前提
docker是linux系统上的，虽然官网提供了windows和MacOS版本的安装包，但它们都是靠虚拟机或类似的技术支撑的。换句话说，为了方便你的阅读，希望你已经了解些许linux的知识。
共识
docker和容器不是一个意思，docker包含实现虚拟化技术的一系列技术，而容器（container）只是其中的一个组件。
Docker可以给你带来什么？
- 更快交付你的应用（Faster delivery of your applications）
- 让部署和测试更简单（Deploying and scaling more easily）
- 实现更高密度和更多的负载（Achieving higher density and running more workloads）
目标
Docker项目的目标是实现轻量级的操作系统虚拟化解决方案，创建软件程序可移植的轻量容器。
底层实现
- Docker 的基础是Linux容器（LXC）等技术。
- 在LXC的基础上Docker进行了进一步的封装，让用户不需要去关心容器的管理，使得操作更为简便。
- Docker使用Cgroups来提供容器隔离，而union文件系统用于保存镜像并使容器变得短暂。
Cgroups：Cgroups是Linux内核功能，它让两件事情变成可能：限制Linux进程组的资源占用（内存、CPU）；为进程组制作 PID、UTS、IPC、网络、用户及装载命名空间。
Union文件系统：在union文件系统里，文件系统可以被装载在其他文件系统之上，其结果就是一个分层的积累变化。如下图：
union文件系统
与虚拟机的关系
用户操作Docker的容器就像操作一个快速轻量级的虚拟机一样简单。
但是它们还是有很大的区别的，看下面两幅图：
官网的说法是：虚拟机上的应用不仅包含了应用本身、必要的依赖（二进制和库包等），还包括整个操作系统；而docker应用不同，共享系统内核，仅仅包含应用本身和依赖。
docker的优势：
| 特性 | 容器 | 虚拟机 |
|---|---|---|
| 启动 | 秒级 | 分钟级 |
| 硬盘使用 | 一般为 MB | 一般为 GB |
| 性能 | 接近原生 | 弱于原生 |
| 系统支持量 | 单机支持上千个容器 | 一般几十个 |
docker的特性：
- 交互式Shell：Docker可以分配一个虚拟终端并关联到任何容器的标准输入上，例如运行一个一次性交互shell
- 文件系统隔离：每个进程容器运行在完全独立的根文件系统里
- 写时复制：采用写时复制方式创建根文件系统，这让部署变得极其快捷，并且节省内存和硬盘空间
- 资源隔离：可以使用cgroup为每个进程容器分配不同的系统资源
- 网络隔离：每个进程容器运行在自己的网络命名空间里，拥有自己的虚拟接口和IP地址
- 日志记录：Docker将会收集和记录每个进程容器的标准流（stdout/stderr/stdin），用于实时检索或批量检索
- 变更管理：容器文件系统的变更可以提交到新的映像中，并可重复使用以创建更多的容器。无需使用模板或手动配置
详情请看：破修电脑的
打个比方
上面的概念很抽象吧，我说得通俗一些。
一般情况下
Linux（如ubuntu）运行一个应用，如tomcat，它需要依赖Java环境吧，其实就（可能）是把Java放在/usr/lib下，然后配置用户环境，使你可以在shell（如bash）上使用java指令，（可选）然后关联tomcat的bin目录下的startup.sh到用户环境上，完成上面两个步骤，就可以把tomcat运行起来。
docker方面
相对上面的tomcat例子，Docker就是通过
- 使用Cgroups隔离计算机资源，使计算机可以运行很多的服务；
-
使用Namespace分离打包服务运行时需要的所有依赖——java、tomcat，方便移植到新的计算机上，可以看下图（MacOS系统上运行docker）,你会发现此容器已经有java和tomcat；
MacOS上docker运行tomcat - 使用Union文件系统，把所有的操作记录在Dockerfile（构建镜像的蓝图）；
- 还有两个特别重要的功能，映射端口和外挂数据卷，映射端口负责接受把docker容器里的某个端口与主机某个端口绑定（请看下面的注意），外挂数据卷就是把war包放置的路径映射到主机上的某个路径，达到业务逻辑和数据持久化分割开，是不是颇有MVC的熟悉感。
注意：这里的端口映射有一个坑，在非Linux上安装docker（比如Windows和MacOS），都是在本机上安装Linux的虚拟机，所有当你在docker运行tomcat时，访问“localhost:8080”是不会有响应的，你应该把localhost换成运行此docker的Linux虚拟机的IP地址。但是在Linux上，就可以通过"localhost:8080"访问到tomcat。这坑很深，我刚接触docker就因为此坑差点放弃了。
Docker结构引擎
注意上图，显示的是docker主要组件。
- Server，就是一个守护进程，它会一直运行在后台；
- REST API，说明如何与server交互和指示它执行命令；
-
Client，是客户书写指令的地方，也俗称shell，看下图：
iTerm运行docker - Image，俗称镜像；
- Container，俗称容器，装载和运行镜像；
- Network，俗称网络，容器通过暴露端口与主机端口绑定，达到接受来自主机的信号；
- Volume，俗称外挂，为了能够持久化数据以及共享容器间的数据，Docker提出了Volume的概念。
正如上面提到的内容，docker的基础就是这几块内容。往深一点，就是swarm之类的云计算概念了。
Docker运行流程
正如上图所示，当我们想运行一个容器的时候，docker会：
- 拉取镜像，若本地已经存在该镜像，则不用到网上去拉取
- 创建新的容器
- 分配union文件系统并且挂着一个可读写的层，任何修改容器的操作都会被记录在这个读写层上，你可以保存这些修改成新的镜像，也可以选择不保存，那么下次运行改镜像的时候所有修改操作都会被消除
- 分配网络\桥接接口，创建一个允许容器与本地主机通信的网络接口
- 设置ip地址，从池中寻找一个可用的ip地址附加到容器上，换句话说，localhost并不能访问到容器
- 运行你指定的程序
- 捕获并且提供应用输出，包括输入、输出、报错信息
参考 chareice写的 Docker 介绍以及其相关术语、底层原理和技术
不知道你发现没有，镜像（image）很想maven里的依赖，它们有着异曲同工之妙。
