Docker 的体系结构
docker 使用 C/S 架构，docker daemon 作为 server 端接受 client 的请求，并处理（创建、运行、分发容器），他们可以运行在一个机器上，也通过 socket 或者 RESTful API 通信
Docker daemon 一般在宿主主机后台运行。
Docker client 以系统命令的形式存在，用户用 docker 命令来跟 docker daemon 交互。
Docker 守护进程（Docker daemon）
如上图所示，Docker 守护进程运行在一台主机上。用户并不直接和守护进程进行交互，而是通过 Docker 客户端间接和其通信。
Docker 客户端（Docker client）
Docker 客户端，实际上是 docker 的二进制程序，是用户与 Docker 交互方式。它接收用户指令并且与背后的 Docker 守护进程通信。
Docker 内部：
要理解 Docker 内部构建，需要理解以下三大核心概念：
Docker 镜像 - Docker images
Docker 仓库 - Docker repository
Docker 容器 - Docker containers
只有理解了这三个核心概念，才能顺利地理解 Docker 容器的整个生命周期。
Docker 镜像
Docker 镜像是 Docker 容器运行时的只读模板，镜像可以用来创建 Docker 容器。每一个镜像由一系列的层 (layers) 组成。Docker 使用 UnionFS（联合文件系统）来将这些层联合到单独的镜像中。UnionFS 允许独立文件系统中的文件和文件夹(称之为分支)被透明覆盖，形成一个单独连贯的文件系统。正因为有了这些层的存在，Docker 是如此的轻量。当你改变了一个 Docker 镜像，比如升级到某个程序到新的版本，一个新的层会被创建。因此，不用替换整个原先的镜像或者重新建立(在使用虚拟机的时候你可能会这么做)，只是一个新的层被添加或升级了。现在你不用重新发布整个镜像，只需要升级，层使得分发Docker 镜像变得简单和快速。
例如：centos 镜像中安装 nginx，就成了“nginx 镜像”，其实在此时 Docker 镜像的层级概念就体现出来了。底层一个 centos 操作系统镜像，上面叠加一个 nginx 层，就完成了一个 nginx 镜像的构建。层级概念就不难理解，此时我们一般 centos 操作系统镜像称为nginx 镜像层的父镜像。
镜像是创建 Docker 容器的基础。通过版本管理和增量的文件系统，Docker 提供了一套十分简单的机制来创建和更新现有的镜像，用户甚至可以从网上下载一个已经做好的应用镜像，并直接使用。
Docker 仓库Docker 仓库类似于代码仓库，它是 Docker 集中存放镜像文件的场所。
不要将 Docker 仓库和仓库注册服务器（Registry）混为一谈。实际上，仓库注册服务器是存放仓库的地方，其上往往存放着多个仓库。每个仓库集中存放某一类镜像，往往包括多个镜像文件，通过不同的标签（tag）来进行区分。例如存放 Ubuntu 操作系统镜像的库称为 Ubuntu 仓库，其中可能包括 14.04、12.04 等不同版本的镜像。仓库注册服务器的示例如图所示。
根据所存储的镜像公开分享与否，Docker 仓库可以分为公开仓库（Public）和私有仓库（Private）两种形式。目前，最大的公开仓库是官方提供的 Docker Hub，其中存放了数量庞大的镜像供用户下载。国内不少云服务提供商（如时速云、阿里云等）也提供了仓库的本地源，可以提供稳定的国内访问。当然，用户如果不希望公开分享自己的镜像文件，Docker 也支持用户在本地网络内创建一个只能自己访问的私有仓库。
当用户创建了自己的镜像之后就可以使用 push 命令将它上传到指定的公有或者私有仓库。这样用户下次在另外一台机器上使用该镜像时，只需要将其从仓库上 pull 下来就可以了。
可以看出，Docker 利用仓库管理镜像的设计理念与 Git 非常相似，实际上在理念设计上借鉴了 Git 的很多优秀思想。
Docker 容器
Docker 利用容器来运行应用，一个 Docker 容器包含了所有的某个应用运行所需要的环境。每一个 Docker 容器都是从 Docker 镜像创建的，是通过镜像创建的运行实例。Docker 容器可以运行、开始、停止、移动和删除。每一个 Docker 容器都是独立和安全的应用平台，彼此相互隔离、互不可见。
可以把容器看做是一个简易版的 Linux 环境（包括 root 用户权限、进程空间、用户空间和网络空间等）和运行在其中的应用程序。
镜像是只读的，容器在启动的时候创建一层可写层作为最上层。
