Docker镜像分层

假如你拥有100平米的房子（服务器），由于你（PHP应用）需要吃喝拉撒睡，所以整个房子分隔出卧室、厨房、卫生间等，供你一个人使用。其实挺浪费的，因为一个人并不真正需要100平米那么大，可能真正只需要20平就可以了。

image.png

后来，又来了一个人（Java应用）也被安排到这个房子里生活，同样需要吃喝拉撒睡，所以你们挤在一个床上，共用一个卫生间（如HTTP服务器）。如果你的生活习惯改变了（如修改HTTP服务配置），此时会直接影响别人的生活。

再后来，又来了一个人（Node应用）。此时，房东发现房子不够大需要搬家（数据迁移、服务器升级）到另一个150平的房子，但搬家成本很高，由于户型不同（系统版本、环境等）又需要装修等等，此时还要把住户（应用代码）搬过来，同时需要把住户的习惯都带来，简直麻烦死了。

这个时候，房东了解到一个叫做Docker的产品，Docker是一个可以自由伸缩的集装箱房间。集装箱房虽小但五脏俱全，可以满足一切用户需求，并支持高度自定义。比如Node住户不需要厨房，那么他的集装箱房就小一点儿，当然房租（服务器消耗）也便宜些。

集装箱房

房东使用Docker产品后发现租房这个事情变简单了：

• 房东不需要划分卫生间、厨房、卧室并进行装修了，一切由租户自己定制集装箱，房东只需要将集装箱放到房子中可见。
• 租户再也不需要打架了，以前一起付房租（消耗服务器资源），现在按照自己集装箱大小付费，而且你可以在你的集装箱里随便折腾，爱怎么配置就这么配置，也不会影响到别人。
• 集装箱对于空间的使用更加直观，房东可以更加轻松的了解到当前房间的使用率等，以便升级房间。
• 房东搬到新家时只要将一面墙炸开，将里面一个个集装箱直接移动过去就好了，什么也不需要配置，都在集装箱里面。

Docker 文件系统

Linux系统包含内核空间kernal和用户空间rootfs两部分，Docker容器只使用各自的rootfs但共用主机host的内核kernal，这样就产生了镜像结构分层。

rootfs是Docker容器在启动时内部进程可见的文件系统，也就是Docker容器的根目录。rootfs包含一个操作系统运行所需的文件系统。例如：可能包含典型类UNIX系统中的目录系统/dev/、/proc、/bin、/etc、/usr、/tmp...及运行Docker容器所需的配置文件、工具等。

rootfs

在传统Linux内核启动时，首先会挂载一个只读的rootfs，当系统检测其完整性之后，再将其切换为读写模式。而在Docker架构中，当docker daemon为Docker容器改在rootfs时，会沿用Linux内核启动时的做法，也就是将rootfs设置为只读模式。当挂载完毕后，利用联合挂载union mount技术在已有的只读rootfs上再挂载一个读写层。这样，可读写的层处于Docker容器文件系统的最顶层，其下可能联合挂载了多个只读的层，只有在Docker容器运行过程中文件系统发生变化时，才会把变化的文件内容写到可读写层，并隐藏只读层中的旧版本文件。

由于所有Docker容器都共用host主机的kernal内核，所以在容器中是不能对Linux内核kernal进行升级的。

所有Docker容器都共用host主机的kernal内核

Docker支持通过扩展现有镜像来创建新的镜像，实际上Docker Hub中99%的镜像都是通过在Base镜像中安装和配置需要的软件构建出来的。

Docker支持通过扩展现有镜像来创建新的镜像

一个Docker镜像Images由多个可读的镜像层Read Layer，然后运行的容器会在这个Docker的镜像上多加一层可写的容器层Read-Write Layer，任何对文件的更改都只存在于此容器层，因此任何对容器的操作均不会影响到镜像。

Docker分层结构

容器是如何获取镜像层文件而又不影响镜像层的呢？

Docker中如果需要获取某个文件，容器层会从上到下去下一层的镜像层中去获取文件，如果该层文件不存在，那么就会去下一层镜像中寻找，直到最后一层。对于用户而言，用户面对的是一个叠加后的文件系统。

任何对于文件的操作都会记录在容器层，例如：修改文件时容器层会把在镜像层找到的文件拷贝到容器层然后进行修改，删除文件时则会在容器层内记录删除文件的条目。

容器层会从上到下去下一层的镜像层中去获取文件

当容器启动时，一个新的可写层writable被加载到镜像的顶部，这一层通常被称为容器层container，容器层之下的都叫做镜像层。

典型的Linux在启动后，会将rootfs置为只读readonly并进行一些列检查，然后将其切换为可读写readwrite供用户使用。在Docker中起初也是将rootfs以只读的readonly的方式加载并检查，然后接下来利用union mount联合挂载将一个readwrite文件系统挂载在readonly的rootfs之上，并且允许再次将下层的文件系统设定为只读readonly，并向上叠加。这样一组只读readonly和一个可写writeable的结果就构成了一个容器container的运行目录，每个镜像被称为一层layer。

Docker分层结构

Docker镜像为什么要采用分层结果呢？

• 每个软件都是基于某个镜像去运行的，因此一旦某个底层环境出现问题，就不需要去修改全部基于该镜像的软件的镜像，只需要修改底层环境的镜像。
• 共享资源，其它相同环境的软件镜像都共同去享用同一个环境镜像，而不需要每个软件镜像要去创建一个底层环境。