docker の 2 つのコア テクノロジとは何ですか?

2 つのコア テクノロジ: 1. グローバル システム リソースの一種のカプセル化と分離である「Linux ネームスペース」により、異なるネームスペース内のプロセスが独立したグローバル システム リソースを持つことができます。2. 「コントロール グループ」。ホスト マシン上の物理リソースを分離し、リソース クォータと測定を実装できます。

このチュートリアルの動作環境: linux5.9.8 システム、docker-1.13.1 バージョン、Dell G3 コンピューター。

Docker は、Go 言語に基づいたクラウド オープン ソース プロジェクトです。

Docker は仮想化テクノロジーを使用して、一貫した開発環境、テスト環境、本番環境の問題を解決し、アプリとその実行環境が「どこでも、あらゆるアプリを構築、出荷、実行する」という目的を達成できるようにします。継続的な統合を促進し、全体的なリリースと拡張を促進するコンテナ仮想化テクノロジー。

Docker の 2 つのコア テクノロジー: 名前空間とコントローラー グループ。

1. 分離: Linux 名前空間 (ns)

Linux 名前空間は、グローバル システム リソースの一種のカプセル化と分離です。これにより、異なる名前空間のプロセスが独立したグローバル システム リソースを持つことが可能になります。ある名前空間のシステム リソースを変更すると、現在の名前空間のプロセスにのみ影響し、他の名前空間のプロセスには影響しません。これらのリソースには、プロセス ツリー、ネットワーク インターフェイス、マウント ポイント、プロセス間通信、その他のリソースが含まれます。同じ名前空間内のプロセスは、互いの変更を感知できますが、外部プロセスについては何も知りません。これにより、コンテナ内のプロセスに独立したシステム内にあるような錯覚を与え、分離の目的を達成できます。

各ユーザー インスタンスは相互に分離されており、相互に影響を与えません。一般的なハードウェア仮想化方式で与えられる方式がVMであるのに対し、LXCで与えられる方式はコンテナ、より具体的にはカーネル名前空間です。このうち、pid、net、ipc、mnt、uts、userおよびその他の名前空間 コンテナのプロセス、ネットワーク、メッセージ、ファイル システム、UTS (「UNIX タイムシェアリング システム」)、およびユーザー空間を分離します。

1)、pid 名前空間

異なるユーザーのプロセスは pid 名前空間によって分離され、異なる名前空間は同じ pid を持つことができます。 docker 内のすべての LXC プロセスの親プロセスは docker プロセスであり、各 lxc プロセスは異なる名前空間を持ちます。同時に、ネストが許可されているため、Docker in Docker を簡単に実装できます。

2)、ネット名前空間

pid 名前空間を使用すると、各名前空間の pid を相互に分離できますが、ネットワーク ポートは依然としてホスト ポートを共有します。ネットワークの分離はネット ネームスペースによって実現され、各ネット ネームスペースには独立したネットワーク デバイス、IP アドレス、IP ルーティング テーブル、および /proc/net ディレクトリがあります。このようにして、各コンテナのネットワークを分離できます。デフォルトでは、docker は veth を使用して、コンテナー内の仮想ネットワーク カードをホスト上の docker ブリッジ docker0 に接続します。

3)、ipc 名前空間でのプロセス対話

コンテナは引き続き、共通のセマフォやメッセージ キューを含む、一般的な Linux プロセス間対話方法 (プロセス間通信 - IPC) を使用します。そして共有メモリ。ただし、VM とは異なり、コンテナーのプロセス間対話は、実際にはホスト上の同じ pid 名前空間とのプロセス間対話であるため、IPC リソースを申請するときに名前空間情報を追加する必要があります。各 IPC リソースには一意の 32 -ビットID。

4)、mnt 名前空間

は chroot に似ており、プロセスを特定のディレクトリに配置して実行します。 mnt 名前空間を使用すると、異なる名前空間のプロセスが異なるファイル構造を参照できるようになり、各名前空間のプロセスが参照するファイル ディレクトリが分離されます。 chroot とは異なり、各名前空間のコンテナーの /proc/mounts 内の情報には、名前空間のマウント ポイントのみが含まれます。

5)、uts 名前空間

UTS("UNIX Time-sharing System") 名前空間により、各コンテナが独立したホスト名とドメイン名を持つことができるため、信頼性が高まります。ネットワーク上のプロセスは、ホスト上のプロセスではなく、独立したノードとみなすことができます。

6)、ユーザー名前空間

各コンテナーは異なるユーザー ID とグループ ID を持つことができます。つまり、コンテナー内のユーザーを使用してプログラムを実行できます。コンテナ内 ユーザーはホスト上にいません。

2. リソース制限: コントロール グループ (cgroups)

ネームスペースは、新しく作成されたプロセスのファイル システム、ネットワーク、およびホストを分離します。マシン間は互いに分離されていますが、名前空間は物理的なリソースの分離を提供できません。ただし、互いのことやホスト マシンについて何も知らない複数のコンテナを同じマシン上で実行すると、これらのコンテナはホスト マシンの物理リソースを共同で占有します。

コントロール グループ (略して CGroups) は、CPU、メモリ、ディスク I/O、ネットワーク帯域幅などのホスト マシン上の物理リソースを分離できます。各 CGroup は、同じ標準とパラメータによって制限されたプロセスのグループです。異なる CGroup の間には階層関係があり、リソースの使用を制限するための標準とパラメータを親クラスから継承できます。

cgroups は、リソースのクォータと測定を実装します。 cgroups の使用は非常に簡単です。ファイルのようなインターフェイスを提供します。/cgroup ディレクトリに新しいフォルダーを作成して、新しいグループを作成します。このフォルダーに新しいタスク ファイルを作成し、そのファイルに pid を書き込み、プロセスを実現します。 . リソース制御。グループは、blkio、cpu、cpuacct、cpuset、devices、freezer、memory、net_cls、ns の 9 つのサブシステムのリソースを制限できます。各サブシステムの詳細は次のとおりです:

• #blkio このサブシステム設定は、各ブロック デバイスの入出力制御を制限します。例: ディスク、CD、USB など。

• cpu このサブシステムは、スケジューラを使用して cgroup タスクへの CPU アクセスを提供します。

• cpuacct は、cgroup タスクの CPU リソース レポートを生成します。

• cpuset マルチコア CPU の場合、このサブシステムは cgroup タスクに別個の CPU とメモリを割り当てます。

• devices cgroup タスクによるデバイスへのアクセスを許可または拒否します。

• freezer cgroup タスクを一時停止および再開します。

• memory 各 cgroup のメモリ制限を設定し、メモリ リソース レポートを生成します。

• net_cls は、cgroup の便宜のために各ネットワーク パケットにタグを付けます。

• ns 名前空間サブシステム。

上記 9 つのサブシステムの間にも一定の関係がありますので、詳しくは公式ドキュメントを参照してください。

推奨される学習: 「

docker ビデオ チュートリアル 」

以上がdocker の 2 つのコア テクノロジとは何ですか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。