隔离操作系统：容器虚拟化

对于大部分的开发团队来说，直接开发基于虚拟机的自动化工具不是一件容易的事，并且他从使用成本上来说比较高。这时候我们就需要一些更轻量级的工具容器——它可

以提供轻量级的虚拟化，以便隔离进程和资源，而且不需要提供指令解释机制以及全虚拟化的其他复杂性。并且，它从启动速度上来说更快。

LXC在介绍Docker之前，我们还是稍微提一下LXC。因为在过去我有一些使用LXC 的经历，让我觉得 LXC 很赞。

LXC，其名称来自 Linux 软件容器（Linux Containers）的缩写，一种操作系统层虚拟化（Operating system–level virtualization）技术，为 Linux 内

核容器功能的一个用户空间接又。它将应用软件系统打包成一个软件容器（Container），内含应用软件本身的代码，以及所需要的操作系统核心和库。

通过统一的名字空间和共用API来分配不同软件容器的可用硬件资源，创造出应用程序的独立沙箱运行环境，使得 Linux 用户可以容易的创建和管理系

统或应用容器。

我们可以将之以上面说到的虚拟机作一个简单的对比，其架构图如下所示：

我们会发现虚拟机中多了一层 Hypervisor——运行在物理服务器和操作系统之间，它可以让多个操作系统和应用共享一套基础物理硬件。这一层级可以协调访问服务器上

的所有物理设备和虚拟机，然而由于这一层级的存在，它也将消耗更多的能量。据爱立信研究院和阿尔托大学发表的论文表示：Docker、LXC 与 Xen、KVM 在完成相同的工

作时要少消耗 10% 的能耗。

LXC 主要是利用 cgroups 与 namespace 的功能，来向提供应用软件一个独立的操作系统运行环境。cgroups（即 Control Groups）j Linux 内核提供的一种可以限制、记

录、隔离进程组所使用的物理资源的机制。而由 namespace 来责任隔离控制。

与虚拟机相比，LXC 隔离性方面有所不足，这就意味着在实现可移植部署会遇到一些困难。这时候，我们就需要 Docker 来提供一个抽象层，并提供一个管理机制。

Docker

Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以

实现虚拟化。Docker 可以自动化打包和部署任何应用、创建一个轻量级私有 PaaS 云、搭建开发测试环境、部署可扩展的 Web 应用等。

图 55: LXC vs VM

构建出Docker的Container是一个很有意思的过程。在这一个过程中，首先我们需要一个base images，这个基础镜像不仅包含了一个基础系统，如Ubuntu、Debian。他

还包含了一系列的模块，如初始化进程、SSH 服务、syslog-ng 等等的一些工具。由上面原内容构建了一个基础镜像，随后的修改都将于这个镜像，我们可以用它生成新的镜

像，一层层的往上叠加。而用户的进程运行在 writeable 的 layer 中。

从上图中我们还可以发现一点：Docker 容器是建立在 Aufs 基础上的。AUFS 是一种Union File System，它可以不同的目录挂载到同一个虚拟文件系统下。它的目的就是

为了实现上图的增量递增的过程，同时又不会影响原有的目录。即如下的流程如下：

其增量的过程和我们使用 Git 的过程中有点像，除了在最开始的时候会有一个镜像层。随后我们的修改都可以保存下来，并且当下次我们提交修改的时候，我们也可以在

旧有的提交上运行。

因此，Docker 与 LXC 的差距就如下如图所示：

LXC 时每个虚拟机只能是一个虚拟机，而 Docker 则是一系列的虚拟机。

图 56: Docker Container

图 57: AUFS 层