虚拟化简介
计算机虚拟化（Computing Virtualization），一种资源管理技术，是指通过虚拟化技术将一台计算机的各种实体资源 , 如处理器 , 网络 , 内存及存储等 , 抽像 , 转换后呈现出来 , 打破实体结构间的不可切割的障碍，虚拟成多台逻辑计算机。在一台计算机上同时运行多个逻辑计算机，每个逻辑计算机可运行不同的操作系统，并且应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高计算机的工作效率。虚拟化使用软件的方法重新定义划分 IT 资源，可以实现 IT 资源的动态分配、灵活调度、跨域共享，提高 IT 资源利用率，使 IT 资源能够真正成为社会基础设施，服务于各行各业中灵活多变的应用需求。同一主机上运行多个系统或应用 , 从而提高系统资源的利用率 , 同时带来降低成本 , 方便管理和容错容灾。
虚拟化级别
（1）完全虚拟 -- 处理器密集型技术，因为它要求 hypervisor 管理各个虚拟服务器，并让它们彼此独立 (Vmware/Virtual PC)
（2）准虚拟 -- 改动客户操作系统，让它以为自己运行在虚拟环境下，能够与 hypervisor 协同工作 (para-virtualization)
（3）系统虚拟 -- 没有独立的 hypervisor 层。相反，主机操作系统本身就负责在多个虚拟服务器之间分配硬件资源，并且让这些服务器彼此独立
（4）桌面虚拟化—桌面虚拟化主要功能是将分散的桌面环境集中保存并管理起来，包括桌面环境的集中下发，集中更新，集中管理。桌面虚拟化使得桌面管理变得简单，不用每台终端单独进行维护，每台终端进行更新
虚拟化分类
1型虚拟化
Hypervisor 直接安装在物理机上，多个虚拟机在 Hypervisor 上运行。Hypervisor 实现方式一般是一个特殊定制的 Linux 系统。Xen 和 VMWare 的 ESXi 都属于这个类型。
2型虚拟化
物理机上首先安装常规的操作系统，比如 Redhat、Ubuntu 和 Windows。Hypervisor 作为 OS 上的一个程序模块运行，并对管理虚拟机进行管理。KVM、VirtualBox 和 VMWare Workstation 都属于这个类型。
理论上讲：
1型虚拟化一般对硬件虚拟化功能进行了特别优化，性能上比2型要高；
2型虚拟化因为基于普通的操作系统，会比较灵活，比如支持虚拟机嵌套。嵌套意味着可以在KVM虚拟机中再运行KVM。
容器位于前两者之上，以进程的形式存在于操作系统之中 容器为应用程序提供了隔离的运行空间：每个容器内都包含一个独享的完整用户环境空间，并且一个容器内的变动不会影响其他容器的运行环境。为了能达到这种效果，容器技术使用了一系列的系统级别的机制诸如利用Linux namespaces 来进行空间隔离，通过文件系统的挂载点来决定容器可以访问哪些文件，通过 cgroups 来确定每个容器可以利用多少资源。此外容器之间共享同一个系统内核，这样当同一个库被多个容器使用时，内存的使用效率会得到提升
Docker
容器（ container-based ）虚拟化方案，充分利用了操作系统本身已有的机制和特性，以实现轻量级的虚拟化（每个虚拟机安装的不是完整的虚拟机），甚至有人把他称为新一代的虚拟化技术， Docker 无疑就是其中的佼佼者
Docker 是一个开源的应用容器引擎，基于 Go 语言 并遵从Apache2.0协议开源。
Docker 可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以实现虚拟化。
容器是完全使用沙箱机制，相互之间不会有任何接口（类似 iPhone 的 app）,更重要的是容器性能开销极低。
Docker 的优点
优点： 启动快，资源占用小 , 资源利用高，快速构建标准化运行环境 创建分布式应用程序时快速交付和部署，更轻松的迁移和扩展，更简单的更新管理
局限： Docker 是基于 Linux 64bit 的，无法在 windows/unix 或 32bit 的 linux环境下使用 LXC 是基于 cgroup 等 linux kernel 功能的，因此 container 的 guest 系统只能是linux 隔离性相比 KVM 之类的虚拟化方案还是有些欠缺，所有 container 公用一部分的运行库 管理相对简单，主要是基于 namespace 隔离 cgroup 的 cpu 和 cpuset 提供的 cpu 功能相比 KVM 的等虚拟化方案相比难以度量 ( 所以 dotcloud 主要是按内存收费 ) docker 对 disk 的管理比较有限 container 随着用户进程的停止而销毁， container 中的 log 等用户数据不便收集。
