基于Docker的虛擬化技術(shù)研究

李明+郭洋+蔣明

【摘要】 軟件程序的部署是網(wǎng)絡(luò)管理人員面臨的重要課題，隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，軟件程序不斷增加，這些問題愈發(fā)明顯，作為一種輕量型的虛擬化策略，Docker可以對(duì)大規(guī)模應(yīng)用程序進(jìn)行快速開發(fā)、測(cè)試、應(yīng)用和更新。本文對(duì)Docker的關(guān)鍵技術(shù)進(jìn)行了分析，并與其他虛擬技術(shù)進(jìn)行了比較，對(duì)Docker的有點(diǎn)和不足進(jìn)行了分析，并對(duì)其應(yīng)用場(chǎng)景進(jìn)行了討論，對(duì)Docker虛擬化技術(shù)的研究和應(yīng)用有一定的參考意義。

【關(guān)鍵詞】 Docker 虛擬化技術(shù) 優(yōu)勢(shì)

一、概述

如今，云平臺(tái)已經(jīng)逐漸成為應(yīng)用程序部署的主流，虛擬化是云平臺(tái)建設(shè)的核心元素，虛擬化技術(shù)的價(jià)值日漸明顯。對(duì)IT資源的集中部署和抽象化從而完成用戶的共享，使資源的利用率大幅提高，硬件的使用成本大幅降低，另外，精簡(jiǎn)的軟件層插入到物理層和用戶操作系統(tǒng)層之間，使兩層的耦合度降低了，軟硬件兼容問題得到緩解。如今，最重要的虛擬化技術(shù)非虛擬機(jī)技術(shù)莫屬，虛擬機(jī)技術(shù)使高隔離度和標(biāo)準(zhǔn)化得以實(shí)現(xiàn)，但同時(shí)給宿主服務(wù)器造成了極大的運(yùn)行壓力。大規(guī)模的虛擬機(jī)部署造成大量的重復(fù)內(nèi)存分頁在宿主計(jì)算機(jī)上生成，一方面導(dǎo)致宿主機(jī)資源的大量占用，使得虛擬機(jī)的運(yùn)行速度緩慢。在需要應(yīng)用快速部署的場(chǎng)景下，則要求開發(fā)適宜的虛擬化技術(shù)。作為一種容器級(jí)的虛擬化技術(shù)，Docker雖然還存在一些不足，但在隔離性、資源占用以及啟動(dòng)速度方面具有較大優(yōu)勢(shì)。通過對(duì)Docker關(guān)鍵技術(shù)的分析，本文得出了Docker虛擬化技術(shù)和其他常規(guī)技術(shù)相比的主要優(yōu)勢(shì)，并討論了Docker主要的應(yīng)用場(chǎng)景。

二、Docker技術(shù)的簡(jiǎn)介

作為一種高級(jí)容器引擎，Docker的核心部件是LXC，Docker進(jìn)一步封裝了LXC，可移植性和標(biāo)準(zhǔn)化得到了提高，其開發(fā)語言為go，規(guī)范遵循開源規(guī)范Apache2.0。作為一種輕量級(jí)的虛擬化技術(shù)，LXC技術(shù)可以同時(shí)使多個(gè)Linux系統(tǒng)在一個(gè)宿主機(jī)操作系統(tǒng)上運(yùn)行。在隔離技術(shù)上，其處理器、存儲(chǔ)器、內(nèi)存、I/O設(shè)備網(wǎng)絡(luò)設(shè)備等通過cgroups技術(shù)完成隔離，LXC建立了一個(gè)擁有獨(dú)立網(wǎng)絡(luò)空間和進(jìn)程的虛擬環(huán)境，因此，可以確保在單一節(jié)點(diǎn)運(yùn)行的數(shù)個(gè)容器同時(shí)運(yùn)行的同時(shí)保持高隔離性。作為容器級(jí)的虛擬化技術(shù)，其與常規(guī)的虛擬化技術(shù)相比是輕量級(jí)的虛擬化技術(shù)，促使虛擬化的目標(biāo)和資源的占用得到平衡，同時(shí)還具有啟動(dòng)迅速的優(yōu)勢(shì)。[1]

