镜像（Image）：Docker 镜像（Image），就相当于是一个Linux rootfs 文件系统。比如官方镜像 ubuntu:16.04 就包含了完整的一套 Ubuntu16.04 最小系统的 root 文件系统。容器的本质是Linux rootfs镜像。
应用程序：应用程序以及其依赖关系，被安放在镜像中，是镜像中的一组文件。
容器（Container）：镜像（Image）和容器（Container）的关系，就像是面向对象程序设计中的类和实例一样，镜像是静态的定义，容器是镜像运行时的实体。容器可以被创建、启动、停止、删除、暂停等。
仓库（Repository）：仓库可看成一个代码控制中心，用来保存镜像。

2.2 Docker的网络架构

Docker 使用客户端-服务器 (C/S) 架构模式，通过服务器端的Dockerr Docker Daemon服务器使用远程API来管理和创建远程的Docker容器。

Docker 容器由Docker 镜像来创建，是docker镜像的实例。

容器与镜像的关系类似于面向对象编程中的对象与类。

Docker	面向对象
容器	对象
镜像	类

一个镜像，可以生产多个容器的实例。

概念	说明
Docker 镜像(Images)	Docker 镜像是用于创建 Docker 容器的模板，比如 Ubuntu 系统。
Docker 容器(Container)	容器是独立运行的一个或一组应用，是镜像运行时的实体。
Docker 客户端(Client)	Docker 客户端通过命令行或者其他工具使用 Docker SDK (Redirecting…) 与 Docker 的守护进程通信。
Docker 主机(Host)	一个物理或者虚拟的机器用于执行 Docker 守护进程和容器。
Docker Registry	Docker 仓库用来保存镜像，可以理解为代码控制中的代码仓库。 Docker Hub(https://hub.docker.com) 提供了庞大的镜像集合供使用。一个 Docker Registry 中可以包含多个仓库（Repository）；每个仓库可以包含多个标签（Tag）；每个标签对应一个镜像。通常，一个仓库会包含同一个软件不同版本的镜像，而标签就常用于对应该软件的各个版本。我们可以通过 <仓库名>:<标签> 的格式来指定具体是这个软件哪个版本的镜像。如果不给出标签，将以 latest 作为默认标签。
Docker Machine	Docker Machine是一个简化Docker安装的命令行工具，通过一个简单的命令行即可在相应的平台上安装Docker，比如VirtualBox、 Digital Ocean、Microsoft Azure。

2.3 Docker的处理流程

docker build：通过doker daemon生成docker镜像
docker pull：通过doker daemon把docker镜像上传到Docker hub中
docker run：通过doker daemon运行docker镜像

第3章容器与虚拟机的比较

3.1 虚拟化（重量级的容器）

（1）什么是虚拟化

虚拟机（VM）是共享一个服务器的物理资源的操作系统。它是主机硬件上的Guest，因此也被称为Guest虚拟机。

虚拟机由几层组成。支持虚拟化的层是hypervisor。hypervisor是一种虚拟化服务器的软件, 有它负责在主机操作系统上创建和管理虚拟机环境，如VMWare虚拟机软件。

虚拟机运行应用程序所需的一切都包含在虚拟机里--虚拟化的硬件、操作系统以及任何所需的二进制文件和库。因此，虚拟机具有自己独立的基础架构（虚拟硬件、全套操作系统、全套中间件、应用程序、依赖库等）。

（2）虚拟机的优势

虚拟机可减少在物理服务器设备上的支出，可以利用一个物理服务器资源切分成多个独立的虚拟机。

由于只有一台物理主机，因此可以利用虚拟机管理程序的集中功能高效地管理所有虚拟环境。这些系统完全相互独立，这意味着你可以在不同的虚拟机里安装不同的系统环境。比如VMWare虚拟机。

最重要的是，虚拟机与主机操作系统隔离，是进行实验和开发应用程序的安全场所。

（3）虚拟机的劣势

虚拟机可能占用主机的大量系统资源，虚拟机的大小为数GB。在虚拟服务器上运行单个应用程序意味着还要运行Guest OS以及Guest OS运行所需的所有硬件的虚拟副本。这样很快就增加了很多RAM和CPU资源消耗。

