Docker 在幕后如何工作？

Question

Docker 在幕后如何工作？

Accepted Answer

Docker 使用 Linux kernel 功能 — **namespaces**（隔离）、**cgroups**（资源控制）和 **union filesystems**（分层镜像）— 来创建轻量级容器。理解底层机制解释了容器如何实现隔离和效率。

## Namespaces — 隔离

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — 资源控制

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — 分层镜像

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## 架构

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## 为什么这很重要

理解 Docker 在幕后的工作原理是有价值的高级水平知识，因为它**揭开了容器的神秘面纱**并解释了它们的关键属性（隔离、效率、资源控制），深化了人们对容器化系统进行推理、配置和故障排除的能力。

关键的见解是**容器不是虚拟机 — 它们是主机上的隔离进程**，使用 Linux kernel 功能，这就是为什么它们轻量级且快速（共享主机 kernel 而不是运行单独的操作系统）。

理解**三个核心机制**解释了属性：**namespaces** 隔离进程能看到的内容（其自己的进程树、网络、文件系统、主机名 — 这就是*为什么*容器感觉像一台独立的机器，尽管共享 kernel）、**cgroups** 限制并计算资源使用（这就是*为什么*你可以设置 CPU 和内存限制 — kernel 强制执行它们）和 **union/overlay filesystems** 堆叠镜像层（这就是*为什么*镜像是分层的、可缓存的和可共享的，而容器是轻量级的 — 在容器之间共享只读层，顶部有一个薄的可写层）。

理解**架构**（CLI → daemon → containerd → runc，daemon 管理所有内容）提供了 Docker 如何运作的完整画面。

这种更深入的理解有助于推理隔离边界（及其安全含义，因为容器共享 kernel）、解释性能和效率特征，并帮助故障排除。

由于理解底层机制（namespaces、cgroups、union filesystems）解释了*为什么*容器表现如此 — 它们的隔离、效率、资源控制和它们共享主机 kernel 的重要事实（具有安全含义）— 并深化了自信地处理容器化系统的能力，理解 Docker 在幕后如何工作是有价值的高级水平知识，将人们从使用 Docker 提升到真正理解 Docker，这是反映高级职位所期望深度的主题，对推理容器行为、安全边界和性能很有用。