共计 3146 个字符，预计需要花费 8 分钟才能阅读完成。
程序员受苦久矣
多年前的一个夜晚，风雨大作，一个名叫 Docker 的年轻人来到 Linux 帝国拜会帝国的长老。
“Linux 长老，天下程序员苦于利用部署久矣，我要扭转这一现状，心愿长老你能帮帮我”
长老答复：“哦，小小年纪，口气不小，先请入座，你有何所求，愿闻其详”
Docker 坐下后开始娓娓而谈：“当今天下，利用开发、测试、部署，各种库的依赖纷繁复杂，再加上版本之间的差别，经常出现在开发环境运行失常，而到测试环境和线上环境就出问题的景象，程序员们饱受此苦，是时候扭转这一情况了。”
Docker 回头看了一眼长老接着说到：“我想做一个虚构的 容器，让应用程序们运行其中，将它们须要的依赖环境整体打包，以便在不同机器上移植后，依然能提供统一的运行环境，彻底将程序员们解放出来！”
Linux 长老听闻，微微拍板：“年轻人想法不错，不过听你的形容，如同 虚拟机 就能解决这个问题。将利用和所依赖的环境部署到虚拟机中，而后做个快照，间接部署虚拟机不就能够了吗？”
Docker 连连点头说到：“长老有所不知，虚拟机这家伙轻便如牛，体积又大，动不动就是以 G 为单位的大小，因为它外面要运行一个残缺的操作系统，所以跑起来分外吃力，慢就不说了，还十分占资源，一台机器上跑不了几台虚拟机就把性能拖垮了！而我想要做一个 轻量级的虚构容器 ， 只提供一个运行环境，不必运行一个操作系统，所有容器中的零碎内核还是和里面的宿主机共用的，这样就能够批量复制很多个容器，轻便又快捷”
Linux 长老站了起来，来回踱步了几圈，思考片刻之后，突然拍桌子大声说到：“真是个好想法，这个我的项目我投了！”
Docker 眼里见光，喜上眉梢，“这事还真离不开长老的帮忙，要实现我说的指标，对过程的治理隔离都至关重要，还望长老助我一臂之力！”
“你稍等”，Linux 长老转身回到内屋。没多久就进去了，手里拿了些什么货色。
“年轻人，回去之后，只管放手大干，我赐你三个锦囊，若遇难题，可顺次拆开，必有大用”
Docker 开心的收下了三个锦囊，拜别 Linux 长老后，冒雨而归。
锦囊 1：chroot & pivot_root
受到长老的激励，Docker 充斥了干劲，很快就筹备启动他的我的项目。
作为一个容器，首要任务就是限度容器中过程的流动范畴——能拜访的文件系统目录。决不能让容器中的过程去肆意拜访实在的系统目录，得将他们的流动范畴划定到一个指定的区域，不得越雷池半步！
到底该如何限度这些过程的流动区域呢？Docker 遇到了第一个难题。
苦思好久未果，Docker 终于忍不住拆开了 Linux 长老送给本人的第一个锦囊，只见下面写了两个函数的名字：chroot & pivot_root。
Docker 从未应用过这两个函数，于是在 Linux 帝国到处打听它们的作用。起初得悉，通过这两个函数，能够批改过程和零碎的根目录到一个新的地位。Docker 大喜，长老真是诚不欺我！
有了这两个函数，Docker 开始想方法怎么来“伪造”一个文件系统来 坑骗 容器中的过程。
为了不露出破绽，Docker 很聪慧，用操作系统镜像文件挂载到容器过程的 根目录 下，变成容器的rootfs，和实在系统目录截然不同，足能够以假乱真：
$ ls /
bin dev etc home lib lib64 mnt opt proc root run sbin sys tmp usr var 锦囊 2：namespace
文件系统的问题总算解决了，然而 Docker 不敢懈怠，因为在他心里，还有一个大问题始终困扰着他，那就是如何把实在零碎所在的世界暗藏起来，别让容器中的过程看到。
比方过程列表、网络设备、用户列表这些，是决不能让容器中的过程晓得的，得让他们看到的世界是一个洁净如新的零碎。
Docker 心里分明，本人尽管叫容器，但这只是表面现象，容器内的过程其实和本人一样，都是运行在宿主操作系统下面的一个个过程，想要遮住这些过程的眼睛，瞒天过海，切实不是什么容易的事件。
