【探索 Kubernetes|容器基础进阶篇 系列1】容器的本质是进程

wp_qyl 2024-2-6 393 2/6

大家好,我是秋意零。

该系列文章,首发在我的CSDN(秋意零)。

一、为什么会出现容器?

  • 我们来假设一个场景,某个客户向某个公司定制了一个产品,经过2个月的使用这个产品终于完成了,并且在>自己公司中也是可以安全运行的,这个时候就需要到客户哪里交付,需要现场安装部署。
  • 在安装部署过程中,需要在客户哪里准备好自己产品的运行环境,由于产品比较大,配置环境是非常浪费时间和精力的,而且这个过程中或许还会出现自己公司没有遇到过的问题。
  • 显然这种传统方式,是需要优化改进的。这个时候就出现了容器部署,容器解决了应用打包的这个根本难题

当然还要其它应用场景,这里只是说明一个举例。

二、容器是什么?

紧跟上面的例子:

容器解决了应用打包的这个根本难题

  • 这个打包包含应用环境和应用本身,就是说可以打包自己应用和环境,这就是一个镜像,有了这个镜像,我们只需要携带这个镜像到客户现场运行这个镜像就行了,这时运行的镜像就称为容器。
  • 容器其实是一种沙盒技术。顾名思义,沙盒就是能够像一个集装箱一样,把你的应用“装”起来的技术。这样,应用与应用之间,就因为有了边界而不至于相互干扰;而被装进集装箱的应用,也可以被方便地搬来搬去。

专业名词:

  • image: 镜像包含应用和应用环境
  • contaienr: 容器是镜像的运行出来的状态
  • registry: 仓库是存放镜像的地方

容器本身没有太大价值,有价值的是“容器编排” (相当于是说,技术本身没有价值,价值在于解决实际问题)

  • 编排主要是容器之间的关系,也之所以 Kubernetes 项目和CNCF社区 火的原因之一

这里简单提一嘴: Kubernetes 可以看作是操作系统,而容器就是应用程序进程

【探索 Kubernetes|容器基础进阶篇 系列1】容器的本质是进程

三、容器“边界”的实现手段

3.1、进程如何运行的?

  • 假如,你要写一个计算加减法的程序,这个程序需要的输入来自一个文件,计算结果输出到另一个文件
  • 因为计算机只认识二进制 0 和 1,不管用什么语言编写,都需要将这段代码编译成二进制文件,这样计算机才能运行。
  • 我们知道我们的数据(程序)是存放在磁盘当中的,运行程序时需要将磁盘数据放入内存中,这样CPU、寄存器和内存协作计算,还有被打开的文件,以及各种各样的 I/O 设备在不断地调用中修改自己的状态,这个程序就运行起来了。
  • 一旦“程序”被执行起来,它就从磁盘上的二进制文件,变成了内存中的数据、寄存器里的值、堆栈中的指令、被打开的文件,以及各种设备的状态信息的一个集合。这样的一个程序运行集合就是我们的今天的主角:进程
  • 所以,对于进程来说,它的静态表现是程序,存放在磁盘中动态表现是进程,数据和状态的集合

3.2、Namespace 与 Docker 边界

  • 而容器技术的核心功能,就是通过约束和修改进程的动态表现,从而为其创造出一个“边界”。
  • 对于 Docker 等大多数 Linux 容器,Cgroups 技术是用来制造约束的主要手段,而 Namespace 技术则是用来修改进程视图的主要方法。

可能觉得 Cgroups 和 Namespace 这两个概念很抽象,我们一起动手实践一下,就很容易理解这两项技术了。

我们使用 docker run 运行一个镜像容器,-it 参数是分配一个文本输入/输出环境,TTY

[root@master01 ~]# docker run -it busybox /bin/sh
# ps
PID   USER     TIME  COMMAND
    1 root      0:00 /bin/sh
    7 root      0:00 ps

可以看到,我们第一个进程号是 PID=1,并且运行的是 /bin/sh 命令,还有一个就是我们刚才执行的 ps 命令
可以看到,我们已经被 Docker 隔离在一个跟宿主机完全不同的环境当中。

容器的本质是一个进程

宿主机上我们执行 ps 命令可以看到,宿主机上有个进程,这个进程是我们运行容器时所使用的命令,也代表了我们容器也是一个进程表现出来的,所以 **容器的本质是一个进程**。

[root@master01 ~]# ps -aux | grep "/bin/sh"
...
root      97285  0.3  0.2 933264 21796 pts/0    Sl+  11:33   0:00 docker run -it busybox /bin/sh
...