docker与虚拟机比较
启动快比虚拟机 , 可以秒级启动 对资源占用小 , 宿主机上可运行千台容器 方便用户获取 , 分布 , 和更新应用镜像 , 指令简单 , 学习费用低 通过 Dockerfile 配置文件来灵活的自动创建和部署镜像 & 容器 , 提高工作效率 Docker 除了运行其中应用外 , 基本不消耗其他系统资源 , 保证应用性能同时 , 尽量减小系统开销
Docker 架构
Docker 使用客户端-服务器 (C/S) 架构模式，使用远程API来管理和创建Docker容器。
Docker 容器通过 Docker 镜像来创建。
容器与镜像的关系类似于面向对象编程中的对象与类。
Docker 镜像(Images)：Docker 镜像是用于创建 Docker 容器的模板。
Docker 容器(Container)：容器是独立运行的一个或一组应用。
Docker 客户端(Client)：Docker 客户端通过命令行或者其他工具使用 Docker API (https://docs.docker.com/reference/api/docker_remote_api) 与 Docker 的守护进程通信。
Docker 主机(Host)：一个物理或者虚拟的机器用于执行 Docker 守护进程和容器。
Docker 仓库(Registry)：Docker 仓库用来保存镜像，可以理解为代码控制中的代码仓库，Docker Hub(https://hub.docker.com) 提供了庞大的镜像集合供使用。
Docker Machine：Docker Machine是一个简化Docker安装的命令行工具，通过一个简单的命令行即可在相应的平台上安装Docker，比如VirtualBox、 Digital Ocean、Microsoft Azure。
docker的镜像 :
镜像（docker image） --- Docker 运行容器之前需要本地存在镜像，若本能地不存在，那么 Docker 会找默认镜像仓库（ Docker Hub 公共注册服务器中的仓科）下载，用户也可以通过配置使用自己的镜像库。
1）下载镜像
#docker pull NAME:TAG
下载某个被打上了某个标签的叫 ×× 名字 的镜像
eg： docker pull ubuntu：latest 若在下载时你未指定标签，默认追加 latest
标签，表示库中最新镜像 镜像在下载过程中是分层的，并且在每层前会有各层的 ID号，层（Layer ）是 AUFS （联合文件系统）的重要概念，是实现增量保存与更新的基础
2）查看本地镜像相关信息
#docker images
显示结果： #docker tag docker.io/ubuntu:latest ubuntu:latest
3）搜索库中满足需求的镜像，以此下载符合需求的镜像文件
#docker search centos
4）删除本地镜像
#docker rmi image[ image== 库：标签 ][ ID 号 ]
eg： Docker rmi ubuntu： latest
docker镜像分层
docker镜像的分层结构：支持通过扩展现有镜像，创建新的镜像
可以看到，新镜像是从 base 镜像一层一层叠加生成的。每安装一个软件，就在现有镜像的基础上增加一层。
分层结构的优势：
有多个镜像都从相同的 base 镜像构建而来，那么 Docker Host 只需在磁盘上保存一份 base 镜像；同时内存中也只需加载一份 base 镜像，就可以为所有容器服务了。
镜像层数量可能会很多，所有镜像层会联合在一起组成一个统一的文件系统。如果不同层中有一个相同路径的文件，比如 /a，上层的 /a 会覆盖下层的 /a，也就是说用户只能访问到上层中的文件 /a。在容器层中，用户看到的是一个叠加之后的文件系统。
添加文件 在容器中创建文件时，新文件被添加到容器层中。
读取文件 在容器中读取某个文件时，Docker 会从上往下依次在各镜像层中查找此文件。一旦找到，打开并读入内存。