Docker 想过用 HOOK 的形式，坑骗过程，但施行起来工作太过简单，兼容性差，稳定性也得不到保障，思来想去也没想到什么好的主见。
正在束手无策之际，Docker 又想起了 Linux 长老送给本人的锦囊，他连忙拿了进去，关上了第二个锦囊，只见下面写着：namespace。
Docker 还是不解其中之意，于是又在 Linux 帝国到处打听什么是 namespace。
通过一阵推敲，Docker 总算是明确了，原来这个 namespace 是帝国提供的一种机制，通过它能够划定一个个的 命名空间，而后把过程划分到这些命名空间中。
而每个命名空间都是独立存在的，命名空间外面的过程都无奈看到空间之外的过程、用户、网络等等信息。
这不正是 Docker 想要的吗？真是踏破铁鞋无觅处，得来全不费功夫！
Docker 连忙加班加点，用上了这个 namespace，将过程的“视线”锁定在容器规定的范畴内，如此一来，容器内的过程彷佛被施上了 障眼法，再也看不到里面的世界。
锦囊 3：CGroup
文件系统和过程隔离的问题都解决了，Docker 心里的石头总算是放下了。心里焦急着想测试本人的容器，可又好奇这最初一个锦囊写的是什么，于是关上了第三个锦囊，只见下面写着：CGroup。
这又是什么货色？Docker 依然看不懂，不过这一次管不了那么许多了，先运行起来再说。
试着运行了一段时间，一切都在 Docker 的打算之中，容器中的过程都能失常的运行，都被他构建的虚构文件系统和隔离进去的零碎环境给坑骗了，Docker 快乐坏了！
很快，Docker 就开始在 Linux 帝国推广本人的容器技术，后果大受欢迎，播种了有数粉丝，连 nginx、redis 等一众大佬都纷纷入驻。
然而，鲜花与掌声的背地，Docker 却不晓得本人行将大难临头。
这天，Linux 帝国内存管理部的人扣下了 Docker 筹备“处决”掉他，Docker 一脸惊讶的问到，“到底产生了什么事，为什么要对我下手？”
管理人员厉声说到：“帝国治理的内存快被一个叫 Redis 的家伙用光了，当初要筛选一些过程来杀掉，不好意思，你中奖了”
Redis？这家伙不是我容器里的过程吗？Docker 心中一惊！
“两位小孩儿，我意识帝国的长老，麻烦通融通融，找他人去吧，Redis 那家伙，我有方法拾掇他”
没想到他还意识帝国长老，管理人员犹豫了一下，就放了 Docker 到别处去了。
惊魂未定的 Docker，思来想去，如果不对容器中的过程加以管教，那几乎太危险了！除了内存，还有 CPU、硬盘、网络等等资源，如果某个容器过程霸占着 CPU 不撒手，又或者某个容器过程疯狂写硬盘，那迟早得连累到本人身上。看来必须得对这些过程进行管控，避免他们干出出格的事来。
这时候，他想起了 Linux 长老的第三个锦囊：CGroup！说不定能解这当务之急。
通过一番钻研，Docker 如获至宝，原来这 CGroup 和 namespace 相似，也是 Linux 帝国的一套机制，通过它能够划定一个个的分组，而后限度每个分组可能应用的资源，比方内存的上限值、CPU 的使用率、硬盘空间总量等等。零碎内核会主动检查和限度这些分组中的过程资源使用量。
Linux 长老这三个锦囊几乎太贴心了，一个比一个有用，Docker 心田充斥了感谢。
随后，Docker 加上了 CGroup 技术，增强了对容器中的过程管控，这才松了一口气。
在 Linux 长老三个神机妙算的加持下，Docker 堪称风光一时，成为了 Linux 帝国的小名人。
然而，能力越大，责任越大，让 Docker 没想到的是，新的挑战还在前面。
举荐一下本人的 linuxC/C++ 交换群：973961276！整顿了一些集体感觉比拟好的学习书籍、视频材料以及大厂面经视频共享在群文件外面，有须要的小伙伴能够自行添加哦！