为了表现这个容器是进程我们做一个实验

  • 首先连接工具开两个窗口
  • 一个运行的是 docker run -it busybox /bin/sh 这样一条命令
  • 另一个执行 ps -aux | grep "/bin/sh" 找到这里的 docker run -it busybox /bin/sh 进程,执行 kill -9 97285 (这里通过 ps 命令可以看到我的容器 PID 是97285)杀掉这个进程,如图可以看到 docker run -it busybox /bin/sh 进程退出了,说明了 **容器的本质是一个进程**。
【探索 Kubernetes|容器基础进阶篇 系列1】容器的本质是进程

这是怎么做到的呢?

  • 本来,每当我们在宿主机上运行了一个 /bin/sh 程序时,操作系统都会给它分配一个进程编号,比如 PID=1000。 进程编号具有唯一标识,就像员工的工号,所以我们可以看作 /bin/sh 是公司里的第 1000 名员工,而 1 号员工就是老板,管理全局的人。
  • 现在,我们通过 Docker 把这个 /bin/sh 程序运行在一个容器中。这时,Docker 就会在这个 1000 号员工入职时给他一个“障眼法”,让他永远看不到前面的其他 999 个员工,更看不到老板。这样,他就会以为自己第 1 号员工。

这种机制,其实就是对被隔离应用的进程空间做了手脚,也就是使用了 Linxu 中的 Namespace 技术

这种 Namespace 使用方式,其实是 Linux 创建新进程的一个可选参数,比如:

# 创建一个新的进程,并且返回它的进程号 pid
int pid = clone(main_function, stack_size, SIGCHLD, NULL); 

而当我们用 clone() 系统调用创建一个新进程时,就可以在参数中指定 CLONE_NEWPID 参数(新PID),比如:

int pid = clone(main_function, stack_size, CLONE_NEWPID | SIGCHLD, NULL); 

这时,新创建的这个进程将会“看到”一个全新的进程空间,在这个进程空间里,它的 PID 是 1。之所以说“看到”,是因为这只是一个“障眼法”,在宿主机真实的进程空间里,这个进程的 PID 还是真实的数值,比如 100。

  • 我们还可以多次执行上面的 clone() 调用,这样就会创建多个 PID Namespace,而每个 Namespace 里的应用进程,都会认为自己是当前容器里的第 1 号进程
  • 除了我们刚刚用到的 PID Namespace,Linux 操作系统还提供了 Mount、UTS、IPC、Network 和 User 这些 Namespace,用来对各种不同的进程上下文进行“障眼法”操作。
  • 比如,Mount Namespace,用于让被隔离进程只看到当前 Namespace 里的挂载点信息;Network Namespace,用于让被隔离进程看到当前 Namespace 里的网络设备和配置。

这,就是 Linux 容器最基本的实现原理了

Docker 容器这个听起来玄而又玄的概念,实际上是在创建容器进程时,指定了这个进程所需要启用的一组 Namespace 参数。这样,容器就只能“看”到当前 Namespace 所限定的资源、文件、设备、状态,或者配置。而对于宿主机以及其他不相关的程序,它就完全看不到了。

所以说,容器,其实是一种特殊的进程而已。

总结

相信大家学容器时都看过这个虚拟机和容器的对比图。
【探索 Kubernetes|容器基础进阶篇 系列1】容器的本质是进程

  • 左边是虚拟机的工作原理,其中 Hypervisor 软件是虚拟机最重要的部分它可以实现模拟出各种硬件,比如:CPU、内存、磁盘等,在 Hypervisor 软件层之上创建 Guest OS 也就是客户机操作系统,Guest OS 和 Hypervisor 模拟出来的硬件交互 ,这样用户应用程序就可以运行在这个虚拟机中,用户自然看到的就是这个新的操作系统的文件系统结构,这也是虚拟机也能起到将不同应用程序相互隔离的原因

  • 右边,则用一个名为 Docker Engine 的软件替换了 Hypervisor。这也是为什么,很多人会把 Docker 项目称为“轻量级”虚拟化技术的原因,实际上就是把虚拟机的概念套在了容器上这样的说明并不严谨,因为 容器本质是运行在宿主机上的进程,使用的是 Namespace 技术,通过 Namespace 技术实现网络、磁盘、PID、用户等隔离

相信你此刻已经会心一笑:容器隔离不过都是“障眼法”罢了

参考

参考《深入剖析Kubernetes》作者 张磊

End

这篇文章有用吗?

点击星号为它评分!

平均评分 0 / 5. 投票数: 0

到目前为止还没有投票!成为第一位评论此文章。

很抱歉,这篇文章对您没有用!

让我们改善这篇文章!

告诉我们我们如何改善这篇文章?

- THE END -

wp_qyl

5月05日20:20

最后修改:2024年5月5日
0

非特殊说明,本博所有文章均为博主原创。

共有 0 条评论