mirror of
https://github.com/yeasy/docker_practice.git
synced 2026-11-06 02:27:19 +00:00
yeasy
ef2625531d
全书此前是真·五五开：含中文的括号 336 处半角 : 336 处全角，而且**在同一文件 内混用**——`18_security/18.1_kernel_ns.md` 第 11/17/20 行写 `（如 runC）`， 第 31 行写 `(用户命名空间映射)`。这不是体例问题，是它自己跟自己不一致。 集群里其余 13 本都一边倒（llm_internals 5 : 1049、oc_guide 2 : 713、 forward_deployed_engineering_guide 0 : 108），blockchain_guide 已在 2026-08-05 按同一方向统一过 97 处，故取全角，而非另立新规。全角括号前后不留空格， 原先 `概念 (镜像、容器、仓库) 和` 两侧的空格一并收掉。 **纯拉丁内容的半角括号一个没动**——`新建一个层 (Layer)`、`项目 (project)` 保持原样：改动前后「半角且内容纯拉丁」的数量都是 **1163**，而「半角且含中文」 从 **336 变成 0**。 其余验证：改动前后各自抹掉全部空白与圆括号后**逐字节相同**（两侧均 19559 字符）； 左右括号总数改动前后都是 399 : 399，证明没有吞括号也没有配错对。 `check_project_rules` 202/202、`check_emphasis` 202/202、37 tests OK、 根 `format_checker` 与 `validate_codeblocks` 干净、`git diff --check` 干净。
23 lines
1.8 KiB
Go
23 lines
1.8 KiB
Go
# 第十二章 底层实现
|
||
|
||
Docker 底层的核心技术包括 Linux 上的命名空间 (Namespaces)、控制组 (Control groups)、Union 文件系统 (Union file systems) 和容器格式 (Container format)。
|
||
|
||
我们知道，传统的虚拟机通过在宿主主机中运行 hypervisor 来模拟一整套完整的硬件环境提供给虚拟机的操作系统。虚拟机系统看到的环境是可限制的，也是彼此隔离的。
|
||
这种直接的做法实现了对资源最完整的封装，但很多时候往往意味着系统资源的浪费。
|
||
例如，以宿主机和虚拟机系统都为 Linux 系统为例，虚拟机中运行的应用其实可以利用宿主机系统中的运行环境。
|
||
|
||
我们知道，在操作系统中，包括内核、文件系统、网络、PID、UID、IPC、内存、硬盘、CPU 等等，所有的资源都是应用进程直接共享的。
|
||
要想实现虚拟化，除了要实现对内存、CPU、网络 IO、硬盘 IO、存储空间等的限制外，还要实现文件系统、网络、PID、UID、IPC 等等的相互隔离。
|
||
前者相对容易实现一些，后者则需要宿主机系统的深入支持。
|
||
|
||
随着 Linux 系统对于命名空间功能的完善实现，程序员已经可以实现上面的所有需求，让某些进程在彼此隔离的命名空间中运行。大家虽然都共用一个内核和某些运行时环境（例如一些系统命令和系统库），但是彼此却看不到，都以为系统中只有自己的存在。这种机制就是容器 (Container)，利用命名空间来做权限的隔离控制，利用 cgroups 来做资源分配。
|
||
|
||
## 本章内容
|
||
|
||
* [基本架构](12.1_arch.md)
|
||
* [命名空间](12.2_namespace.md)
|
||
* [控制组](12.3_cgroups.md)
|
||
* [联合文件系统](12.4_ufs.md)
|
||
* [容器格式](12.5_container_format.md)
|
||
* [网络](12.6_network.md)
|