docker - Docker 引擎如何取代虚拟机管理程序和 guest 操作系统？

Question

左边是我从这个 video 得到的 VM 和丰富的 tis Docker :



Docker 引擎怎么能如此轻量级，以至于它可以取代客户操作系统和虚拟机管理程序，并且仍然可以与主机操作系统一起工作？本质上，它只是比 VM 更有效地翻译不同的应用程序及其依赖项？我听说 Docker 引擎使用与主机操作系统相同的内核，但我不确定我是否理解这意味着什么。本质上，我们用一个 Docker 引擎替换了来自多个客户操作系统和一个 Hypervisor 的所有依赖项，但我不明白如何做到这一点。 Docker 引擎是否只是删除了Guest OS 一开始就不应该拥有的那些无关紧要的东西？什么是不必要的无关紧要的东西？

Answer 1

容器必须被理解为一组使用 Linux 内核原语(如命名空间和 cgroup)实现的隔离进程。目前有 5 个命名空间:PID、挂载、网络、IPC 和用户命名空间。简而言之:使用命名空间，进程无法看到彼此，除非它们在同一个命名空间中。把它想象成类固醇上的 chroot(一种挂载命名空间)......这个概念类似于 FreeBSD jail 和 Solaris Zones。
Cgroups 是一种设置命名空间中一组进程的资源消耗限制的方法。

Docker 只是以自己的方式实现 Linux 容器，容器在联合文件系统的层之上运行，等等。

容器与主机运行相同的内核。为了减少内核的攻击面，使用了seccomp和apparmor/selinux等机制来过滤大量的系统调用。此外，为了实现某种程度的隔离，许多功能都被丢弃，这使得越狱变得困难。