修改文件 在容器中修改已存在的文件时，Docker 会从上往下依次在各镜像层中查找此文件。一旦找到，立即将其复制到容器层，然后修改之。
删除文件 在容器中删除文件时，Docker 也是从上往下依次在镜像层中查找此文件。找到后，会在容器层中记录下此删除操作。
只有当需要修改时才复制一份数据，这种特性被称作 Copy-on-Write。可见，容器层保存的是镜像变化的部分，不会对镜像本身进行任何修改。
docker的镜像创建 :
创建镜像的三种方法
1）基于修改后的容器创建：docker commit 命令
#docker run -it centos:7 /bin/bash
此时容器较镜像已经发生改变，我们以此生成新镜像
#docker commit container-name image-name
顺利的话会返回一个新的 ID 号
#docker images 查看镜像列表，会看到本地多了一个名为新名字的镜像
2）基于本地模板导入
导出：将镜像保存为本地文件
#docker save -o centos.tar centos:7
导入 :将压缩包文件导入到本地镜像列表
#docker load --input centos.tar 或者
#docker load -i centos.tar
#docker rmi ID
#docker images
简单来说，容器是镜像的运行实体。所不同的是它带有额外的可写层
3）基于 Dockerfile 文件创建
基于 Dockerfile 文件创建 Dockerfile 是一个文本文件，用来配置 image，记录了镜像构建的所有步骤。Docker 根据 该文件生成二进制的 image 文件。如何可以生成 image 文件？如果你要推广自己的软件，势必要自己制作 image 文件。
1、用 Dockerfile 创建上节的 centos-with-vi，其内容则为：
[root@cicd ~]# cat /root/dockerfile
FROM centos:7
RUN yum install -y vim
root@cicd docker]# docker build -t centostest /root/docker/ 或者：docker build -t centostest .
Dockerfile 中最常用的指令
FROM：指定 base 镜像。
MAINTAINER：设置镜像的作者，可以是任意字符串。
COPY：将文件从 build context 复制到镜像。
COPY 支持两种形式： COPY src dest
COPY ["src", "dest"]
注意：src 只能指定 build context 中的文件或目录
ADD：与 COPY 类似，从 build context 复制文件到镜像。不同的是，如果 src 是归档文件（tar, zip, tgz, xz 等），文件会被自动解压到 dest。
EXPOSE：指定容器中的进程会监听某个端口，Docker 可以将该端口暴露出。
VOLUME：将文件或目录声明为 volume。
WORKDIR：为后面的 RUN, CMD, ENTRYPOINT, ADD 或 COPY 指令设置镜像中的当前工作目录。
RUN：在容器中运行指定的命令，RUN 指令通常用于安装应用和软件包。
CMD：容器启动时运行指定的命令。Dockerfile 中可以有多个 CMD 指令，但只有最后一个生效。CMD 可以被 docker run 之后的参数替换。
ENTRYPOINT：设置容器启动时运行的命令，可让容器以应用程序或者服务的形式运行。
Dockerfile 中可以有多个 ENTRYPOINT 指令，但只有最后一个生效。CMD 或 docker run 之后的参数会被当做参数传递给 ENTRYPOINT。
完整的dockerfile：
[root@cicd docker2]# ls
dockerf test.tar.gz tmpfile2
[root@cicd docker2]# cat dockerfile
#my dokerfile
FROM centos:7
MAINTAINER steven
WORKDIR /testdir
RUN touch tmpfile1
COPY ["tmpfile2","."]
ADD ["test.tar.gz","."]
