前言
镜像（Image）作为Docker的“水源”，取之于它，用之于它。这对于立志成为运维管理的撒手锏——Docker而言，重要性不言而喻。
我们在虚拟机时代（当然现在依然ing…），如何快速完成系统的迁移呢？ 通常是Copy 一个VM。这个VM是“又笨又大”。难怪会被取代，我们总是希望事半功倍，因为本能使然。
一、为什么选择Docker
任何一个出色的新产品诞生，总是能够在正确的时间，正确的场合，通过正确的方式完成它的历史级
“亮相”。
这里先给一张图：
在上篇文章中，博主对docker的特点做了简单总结：“轻”和“灵”。
1. 何谓轻
简单讲，不干涉他人“主权”，不侵犯他人“资源”。在需要的时候，只需打个招呼，自然有人送上门来。所以不用背负重量级的操作系统（OS），不必携带庞大的数据（Database），这样就轻了，总算做到了“轻装上阵”。
2. 何谓灵
既已为轻，其灵自现。“胖子总羡慕瘦子的灵巧，殊不知这个瘦子经历了多少辛酸苦辣”。曾经看过这样一个命题：如何提高货车的装货量？
有些人可能说：塞满、塞满、塞满，无孔不入；
有些人可能说：分门别类，堆积起来，越高越好；
有些人可能说：全部打包；
当然以上发言均没有错，但是做到高效就困难了。这里，答案是把所有的货物装入一个标准箱里，最后码放一起。
行文至此，博主不禁有所感言：
万物万事的兴衰也许都遵循了一定的运行规律和演变逻辑，所以新老交替不可避免。在IT世界，追求价值，是我们永恒的目标。
通过上图，我们可以直观看到VM负重累累，而Docker则身轻如燕。
二、Docker引擎核心
1. 技术基座
1.1命名空间namespace
在Linux中，命名空间是一种容器隔离基础技术，。它能够把资源封装在不同的命名空间中实现资源隔离，进而达到容器隔离的目的。不同的命名空间有一套独有的系统资源。常见的命名空间包含以下六类：
| 命名空间 | 用途及使用参数 |
|---|---|
| UTS | 隔离主机名和域名信息，使容器变为一个独立的节点，参数名：CLONE_NEWUTS |
| IPC | 隔离进程间通信，参数名：CLONE_NEWIPC |
| Network | 隔离网络资源，参数名：CLONE_NEWNET |
| PID | 隔离进程的ID，参数名：CLONE_NEWPID |
| Mount | 隔离文件系统挂载点，参数名：CLONE_NEWNS |
| User | 隔离用户和组，参数名：CLONE_NEWUSER |
当然，namespace技术是基于chroot实现的，关于这个点，各位盆友应该有所了解。
1.2控制组cgroups
cgoups是Control groups的简称，也是 Linux 内核的一个功能。用于限制、控制和审计进程组所使用的物理资源。Docker基于此实现资源隔离，互不侵犯。
控制范围包括：CPU、内存、磁盘 I/O 、网络带宽、设备访问、资源跟踪审计、层次化控制。
1.3联合文件系统UnionFS
UnionFS 是一种为 Linux 操作系统设计的用于把多个文件系统“合并”到同一个挂载点的文件系统服务。对外看起来是一个整体，可以说有一定的内聚的意图。直观一点，看图：
小结： 对外，docker实现了高内聚，屏蔽了差异，只显示一个整体；对内，每个容器都基于一个基础镜像完成新建和运行，存在版本的差异。
了解了docker的技术基座后，我们看看“项庄们”如何舞剑吧。
2. 三剑客（镜像-容器-仓库）
下图是Docker引擎三剑客的核心交互逻辑：
2.1 镜像Image
前面提到了Docker之所以出色，是因为镜像这个大功臣所赐予。镜像好比是“静止”的容器，所以它包含了容器所需的一些必要资源（根文件系统、程序文件、元数据、网络信息、用户组、命令入口等）。
2.2 容器Container
我们都说，容器是镜像的“运行态”，也就是一个经过写后的一个“镜像”实例。比如你需要创建一个最新的nginx镜像，则先准备一个基础镜像，然后完成相应的改造，形成新的镜像。那么该镜像则为当前镜像的latest版本，也就是一个新Tag。
所以Container并不是对镜像的直接构造，其实是经过一个“可写层”，对基础镜像完成改造。这里用到一个思想，所谓“向上open, 向下close”。
2.3 仓库Repository
docker仓库一般有公有和私有之分。
公有仓库是Docker官方提供一个公共仓库，称为Docker Hub，是免费开放的。受困与网络条件，使用起来比较费劲，一般需要加速器。
私有仓库是用户自己搭建、管理和维护的Docker仓库。当然一般是企业自身或个人使用，不对外开放或者有偿开放。
结语
本文主要对docker的核心原理进行剖析，从底层理解为什么docker能够胜任当前的发展需要。希望各位有所收获，感谢捧场，欢迎一键三连，互相鼓励与学习！
精彩回顾
- 微服务实战系列之玩转Docker（二）
- 微服务实战系列之玩转Docker（一）
- 微服务实战系列之云原生
- 微服务实战系列之Filter
- 微服务实战系列之API加密
- 微服务实战系列之Dubbo（下）
- 微服务实战系列之Dubbo（上）
- 微服务实战系列之ZooKeeper（实践篇）
- 微服务实战系列之ZooKeeper（下）
- 微服务实战系列之ZooKeeper（中）
- 微服务实战系列之ZooKeeper（上）
- 微服务实战系列之MQ
- 微服务实战系列之通信
- 微服务实战系列之J2Cache
- 微服务实战系列之Cache（技巧篇）
- 微服务实战系列之MemCache
- 微服务实战系列之EhCache
- 微服务实战系列之Redis
- 微服务实战系列之Cache
- 微服务实战系列之Nginx（技巧篇）
- 微服务实战系列之Nginx
- 微服务实战系列之Feign
- 微服务实战系列之Sentinel
- 微服务实战系列之Token
- 微服务实战系列之Nacos
- 微服务实战系列之Gateway
- 微服务实战系列之加密RSA
- 微服务实战系列之签名Sign