容器和鏡像是Docker的兩個(gè)重要概念，容器是Docker建立的虛擬環(huán)境，是一個(gè)獨(dú)立的Linux環(huán)境，其在功能上等同于一個(gè)完整的Linux環(huán)境。鏡像和虛擬機(jī)的鏡像類似，利用Docker鏡像可以將構(gòu)建的容器進(jìn)行還原?；A(chǔ)鏡像基礎(chǔ)的操作對(duì)象，可以進(jìn)行應(yīng)用的安裝、環(huán)境變量的配置。從而構(gòu)建需要的鏡像，則可以通過鏡像還原出另一個(gè)相同的環(huán)境。

三、Docker虛擬化的隔離性和資源控制

隔離性是虛擬化技術(shù)的關(guān)鍵要素。Docker虛擬化技術(shù)沒有通過將中間層插入到硬件和操作系統(tǒng)之間實(shí)現(xiàn)隔離，虛擬環(huán)境以容器的形式在宿主主機(jī)操作系統(tǒng)運(yùn)行，因此，其隔離性取決于宿主機(jī)支持的隔離特性。Linuix內(nèi)核的namespace實(shí)現(xiàn)了Docker容器的隔離，容器的網(wǎng)絡(luò)空間、進(jìn)程、用戶以及文件系統(tǒng)利用pid、mnt、uts、net等進(jìn)行了隔離。在容器中的用戶進(jìn)程都是lxc-start的子進(jìn)程，pid namespace實(shí)現(xiàn)了用戶進(jìn)程的隔離，不同的namespace的進(jìn)程號(hào)可以相同。不同namespace空間中的進(jìn)程不能相互影響，從而實(shí)現(xiàn)容器中進(jìn)程的獨(dú)立性。

對(duì)namespace來說，在保證容器良好隔離的同時(shí)，限制管理容器資源。利用namespace實(shí)現(xiàn)了個(gè)容器對(duì)外視角的獨(dú)立，但實(shí)際上各namespace之間在宿主機(jī)內(nèi)部看還存在競(jìng)爭(zhēng)，存在宿主機(jī)資源的爭(zhēng)奪，當(dāng)有大量應(yīng)用部署時(shí)。必然會(huì)有資源請(qǐng)求沖突的的情況發(fā)生，防止單一容器占用過多資源，從而使容器需求得到平衡，成為亟需解決的問題。同時(shí)，云平臺(tái)IT資源按需使用和費(fèi)用統(tǒng)計(jì)的實(shí)現(xiàn)，離不開資源的標(biāo)準(zhǔn)化計(jì)量和分配。[2]

Docker的資源控制功能通過Linux的cgroup技術(shù)達(dá)成。Linuix的內(nèi)核技術(shù)cgroup可以對(duì)進(jìn)程的物理資源進(jìn)行記錄、隔離和限制。在cgroup出現(xiàn)之前，系統(tǒng)中已經(jīng)存在分立的進(jìn)行資源管理的子系統(tǒng)，而cgroup實(shí)現(xiàn)了各種子系統(tǒng)的整合，為資源管理提供了標(biāo)準(zhǔn)的框架。

Cgroup的功能主要有：（1）限制資源。對(duì)每個(gè)進(jìn)程的資源分配數(shù)量進(jìn)行限制，例如，通過內(nèi)存子系統(tǒng)對(duì)進(jìn)程組的內(nèi)存上限進(jìn)行分配。（2）設(shè)定優(yōu)先級(jí)。指定進(jìn)程的優(yōu)先級(jí)，當(dāng)容器出現(xiàn)資源搶占的情況時(shí)，宿主機(jī)根據(jù)進(jìn)程組的優(yōu)先級(jí)和優(yōu)先級(jí)算法進(jìn)行資源的分配。（3）對(duì)資源的使用率進(jìn)行記錄。對(duì)容器的資源使用量進(jìn)行記錄對(duì)云平臺(tái)來講，不僅用于標(biāo)準(zhǔn)化度量從而實(shí)現(xiàn)計(jì)費(fèi)等服務(wù)，同時(shí)也是平臺(tái)管理的重要舉措。例如，在某兩個(gè)時(shí)刻對(duì)容器的CPU的使用時(shí)間進(jìn)行讀取，若使用時(shí)間和兩個(gè)時(shí)刻的時(shí)間差接近，則可以得出，在這一時(shí)間段內(nèi)應(yīng)用可能出現(xiàn)了死鎖現(xiàn)象，應(yīng)當(dāng)提起注意。（4）控制進(jìn)程組。比如當(dāng)某容器或應(yīng)用有死鎖現(xiàn)象發(fā)生時(shí)，可以對(duì)這一進(jìn)程采取中斷操作，從而實(shí)現(xiàn)其運(yùn)行進(jìn)程的恢復(fù)。