[root@cicd docker2]# docker build -t my-imge .
docker的使用 :
1）创建容器，create命令是创建并不启动容器
#docker creat -it centos:7
2）查看所有状态的容器
#docker ps -a
#docker ps
3）启动停止的容器
#docker start ID
4）运行一个容器
#docker run -ti docker.io/centos:7 /bin/bash
#ctrl+d//exit退出，并且容器也退出
#ctrl+p+q退出容器，并且保持容器up的状态
-t 分配一个伪终端
-i 让容器的标准输入持续打开
用/bin/bash环境显示
5）以后台守护进程（Daemonized）形态运行 用-d参数实现
#docker run -dti docker.io/centos:7
6）终止容器
#docker stop NAME/ID #docker kill NAME/ID
7）重启容器
#docker restart NAME/ID
8）删除容器
#docker -rm -f NAME/ID
-f 强制删除处于运行中的容器
-l 删除链接，保留容器
-v 删除挂载的数据卷
9）进入容器docker attach 和 docker exec 两种方式：
docker attach直接进入容器 启动命令的终端，不会启动新的进程
#docker attach NAME/ID
docker exec则是在容器中打开新的终端，并且可以启动新的进程
#docker exec -it NAME/ID /bin/bash
10）导入和导出容器
docker export ID > *.tar
b.将容器导入系统成为镜像
#cat *.tar | docker import - test
11）查看容器日志
#docker logs -f NAME/ID
12）暂停容器
#docker pause NAME/ID
13）取消暂停继续运行容器
#docker unpause NAME/ID
docker镜像的仓库 --- repository的创建:
仓库分为公共仓库和私有仓库
DockerHub的官方仓库 https://hub.docker.com
DockerPool社区仓库 https://dl.dockerpool.com
Dockern Pool (http://dockerpool.com)是国内专业的Docker社区，目前也提供了官方镜像的下载管理服务
仓库 --- 创建自己的私有仓库
1)# docker run -d -p 5000:5000 -v /var/lib/registry:/var/lib/registry --restart=always --name registry
修改配置文件将私有库地址加入进去
# vim /etc/sysconfig/docker
# line 4: add Docker-Registry's URL
OPTIONS='--insecure-registry 192.168.254.162:5000
3）#systemctl restart docker
4）# docker tag my-imge:latest 192.168.254.162:5000/my-imge1:latest
更换 my-imge:latest 一个新的名称标签
5）# docker push 192.168.254.162:5000/my-imge1:latest
上传 my-imge1:latest
6）# 删除本地原有的busybox 镜像，然后向私有库192.168.254.162重新下载
# docker rmi 192.168.254.162:5000/my-imge1:latest
# docker pull 192.168.254.162:5000/my-imge1:latest
docker底层依赖的核心技术 :
命名空间 (Namespaces)
控制组 (Control Groups)
联合文件系统 (Union File System)
Linux 虚拟网络支持：本地和容器内创建虚拟接口
1）命名空间 (Namespaces)：实现了容器间资源的隔离 每个容器拥有自己独立的命名空间 , 运行其中的应用就像是运行在独立的操作系统中一样 , 我们都可以看到文件系统，网卡等资源保证了容器之间互不影响， namesaces管理进程号 , 每个进程命名空间有一套自己的进程号管理方法 , 进程命名空间是一个父子关系的结构 , 子空间中的进程对于父空间是可见的。
网络命名空间—有了 PID 命名空间 , 那么每个名字中的进程就可以相互隔离 , 但是 , 网络端口还是共享本地的端口 . 网络命名空间就是为进程提供一个完全独立的网络协议栈的视图 包括 : 网络设备接口 ,IPv4 和 IPv6 协议栈 ,IP 路由表 , 防火墙规则 ,sockets 等等 ....。
目前容器所使用的命名空间提供５种不同的类型 :
3）联合文件系统 (Union FS) docker 中使用AUFS(another Union File System 或 v2 版本以后的Advanced multi-layered Unification File System) 控制为每一个成员目录设定只读 / 读写 / 写出权限 , 同时 AUFS 有一个类似分层的概念 , 对只读权限的分支可以逻辑上进行增量的修改 轻量级的高性能分层文件系统 , 它支持将文件系统中的修改信息作为一次提交 , 并层层叠加 , 并且可以将不同目录挂载到同一个虚拟文件系统下docker 目前支持的联合文件系统包括AUFS/btrfs/vfs/DeviceMappe