与虚拟机相比，容器有一个很大的差异，它们被设计用来运行"单进程"，无法很好地模拟一个完整的环境。Docker 设计者极力推崇“一个容器一个进程的方式”，如果你要选择在一个容器中运行多个进程，那唯一情况是：出于调试目的。容器是设计来运行一个应用的，而非一台机器。你可能会把容器当虚拟机用，但你将失去很多的灵活性，因为Docker 提供了用于分离应用与数据的工具，使得你可以快捷地更新运行中的代码/系统，而不影响数据。
Docker 从 0.9 版本开始使用 libcontainer 替代lxc，libcontainer 和 Linux 系统的交互图如下：
Docker 底层技术
docker 底层的 2 个核心技术分别是 Namespaces和Control groups
Namespaces 用来隔离各个容器
1) pid namespace
不同用户的进程就是通过 pid namespace 隔离开的，且不同 namespace 中可以有相同 pid。所有的 LXC 进程在 docker 中的父进程为 docker 进程，每个 lxc 进程具有不同的
namespace 。
2) net namespace
有了 pid namespace, 每个 namespace 中的 pid 能够相互隔离，但是网络端口还是共享host 的端口。网络隔离是通过 net namespace 实现的，每个 net namespace 有独立的network devices, IP addresses, IP routing tables, /proc/net 目录。这样每个container 的网络就能隔离开来。docker 默认采用 veth 的方式将 container 中的虚拟网卡同 host 上的一个 docker bridge: docker0 连接在一起。
3) ipc namespace
container 中 进 程 交 互 还 是 采 用 linux 常 见 的 进 程 间 交 互 方 法 (interprocesscommunication - IPC),包括常见的信号量、消息队列和共享内存。container 的进程间交互实际上还是 host 上具有相同pidnamespace 中的进程间交互。
4) mnt namespace
类似 chroot，将一个进程放到一个特定的目录执行。mnt namespace 允许不同 namespace的进程看到的文件结构不同，这样每个namespace 中的进程所看到的文件目录就被隔离开了。在 container 里头，看到的文件系统，就是一个完整的 linux 系统，有/etc、/lib等，通过 chroot 实现。
5) uts namespace
UTS("UNIX Time-sharing System") namespace 允许每个 container 拥有独立的 hostname和 domain name, 使其在网络上可以被视作一个独立的节点而非 Host 上的一个进程。
6) user namespace
每个 container 可以有不同的 user 和 group id，也就是说可以在 container 内部用container 内部的用户执行程序而非 Host 上的用户。
有了以上 6 种 namespace 从进程、网络、IPC、文件系统、UTS 和用户角度的隔离，一个 container 就可以对外展现出一个独立计算机的能力，并且不同 container 从 OS 层面实现了隔离。然而不同 namespace 之间资源还是相互竞争的，仍然需要类似 ulimit 来管理每个 container 所能使用的资源--cgroup。
cgroups （l Control groups ）实现了对资源的配额和度量。
cgroups（Control Groups）最初叫 Process Container，由 Google 工程师（PaulMenage 和 Rohit Seth）于 2006 年提出，后来因为 Container 有多重含义容易引起误解，就在 2007 年更名为 Control Groups，并被整合进 Linux 内核。顾名思义就是把进程放到一个组里面统一加以控制。官方的定义如下：cgroups 是 Linux 内核提供的一种机制，这种机制可以根据特定的行为，把一系列系统任务及其子任务整合（或分隔）到按资源划分等级的不同组内，从而为系统资源管理提供一个统一的框架。
通俗的来说，cgroups 可以限制、记录、隔离进程组所使用的物理资源（包括：CPU、memory、IO 等），为容器实现虚拟化提供了基本保证，是构建 Docker 等一系列虚拟化管理工具的基石。
实现 cgroups 的主要目的是为不同用户层面的资源管理，提供一个统一化的接口。从
###单个进程的资源控制到操作系统层面的虚拟化。Cgroups 提供了以下四大功能：
