liuwenqiang1314的博客

至此我们就介绍了常用的几种构建模式，我们看到其实各有利弊吧。看你喜欢哪一种了，只是后面两种不需要你掌握太多docker知识，更加专注于业务开发。

我们今天全部的结构都可以用这个描述来体现，这个容器进程“java -jar springboot_demo-0.0.1-SNAPSHOT.jar”，运行在由 Linux Namespace 和 Cgroups 构成的隔离环境里；而它运行所需要的各种文件，比如jdk环境等等，以及整个操作系统文件，则由多个联合挂载在一起的 rootfs 层提供。这些 rootfs 层的最下层，是来自 Docker 镜像的只读层。

Linux 容器文件系统的实现机制，正是我们经常提到的容器镜像，也叫作：rootfs。它只是一个操作系统的所有文件和目录，并不包含内核，最多也就几百兆。而相比之下，传统虚拟机的镜像大多是一个磁盘的“快照”，磁盘有多大，镜像就至少有多大。通过结合使用 Mount Namespace 和 rootfs，容器就能够为进程构建出一个完善的文件系统隔离环境。

所以，一个正在运行的 Docker 容器，其实就是一个启用了多个 Linux Namespace 的应用进程，而这个进程能够使用的资源量，则受 Cgroups 配置的限制。这也是容器技术中一个非常重要的概念，即：容器是一个“单进程”模型。由于一个容器的本质就是一个进程，用户的应用进程实际上就是容器里 PID=1 的进程，也是其他后续创建的所有进程的父进程。

所以我们可以看到，所谓的docker容器，实际就是在创建容器进程的时候，指定了一组关于这个进程需要启动的Namespace，隔离了进程的PID，文件，设备，配置等等。而对于宿主机以及其他和这个进程不相关的进程，他是完全看不到的。所以，容器，其实就是一种特殊的进程。只是他做了隔离。所以在这个概念之上，我们就知道，所谓容器，在使用的时候其实并没有一个真实的容器存在，docker启动的其实还是原来的应用，只是在创建这些进程的时候docker加上了很多Namespace参数来限制进程的视角。