務(wù)器，注冊(cè)服務(wù)器是存放倉庫（Repository）的具體服務(wù)器。

此外，Docker的核心概念中還包括鏡像(Images),容器(Container)和倉庫(Repository)，其中：

Docker鏡像(Images)可以類比傳統(tǒng)的虛擬機(jī)中的模版，我們可以簡(jiǎn)單將其理解成一個(gè)面向Docker Engine且包含文件系統(tǒng)的只讀模版。

Docker容器（Containers），容器Containers相當(dāng)于鏡像Images的一個(gè)運(yùn)行實(shí)例。鏡像本身是只讀且保存不變的，容器在啟動(dòng)鏡像時(shí)，Docker會(huì)在鏡像的最上層創(chuàng)建一個(gè)可寫文件層。因此，也可以看出，容器才是直接提供一個(gè)或一組應(yīng)用服務(wù)，以及它們的必需運(yùn)行環(huán)境的組件。

Docker倉庫(Repository)，是集中存放鏡像的地方，我們可以把它看成是一組鏡像的集合或者一個(gè)具體的項(xiàng)目，因?yàn)橥ǔＲ粋€(gè)完整的應(yīng)用是由很多鏡像堆積而成的。如下圖所示，便是官網(wǎng)公共庫https://hub.docker.com 中的repostitories列表，很顯然一個(gè)repository相當(dāng)于一個(gè)完整的項(xiàng)目。

接下來, 我們還是通過源自官網(wǎng)的Docker Architecture圖，使用docker run ubuntu /bin/echo "Hello world"命令為例子，來闡述一個(gè)Docker容器運(yùn)行的整體過程。

當(dāng)我們使用docker run運(yùn)行下載自官網(wǎng)的ubuntu repository（其實(shí)也就是ubuntu鏡像）時(shí)，Docker在后臺(tái)運(yùn)行的一整套標(biāo)準(zhǔn)操作包括：

docker daemon檢查本地是否存在ubuntu鏡像，不存在就從公有Registry倉庫中下載。

使用ubuntu鏡像創(chuàng)建并啟動(dòng)一個(gè)容器。

分配一個(gè)文件系統(tǒng)，并在只讀的鏡像層外面掛載一層可讀寫層。

從宿主主機(jī)配置的網(wǎng)橋接口中橋接一個(gè)虛擬接口到容器中去。

從地址池配置一個(gè) ip 地址給容器。

執(zhí)行用戶指定的應(yīng)用程序/bin/echo "Hello world"。

執(zhí)行完畢后，容器被終止。

[1] Docker White Paper: Intro to Container Security

[2] 楊保華, 戴王劍，曹亞侖.(2015).Docker技術(shù)入門與實(shí)戰(zhàn).機(jī)械工業(yè)出版社.

[3] Wes Felter, Alexandre Ferreira, Ram Rajamony, Juan Rubio.(2014).IBM Research Report:An Updated Performance Comparison of Virtual Machines and Linux Containers.

[4] Docker Doc:Introduction to Container Security

[5] IBM developerWorks——LXC：Linux 容器工具

[6] Docker Architecture