以上的cgroup功能是Docker進(jìn)行容器資源管理的基礎(chǔ)。

四、實(shí)現(xiàn)移動(dòng)性

移動(dòng)性是采用特定手段將所構(gòu)建的環(huán)境進(jìn)行方便的還原。LXC在設(shè)計(jì)初期缺乏對(duì)移動(dòng)性的考慮，可移植性嚴(yán)重不足，不能利用標(biāo)準(zhǔn)化的鏡像進(jìn)行虛擬容器的復(fù)制建立，而Docker通過AUFS技術(shù)的映入實(shí)現(xiàn)了LXC的進(jìn)一步封裝，使容器快速移動(dòng)和更新的問題得到很好的解決。

AUFS把在路徑不同的文件掛載到同一虛擬文件系統(tǒng)，并該虛擬文件系統(tǒng)的某個(gè)目錄設(shè)為不同的權(quán)限。在AUFS中的分層機(jī)制，通過對(duì)制度權(quán)限的分支采取邏輯修改的方式，而不會(huì)對(duì)只讀部分產(chǎn)生影響。Docker應(yīng)用AUFS技術(shù)進(jìn)行容器鏡像的構(gòu)建，首先加載根文件系統(tǒng)，并將其權(quán)限設(shè)定為只讀，系統(tǒng)檢查完成以后，在根文件系統(tǒng)上加載一個(gè)可寫的文件，從而使只讀的根文件系統(tǒng)和可寫的文件系統(tǒng)形成了容器的運(yùn)行目錄。[3]利用AUFS技術(shù)，容器修改可讀層只會(huì)在可寫層中進(jìn)行而不會(huì)對(duì)只讀層造成影響，從而只讀層可以被多個(gè)容器共享而不會(huì)出現(xiàn)沖突，這個(gè)只讀層就是鏡像。

五、Docker的優(yōu)點(diǎn)

Docker作為一種新型的虛擬化技術(shù)和常規(guī)的虛擬機(jī)相比優(yōu)勢(shì)比較明顯，主要表現(xiàn)有：

（1）技術(shù)輕巧。在常規(guī)的虛擬機(jī)技術(shù)中，由于所有的環(huán)境都對(duì)全套的物理硬件進(jìn)行了虛擬，并對(duì)操作系統(tǒng)進(jìn)行了完整的裝載，因此，在虛擬機(jī)的大量部署時(shí)會(huì)存在眾多的內(nèi)存分頁，這構(gòu)成了虛擬機(jī)資源占用的主要原因。[4]而Docker的容器對(duì)宿主機(jī)的內(nèi)核進(jìn)行了共享，避免了為所有容器進(jìn)行加載，如圖1所示，這樣使系統(tǒng)的內(nèi)存空間得到大大節(jié)約，同時(shí)也使系統(tǒng)的啟動(dòng)速度大大提高，在虛擬機(jī)大規(guī)模應(yīng)用時(shí)，秒級(jí)別的啟動(dòng)時(shí)間優(yōu)勢(shì)會(huì)非常明顯。

（2）環(huán)境適配問題得到徹底解決。Docker使環(huán)境適配問題得到完美解決，該虛擬化技術(shù)知識(shí)一種進(jìn)程級(jí)的，但卻提供自給自足的容器，具有完整獨(dú)立的運(yùn)行空間，只要將Docker安裝到系統(tǒng)中，并使用需要的鏡像，就能建立系統(tǒng)和搭載的應(yīng)用和配置完全相同的環(huán)境。

