### Download：百度网盘
提取码：45on
wiki介绍
Docker 是一个开放源代码软件，是一个开放平台，用于开发应用、交付（shipping）应用、运行应用。 Docker允许用户将基础设施（Infrastructure）中的应用单独分割出来，形成更小的颗粒（容器），从而提高交付软件的速度。 Docker容器与虚拟机类似，但二者在原理上不同。容器是将操作系统层虚拟化，虚拟机则是虚拟化硬件，因此容器更具有便携性、高效地利用服务器。 容器更多的用于表示 软件的一个标准化单元。由于容器的标准化，因此它可以无视基础设施（Infrastructure）的差异，部署到任何一个地方。另外，Docker也为容器提供更强的业界的隔离兼容。 Docker 利用Linux核心中的资源分离机制，例如cgroups，以及Linux核心名字空间（英语：Linux namespaces）（namespaces），来创建独立的容器（containers）。这可以在单一Linux实体下运作，避免启动一个虚拟机造成的额外负担。Linux核心对名字空间的支持完全隔离了工作环境中应用程序的视野，包括行程树、网络、用户ID与挂载文件系统，而核心的cgroup提供资源隔离，包括CPU、存储器、block I/O与网络。 ——> zh.wikipedia.org/wiki/Docker\
翻译翻译: - 开源项目 - 它基于 Google 公司推出的 Go 语言实现 - 加入了 Linux 基金会，遵从了 Apache 2.0 协议 - 官网https://www.docker.com/
组成部分
- 镜像（
Image）：Docker 镜像是一个特殊的文件系统，除了提供容器运行时所需的程序、库、资源、配置等文件外，还包含了一些为运行时准备的一些配置参数（如匿名卷、环境变量、用户等）。镜像是静态的，不包含任何动态数据，其内容在构建之后也不会被改变。 - 容器（
Container）：镜像（Image）和容器（Container）的关系，就像是面向对象程序设计中的类和实例一样，镜像是静态的定义，容器是镜像运行时的实体。容器可以被创建、启动、停止、删除、暂停等。 - 仓库（
Repository）：仓库（Repository）类似Git的远程仓库，集中存放镜像文件
\
\
二、为什么会出现docker?
\
\
Docker与虚拟机的对比
下面的图片比较了 Docker 和传统虚拟化方式的不同之处，可见容器是在操作系统层面上实现虚拟化，直接复用本地主机的操作系统， 而虚拟机传统方式则是在硬件层面实现。
\
\
传统的虚拟机首先通过Hypervisor层对物理硬件进行虚拟化，然后在虚拟的硬件资源上安装从操作系统(guest os)，最后将相关应用运行在从操作系统上。其中APP+BINS/LIBS+Guest OS为虚拟机
而docker不像虚拟机那样利用Hypervisor和guest os实现资源与环境的隔离，其仅通过一个docker daemon/engine来实现资源限制与环境隔离( 终极目标是app的隔离 )(主要利用 linux内核 本身支持的容器方式来实现这一功能)，其中APP+BINS/LIBS为容器(container)。 docker daemon/engine可以简单看成对Linux内核中的NameSpace、Cgroup、镜像管理文件系统操作的封装。 简单的说，docker利用namespace实现系统环境的隔离；利用Cgroup实现资源限制；利用镜像实现根目录环境的隔离。
Cgroup\
Linux CGroup全称Linux Control Group: 控制组; 是Linux内核的一个功能，用来限制，控制与分离一个进程组群的资源（如CPU、内存、磁盘输入输出等）。
主要功能: - 限制资源使用，比如内存使用上限以及文件系统的缓存限制。 - 优先级控制，CPU利用和磁盘IO吞吐。 - 一些审计或一些统计，主要目的是为了计费。 - 挂起进程，恢复执行进程。
cgroups子系统 cpu 子系统，主要限制进程的 cpu 使用率。 cpuacct 子系统，可以统计 cgroups 中的进程的 cpu 使用报告。 cpuset 子系统，可以为 cgroups 中的进程分配单独的 cpu 节点或者内存节点。 memory 子系统，可以限制进程的 memory 使用量。 blkio 子系统，可以限制进程的块设备 io。 devices 子系统，可以控制进程能够访问某些设备。 net_cls 子系统，可以标记 cgroups 中进程的网络数据包，然后可以使用 tc 模块（traffic control）对数据包进行控制。 net_prio — 这个子系统用来设计网络流量的优先级 freezer 子系统，可以挂起或者恢复 cgroups 中的进程。 ns 子系统，可以使不同 cgroups 下面的进程使用不同的 namespace hugetlb — 这个子系统主要针对于HugeTLB系统进行限制，这是一个大页文件系统。
这个有点像线程与进程的区别其中又有点java虚拟机的有点，一次配置到处运行
进程和线程的主要差别在于它们是不同的操作系统资源管理方式。 进程有独立的地址空间，一个进程崩溃后，在保护模式下不会对其它进程产生影响， 而线程只是一个进程中的不同执行路径。 线程有自己的堆栈和局部变量，但线程之间没有单独的地址空间，一个线程死掉就等于整个进程死掉， 所以多进程的程序要比多线程的程序健壮，但在进程切换时，耗费资源较大，效率要差一些。 但对于一些要求同时进行并且又要共享某些变量的并发操作，只能用线程，不能用进程。\
1. 一个程序至少有一个进程，一个进程至少有一个线程。
2. 线程的划分尺度小于进程，使得多线程程序的并发性高。
3. 进程在执行过程中拥有独立的内存单元，而多个线程是共享内存，从而极大地提高了程序的运行效率。
4. 线程在执行过程中与进程还是有区别的。 每个独立的线程有一个程序运行的入口、顺序执行序列和程序的出口。 但是线程不能够独立执行，必须依存在应用程序中，由应用程序提供多个线程执行控制。
5. 从逻辑角度来看，多线程的意义在于一个应用程序中，有多个执行部分可以同时执行。 但操作系统并没有将多个线程看做多个独立的应用，来实现进程的调度和管理以及资源分配。 这就是进程和线程的重要区别。
它的优点
至于为什么会出现就是它的优点可以满足当前一些需求
- 轻量级：Docker 容器主要利用并共享主机内核，它并不是完整的操作系统，因此它更加轻量化。
- 灵活：它可以将复杂的应用程序容器化，因此它非常灵活和方便。 可移植：可以在本地构建 Docker
- 容器，并把它部署到云服务器或任何地方进行使用。
- 相互隔离，方便升级：容器是高度自给自足并相互隔离的容器，这样就可以在不影响其他容器的情况下更换或升级你的 Docker 容器了。
- 可扩展：可以在数据中心内增加并自动分发容器副本。 安全：Docker 容器可以很好地约束和隔离应用程序，并且无须用户做任何配置。
它的缺点
当然也有一些缺点 1.内核漏洞
Docker内核攻击对于容器化环境来说可能是致命性的，因为容器与主机共享相同的系统内核，因此单独信任容器内置保护机制是不够的。 容器的隔离性使得某个应用程序的漏洞不会直接影响到其他容器的应用程序，但是漏洞可能会破坏与其他容器所共享的单一的操作系统，进而影响机器上的其他容器。如果漏洞允许代码执行，那么它将在主机操作系统上执行，而不是在容器内执行；如果此漏洞允许任意内存访问，则攻击者可以更改或读取任何其他容器的任何数据。
