容器的核心技术是Cgroup+Namespace。
容器=cgroup+namespace+rootfs+容器引擎
-Cgroup:资源控制
-namespace:访问隔离
-rootfs:文件系统隔离。镜像的本质就是一个rootfs文件
-容器引擎:生命周期控制
一、Cgroup
Cgroup是Controlgroup的简称,是Linux内核提供的一个特性,用于限制和隔离一组进程对系统资源的使用。对不同资源的具体管理是由各个子系统分工完成的。
在Cgroup出现之前,只能对一个进程做资源限制,如ulimit限制一个进程的打开文件上限、栈大小。而Cgroup可以对进程进行任意分组,如何分组由用户自定义。
子系统介绍
cpuset子系统
cpuset可以为一组进程分配指定的CPU和内存节点。cpuset一开始用在高性能计算上,在NUMA(non-uniformmemoryaccess)架构的服务器上,通过将进程绑定到固定的CPU和内存节点上,来避免进程在运行时因跨节点内存访问而导致的性能下降。
cpuset的主要接口如下:
-cpuset.cpus:允许进程使用的CPU列表
-cpuset.mems:允许进程使用的内存节点列表
cpu子系统
cpu子系统用于限制进程的CPU利用率。具体支持三个功能:
第一,CPU比重分配。使用cpu.shares接口
第二,CPU带宽限制。使用cpu.cfs_period_us和cpu.cfs_quota_us接口
第三,实时进程的CPU带宽限制。使用cpu_rt_period_us和cpu_rt_quota_us接口
cpuacct子系统
统计各个Cgroup的CPU使用情况,有如下接口:
-cpuacct.stat:报告这个Cgroup在用户态和内核态消耗的CPU时间,单位是赫兹
-cpuacct.usage:报告该Cgroup消耗的总CPU时间
-cpuacct.usage_percpu:报告该Cgroup在每个CPU上的消耗时间
memory子系统
限制Cgroup所能使用的内存上限。
-memory.limit_in_bytes:设定内存上限,单位字节,默认情况下,如果使用的内存超过上限,Linux内核会试图回收内存,如果这样仍无法将内存降到限制的范围内,就会触发OOM,选择杀死该Cgroup中的某个进程
-memory.memsw,limit_in_bytes:设定内存加上交换内存区的总量
-memory.oom_control:如果设置为0,那么内存超过上限时,不会杀死进程,而是阻塞等待进程释放内存;同时系统会向用户态发送事件通知
-memory.stat:报告内存使用信息。
blkio
限制Cgroup对阻塞IO的使用。
-blkio.weight:设置权值,范围在[100,1000],属于比重分配,不是绝对带宽,因此只有当不同Cgroup争用同一个阻塞设备时才起作用
-blkio.weight_device:对具体设备设置权值,它会覆盖上面的选项值
-blkio.throttle.read_bps_device:对具体的设备,设置每秒读磁盘的带宽上限
-blkio.throttle.write_bps_device:对具体的设备,设置每秒写磁盘的带宽上限
-blkio.throttle.read_iops_device:对具体的设备,设置每秒读磁盘的IOPS带宽上限
-blkio.throttle.write_iops_device:对具体的设备,设置每秒写磁盘的IOPS带宽上限
devices子系统
控制Cgroup的进程对哪些设备有访问权限。
-devices.list:只读文件,显示目前允许被访问的设备列表,文件格式为类型[a|b|c]设备号[major:minor]权限[r/w/m的组合],a/b/c表示所有设备、块设备和字符设备
-devices.allow:只写文件,以上述格式描述允许相应设备的访问列表
-devices.deny:只写文件,以上述格式描述禁止相应设备的访问列表
二、Namespace
Namespace是将内核的全局资源做封装,使得每个namespace都有一份独立的资源,因此不同的进程在各自的namespace内对同一种资源的使用互不干扰。
举个例子,执行sethostname这个系统调用会改变主机名,这个主机名就是全局资源,内核通过UTSNamespace可以将不同的进程分隔在不同的UTSNamespace中,在某个Namespace修改主机名时,另一个Namespace的主机名保持不变。
目前,Linux内核实现了6种Namespace。
与命名空间相关的三个系统调用:
clone创建全新的Namespace,由clone创建的新进程就位于这个新的namespace里。创建时传入flags参数,可选值有CLONE_NEWIPC,CLONE_NEWNET,CLONE_NEWNS,CLONE_NEWPID,CLONE_NEWUTS,CLONE_NEWUSER,分别对应上面六种namespace。
unshare为已有进程创建新的namespace。
setns把某个进程放在已有的某个namespace里
6种命名空间
UTSnamespace
UTSnamespace对主机名和域名进行隔离。为什么要隔离主机名?因为主机名可以代替IP来访问。如果不隔离,同名访问会出冲突。
IPCnamespace
Linux提供很多种进程通信机制,IPCnamespace针对SystemV和POSIX消息队列,这些IPC机制会使用标识符来区别不同的消息队列,然后两个进程通过标识符找到对应的消息队列。
IPCnamespace使得相同的标识符在两个namespace代表不同的消息队列,因此两个namespace中的进程不能通过IPC来通信。
PIDnamespace
隔离进程号,不同namespace的进程可以使用相同的进程号。
当创建一个PIDnamespace时,第一个进程的PID是1,即init进程。它负责回收所有孤儿进程的资源,所有发给init进程的信号都会被屏蔽。
Mountnamespace
隔离文件挂载点,每个进程能看到的文件系统都记录在/proc/$$/mounts里。在一个namespace里挂载、卸载的动作不会影响到其他namespace。
Networknamespace
隔离网络资源。每个namespace都有自己的网络设备、IP、路由表、/proc/net目录、端口号等。网络隔离可以保证独立使用网络资源,比如开发两个web应用可以使用80端口。
新创建的Networknamespace只有loopback一个网络设备,需要手动添加网络设备。
Usernamespace
隔离用户和用户组。它的厉害之处在于,可以让宿主机上的一个普通用户在namespace里成为0号用户,也就是root用户。这样普通用户可以在容器内“随心所欲”,但是影响也仅限在容器内。
最后,回到Docker上,经过上述讨论,namespace和cgroup的使用很灵活,需要注意的地方也很多。Docker通过Libcontainer来做这些脏活累活。用户只需要使用DockerAPI就可以优雅地创建一个容器。dockerexec的底层实现就是上面提过的setns。
三、rootfs
rootfs代表一个Docker容器在启动时(而非运行后)其内部进程可见的文件系统视角,或者叫Docker容器的根目录。
先来看一下,Linux操作系统内核启动时,内核会先挂载一个只读的rootfs,当系统检测其完整性之后,决定是否将其切换到读写模式。
Docker沿用这种思想,不同的是,挂载rootfs完毕之后,没有像Linux那样将容器的文件系统切换到读写模式,而是利用联合挂载技术,在这个只读的rootfs上挂载一个读写的文件系统,挂载后该读写文件系统空空如也。Docker文件系统简单理解为:只读的rootfs+可读写的文件系统。
假设运行了一个Ubuntu镜像,其文件系统简略如下:
在容器中修改用户视角下文件时,Docker借助COW(copy-on-write)机制节省不必要的内存分配。
本文内容不用于商业目的,如涉及知识产权问题,请权利人联系51Testing小编(021-64471599-8017),我们将立即处理