（3）無特定狀態(tài)的虛擬化技術(shù)。Docker中的容器沒有特定的狀態(tài)，只要鏡像不做改動(dòng)，當(dāng)用戶對(duì)容器進(jìn)行重啟操作時(shí)，容器就會(huì)恢復(fù)到鏡像創(chuàng)建時(shí)的狀態(tài)，這一特點(diǎn)在某些場(chǎng)合極具優(yōu)勢(shì)。

六、Docker的應(yīng)用

1、軟件開發(fā)/測(cè)試環(huán)境的快速構(gòu)建。軟件的開發(fā)/測(cè)試環(huán)境的構(gòu)建十分復(fù)雜，眾多的軟件需要安裝配置，尤其當(dāng)環(huán)境升級(jí)或者開發(fā)環(huán)境規(guī)模增長(zhǎng)時(shí)，重復(fù)性的工作會(huì)使整個(gè)工作流程的效率異常低下。Docker的應(yīng)用會(huì)使這一情況得到改觀，只要制作一份合格的Docker鏡像，使用該鏡像就可以就可以還原出多個(gè)相同的環(huán)境，從而使工作效率大大提高。

2、大量標(biāo)準(zhǔn)化應(yīng)用的快速部署。應(yīng)用本身如今已經(jīng)逐漸成為整個(gè)系統(tǒng)的中心，大量標(biāo)準(zhǔn)化的應(yīng)用常常需要在場(chǎng)景中部署，同時(shí)還要求隔離性較好。快速部署不僅包括方便的配置管理，從而對(duì)環(huán)境依賴問題進(jìn)行解決，同時(shí)還包括快速的啟動(dòng)速度。采用常規(guī)的虛擬機(jī)技術(shù)，虛擬機(jī)的啟動(dòng)典型值可達(dá)幾分鐘，當(dāng)部署的虛擬機(jī)數(shù)量較多時(shí)，將會(huì)耗費(fèi)大量時(shí)間。而Docker啟動(dòng)時(shí)間以秒為單位，其時(shí)間優(yōu)勢(shì)巨大，非常適合大量應(yīng)用的快速部署，尤其在標(biāo)準(zhǔn)化后，利用腳本可以使應(yīng)用的部署更加簡(jiǎn)便。

七、結(jié)論

Docker作為新型的虛擬化技術(shù)，依靠其性能損耗小、啟動(dòng)速度塊和可移植性強(qiáng)等優(yōu)越的性能表現(xiàn)出極大的相對(duì)優(yōu)勢(shì)，但是這并不代表Docker目前可以完全替代現(xiàn)有的虛擬機(jī)技術(shù)。Docker和傳統(tǒng)的虛擬機(jī)技術(shù)相似之處很多，但是Docker在本質(zhì)上是一種面向應(yīng)用的虛擬化技術(shù)，應(yīng)用是Docker的中心，輕巧的結(jié)構(gòu)適合數(shù)量龐大的應(yīng)用進(jìn)行快速管理和部署，以及環(huán)境的還原。而面向架構(gòu)的虛擬機(jī)技術(shù)，IT資源的抽象是其初衷，對(duì)物理資源進(jìn)行抽象和標(biāo)準(zhǔn)化，因此虛擬機(jī)和Docker的應(yīng)用場(chǎng)景不是完全相同的。在今后的發(fā)展中，虛擬機(jī)和Docker技術(shù)可以作為不同層面的虛擬化技術(shù)配合使用。但可以想象，在應(yīng)用逐漸成為市場(chǎng)中心的未來，Docker將得到更加廣泛的應(yīng)用。

參 考 文 獻(xiàn)

[1]曾平.國(guó)內(nèi)云計(jì)算研究現(xiàn)狀與未來[J]，電腦與信息技術(shù)，2014（1）：41-45.

[2]俞烈化陳學(xué)兵系統(tǒng)虛擬化技術(shù)研對(duì)J].電子世界，2013^2）：8-9.

[3]浙江大學(xué)SEL實(shí)驗(yàn)室.Docker容器與容器云[M].北京：人民郵電出版社，2015：325-327

[4]陳伯龍，程志鵬，張杰著.云計(jì)算與Open Stack（虛擬機(jī)Nova篇）[M].北京：電子工業(yè)出版社，2013：190-193