迁移虚拟机上运行的应用程序的过程也可能很复杂，因为它始终附加在操作系统上。因此，必须同时迁移应用程序和操作系统。同样，在创建虚拟机时，系统管理程序会分配专用于VM的硬件资源。不过与运行单独的实体服务器相比，这仍然是经济的。

3.2 容器（轻量级的虚拟机）

（1）什么是容器

容器是一个不依赖于操作系统，运行应用程序的环境，由Docker Engine引擎负责构建和管理这样的运行环境。

它通过Linux的Namespaces和Cgroups技术对应用程序进程进行隔离和限制的，Namespace的作用是隔离，它让应用进程只能看到该Namespace内的世界；而Cgroups 的作用是限制分配给进程的宿主机资源。但对于宿主机来说，这些被“隔离”了的进程跟其他进程并没有太大区别。

容器只是运行在宿主机上的一种特殊的进程，多个容器之间使用的还是同一个宿主机的操作系统内核。

Namespace的作用是隔离，它让应用进程只能看到该Namespace内的世界；

而Cgroups的作用是限制，它给这个世界围上了一圈看不见的墙。

通过Mount Namespace可以修改容器进程对自己的文件系统 "挂载点"的认知。

在容器进程启动之前重新挂载它的整个根目录"/"（通过pivot_root系统调用改变进程的文件系统，如果系统不支持，则使用chroot），而由于Mount Namespace的存在，这个挂载对宿主机不可见的。这个挂载在容器根目录上、用来为容器进程提供隔离后执行环境的文件系统，就是所谓的“容器镜像”。

它还有一个更为专业的名字，叫做：rootfs（根文件系统）。rootfs只是一个操作系统所包含的文件、配置和目录，并不包括操作系统内核。它操作系统内核之间，通过标准的Posix接口进行交互，与主机通过mount的文件系统的加载点进行交互。

所以说，rootfs 只包括了操作系统的 "躯壳"，并没有包括操作系统的内核。同一台机器上的所有容器，都会共享宿主机操作系统的内核。这是与虚拟机一个重大的差别，每个虚拟机有独立的操作系统内核镜像，而docker并不包括操作系统内核镜像，所有docker中的程序的运行和调度，完全依赖主机的操作系统的调度。容器只起着隔离的作用。

（2）容器的优势

容器镜像占用的硬盘大小比虚拟机小很多，甚至可以小到10MB，可以轻松限制容器的内存和CPU使用率。与部署应用需要部署整个操作系统的虚拟机相比，容器非常轻巧且启动迅速。这样让我们可以快速扩展容器并添加相同的容器。

由于rootfs里打包的不只是应用，而是应用程序在文件系统中的所有文件和目录，也就意味着，应用以及它运行所需要的所有依赖，都被封装在了一起。这就赋予了容器所谓的一致性：无论在本地、云端，还是在一台任何地方的机器上，用户只需要解压打包好的容器镜像，那么这个应用运行所需要的完整的执行环境就能被重现出来（除了操作系统内核文外）

容器对于持续集成和持续部署（CI / CD）实施也是极好的选择。他们通过在开发人员之间分发和合并镜像来促进协作开发。

（3）容器的劣势

容器仍无法提供与虚拟机相同的安全性和稳定性。

如果容器里的应用程序需要配置内核参数、跟内核进行直接的交互，这些都是操作的宿主机操作系统的内核，它对于该机器上的所有容器来说是一个“全局变量”，牵一发而动全身。

由于容器之间共享主机的内核，因此不能像虚拟机一样完全隔离。容器是进程级的隔离，而不是操作系统级别的隔离，一个容器可以通过影响宿主机内核的稳定性来影响其他容器。

一旦容器执行了任务，它就会关闭并删除其中的所有数据，这可能会影响其他容器对该数据的读写。如果希望数据保留下来，则必须使用"数据卷"进行保存，这需要在主机上进行手动配置。

另外，Docker的本质是Linux rootf镜像，它的运行需要Linux内核的支撑，如果需要windows环境中安装docker环境，需要首先构建Linux的环境，即需要先安装虚拟机。