docker の 2 つのコアテクノロジとは何ですか?-Docker-php.cn

2 つのコアテクノロジ: 1. グローバルシステムリソースの一種のカプセル化と分離である「Linux ネームスペース」により、異なるネームスペース内のプロセスが独立したグローバルシステムリソースを持つことができます。2. 「コントロールグループ」。ホストマシン上の物理リソースを分離し、リソースクォータと測定を実装できます。

docker の 2 つのコアテクノロジとは何ですか?

このチュートリアルの動作環境: linux5.9.8 システム、docker-1.13.1 バージョン、Dell G3 コンピューター。

Docker は、Go 言語に基づいたクラウドオープンソースプロジェクトです。

Docker は仮想化テクノロジーを使用して、一貫した開発環境、テスト環境、本番環境の問題を解決し、アプリとその実行環境が「どこでも、あらゆるアプリを構築、出荷、実行する」という目的を達成できるようにします。継続的な統合を促進し、全体的なリリースと拡張を促進するコンテナ仮想化テクノロジー。

Docker の 2 つのコアテクノロジー: 名前空間とコントローラーグループ。

1. 分離: Linux 名前空間 (ns)

Linux 名前空間は、グローバルシステムリソースの一種のカプセル化と分離です。これにより、異なる名前空間のプロセスが独立したグローバルシステムリソースを持つことが可能になります。ある名前空間のシステムリソースを変更すると、現在の名前空間のプロセスにのみ影響し、他の名前空間のプロセスには影響しません。これらのリソースには、プロセスツリー、ネットワークインターフェイス、マウントポイント、プロセス間通信、その他のリソースが含まれます。同じ名前空間内のプロセスは、互いの変更を感知できますが、外部プロセスについては何も知りません。これにより、コンテナ内のプロセスに独立したシステム内にあるような錯覚を与え、分離の目的を達成できます。

各ユーザーインスタンスは相互に分離されており、相互に影響を与えません。一般的なハードウェア仮想化方式で与えられる方式がVMであるのに対し、LXCで与えられる方式はコンテナ、より具体的にはカーネル名前空間です。このうち、pid、net、ipc、mnt、uts、userおよびその他の名前空間コンテナのプロセス、ネットワーク、メッセージ、ファイルシステム、UTS (「UNIX タイムシェアリングシステム」)、およびユーザー空間を分離します。

1)、pid 名前空間

異なるユーザーのプロセスは pid 名前空間によって分離され、異なる名前空間は同じ pid を持つことができます。 docker 内のすべての LXC プロセスの親プロセスは docker プロセスであり、各 lxc プロセスは異なる名前空間を持ちます。同時に、ネストが許可されているため、Docker in Docker を簡単に実装できます。

2)、ネット名前空間

pid 名前空間を使用すると、各名前空間の pid を相互に分離できますが、ネットワークポートは依然としてホストポートを共有します。ネットワークの分離はネットネームスペースによって実現され、各ネットネームスペースには独立したネットワークデバイス、IP アドレス、IP ルーティングテーブル、および /proc/net ディレクトリがあります。このようにして、各コンテナのネットワークを分離できます。デフォルトでは、docker は veth を使用して、コンテナー内の仮想ネットワークカードをホスト上の docker ブリッジ docker0 に接続します。

3)、ipc 名前空間でのプロセス対話

コンテナは引き続き、共通のセマフォやメッセージキューを含む、一般的な Linux プロセス間対話方法 (プロセス間通信 - IPC) を使用します。そして共有メモリ。ただし、VM とは異なり、コンテナーのプロセス間対話は、実際にはホスト上の同じ pid 名前空間とのプロセス間対話であるため、IPC リソースを申請するときに名前空間情報を追加する必要があります。各 IPC リソースには一意の 32 -ビットID。

4)、mnt 名前空間

は chroot に似ており、プロセスを特定のディレクトリに配置して実行します。 mnt 名前空間を使用すると、異なる名前空間のプロセスが異なるファイル構造を参照できるようになり、各名前空間のプロセスが参照するファイルディレクトリが分離されます。 chroot とは異なり、各名前空間のコンテナーの /proc/mounts 内の情報には、名前空間のマウントポイントのみが含まれます。

5)、uts 名前空間

UTS("UNIX Time-sharing System") 名前空間により、各コンテナが独立したホスト名とドメイン名を持つことができるため、信頼性が高まります。ネットワーク上のプロセスは、ホスト上のプロセスではなく、独立したノードとみなすことができます。

6)、ユーザー名前空間

各コンテナーは異なるユーザー ID とグループ ID を持つことができます。つまり、コンテナー内のユーザーを使用してプログラムを実行できます。コンテナ内ユーザーはホスト上にいません。

2. リソース制限: コントロールグループ (cgroups)

ネームスペースは、新しく作成されたプロセスのファイルシステム、ネットワーク、およびホストを分離します。マシン間は互いに分離されていますが、名前空間は物理的なリソースの分離を提供できません。ただし、互いのことやホストマシンについて何も知らない複数のコンテナを同じマシン上で実行すると、これらのコンテナはホストマシンの物理リソースを共同で占有します。

コントロールグループ (略して CGroups) は、CPU、メモリ、ディスク I/O、ネットワーク帯域幅などのホストマシン上の物理リソースを分離できます。各 CGroup は、同じ標準とパラメータによって制限されたプロセスのグループです。異なる CGroup の間には階層関係があり、リソースの使用を制限するための標準とパラメータを親クラスから継承できます。

cgroups は、リソースのクォータと測定を実装します。 cgroups の使用は非常に簡単です。ファイルのようなインターフェイスを提供します。/cgroup ディレクトリに新しいフォルダーを作成して、新しいグループを作成します。このフォルダーに新しいタスクファイルを作成し、そのファイルに pid を書き込み、プロセスを実現します。 . リソース制御。グループは、blkio、cpu、cpuacct、cpuset、devices、freezer、memory、net_cls、ns の 9 つのサブシステムのリソースを制限できます。各サブシステムの詳細は次のとおりです: