Docker 镜像管理

2018-11-27 0 By admin

Docker 镜像是一个只读的docker容器模版,含有启动docker容器所需的文件系统结构及其内容,因此是启动一个docker容器的基础。
Docker 镜像的文件内容以及一些运行Docker容器的配置文件组成了Docker容器的静态文件系统运行环境–rootfs。

Bootfs 启动文件系统

bootfs包含了bootloader和linux内核。用户是不能对这层作任何修改的。在内核启动之后,bootfs实际上会unmount掉。

Rootfs 根文件系统

rootfs是容器在启动时内部进程可见的文件系统,即容器的根目录。

Rootfs 说明

在传统的Linux操作系统内核启动时,首先挂载一个只读(read-only )的rootfs,当系统检测其完整性之后,再将其切换为读写(read-write)模式。
而在Docker架构中,当Docker daemon为Docker容器挂载rootfs时,沿用了Linux内核启动时的方法,即将rootfs设为只读模式。在挂载完毕之后,利用联合挂载(union mount)技术在已有的只读rootfs上再挂载一个读写层。这样,可读写层处于Docker容器文件系统的最顶层,其下可能联合挂载多个只读层,只有在Docker容器运行过程中文件系统发生变化时,才会把变化的文件内容写到可读写层,并隐藏只读层中的老版本文件。

Docker 镜像的主要特点

为了更好地理解Docker镜像的结构,下面介绍一下Docker镜像设计上的关键技术。

分层

Docker镜像是采用分层的方式构建的,每个镜像都由一系列的“镜像层”组成。
分层结构是Docker镜像如此轻量的重要原因,当需要修改容器镜像内的某个文件时.只对处于最上方的读写层进行变动,不覆写下层已有文件系统的内容。已有文件在只读层中的原始版本仍然存在,但会被读写层中的新版文件所隐藏。
当使用docker commit提交这个修改过的容器文件系统为一个新的镜像时,保存的内容仅为最上层读写文件系统中被更新过的文件。分层达到了在不同镜像之间共享镜像层的效果。

写时复制

Docker镜像使用了写时复制(copy-on-write)策略,在多个容器之间共享镜像,每个容器在启动的时候并不需要单独复制一份镜像文件,而是将所有镜像层以只读的方式挂载到一个挂载点,再在上面覆盖一个可读写的容器层。在未更改文件内容时,所有容器共享同一份数据.只有在Docker容器运行过程中文件系统发生变化时,才会把变化的文件内容写到可读写层,并隐藏只读层中的老版本文件。写时复制配合分层机制减少了镜像对磁盘空间的占用和容器启动时间。

内容寻址

在Docker 1.10版本后,Docker镜像改动较大,其中最重要的特性便是引人了内容寻址存储(content-addressable storage)的机制,根据文件内容来索引镜像和镜像层。新机制对镜像层的内容计算校验和,生成一个内容哈希值.并以此哈希值作为唯一标志。
该机制主耍提高了镜像的安全性.并在pull、push、load和save操作后检测数据的完整性。另外,基于内容哈希来索引镜像层,在一定程度上减少ID的冲突并且增强了镜像层的共享。对于来自不同构建的镜像只要拥有相同的内容哈希,也能被不同的镜像共亨。

联合挂载

通俗地讲.联合挂载技术可以在一个挂载点同时挂载多个文件系统,将挂载点的原目录与被挂载内容进行整合,使得最终可见的文件系统将会包含整合之后的各层的文件和目录。实现这种联合挂载技术的文件系统通常被称为联合文件系统(union filesystem)。

镜像中的关键概念

registry

registry用以保存Docker镜像,其中还包括镜像层次结构和关于镜像的元数据。可以将registry简单地想象成类似于Git仓库之类的实体。
用户可以在自己的数据中心搭建私有的registry,也可以使用Docker宫方的公用registry服务,即Docker Hub。它是由Docker公司维护的一个公共镜像仓库,供用户下载使用。
Docker Hub有两种类型的仓库,即用户仓库( user repository)与顶层仓库(top-level repository)。
用户仓库由普通的Docker Hub用户创建,顶层仓库则由Docker公司负责维护,提供官方版本镜像。理论上,顶层仓库中的镜像经过Docker公司验证,被认为是架构良好且安全的。

repository

registry 是repository的集合,repository是镜像的集合。
repository通过命令规范对用户仓库和顶层仓库进行组织。

manifest

manifest (描述文件)主要存在于registry中作为Docke镜像的元数据文件,在pull、push、save和load中作为镜像结构和基础信息的描述文件。在镜像被pull或者load到Docker宿主机时,manifest被转化为本地的镜像配置文件config。

image和layer

Docker 内部的image概念是用来存储一组镜像相关的元数据信息,主要包括镜像的架构(如amd64)、镜像默认配置信息、构建镜像的容器配置信息、包含所有镜像层信息的rootfs Docker。

layer (镜像层)是一个Docker用来管理镜像层的中间概念,镜像是由镜像层组成的,而单个镜像层可能被多个镜像共享,所以Docker将layer与image的概念分离。