原文：http://dockone.io/article/783
Docker
10張圖帶你深入了解Docker容器和鏡像
【編者的話】本文用圖文并茂的方式介紹了容器、鏡像的差別和Docker每個指令後面的技術細節，能夠很好的幫助讀者深入了解Docker。
這篇文章希望能夠幫助讀者深入了解Docker的指令，還有容器（container）和鏡像（image）之間的差別，并深入探讨容器和運作中的容器之間的差別。
當我對Docker技術還是一知半解的時候，我發現了解Docker的指令非常困難。于是，我花了幾周的時間來學習Docker的工作原理，更确切地說，是關于Docker統一檔案系統（the union file system）的知識，然後回過頭來再看Docker的指令，一切變得順理成章，簡單極了。
題外話：就我個人而言，掌握一門技術并合理使用它的最好辦法就是深入了解這項技術背後的工作原理。通常情況下，一項新技術的誕生常常會伴随着媒體的大肆宣傳和炒作，這使得使用者很難看清技術的本質。更确切地說，新技術總是會發明一些新的術語或者隐喻詞來幫助宣傳，這在初期是非常有幫助的，但是這給技術的原理蒙上了一層砂紙，不利于使用者在後期掌握技術的真谛。
Git就是一個很好的例子。我之前不能夠很好的使用Git，于是我花了一段時間去學習Git的原理，直到這時，我才真正明白了Git的用法。我堅信隻有真正了解Git内部原理的人才能夠掌握這個工具。
Image Definition
鏡像（Image）就是一堆隻讀層（read-only layer）的統一視角，也許這個定義有些難以了解，下面的這張圖能夠幫助讀者了解鏡像的定義。
從左邊我們看到了多個隻讀層，它們重疊在一起。除了最下面一層，其它層都會有一個指針指向下一層。這些層是Docker内部的實作細節，并且能夠在主機（譯者注：運作Docker的機器）的檔案系統上通路到。統一檔案系統（union file system）技術能夠将不同的層整合成一個檔案系統，為這些層提供了一個統一的視角，這樣就隐藏了多層的存在，在使用者的角度看來，隻存在一個檔案系統。我們可以在圖檔的右邊看到這個視角的形式。
你可以在你的主機檔案系統上找到有關這些層的檔案。需要注意的是，在一個運作中的容器内部，這些層是不可見的。在我的主機上，我發現它們存在于/var/lib/docker/aufs目錄下。
sudo tree -L 1 /var/lib/docker/
/var/lib/docker/
├── aufs
├── containers
├── graph
├── init
├── linkgraph.db
├── repositories-aufs
├── tmp
├── trust
└── volumes
7 directories, 2 files
Container Definition
容器（container）的定義和鏡像（image）幾乎一模一樣，也是一堆層的統一視角，唯一差別在于容器的最上面那一層是可讀可寫的。
細心的讀者可能會發現，容器的定義并沒有提及容器是否在運作，沒錯，這是故意的。正是這個發現幫助我了解了很多困惑。
要點：容器 = 鏡像 + 讀寫層。并且容器的定義并沒有提及是否要運作容器。
接下來，我們将會讨論運作态容器。
Running Container Definition
一個運作态容器（running container）被定義為一個可讀寫的統一檔案系統加上隔離的程序空間和包含其中的程序。下面這張圖檔展示了一個運作中的容器。
正是檔案系統隔離技術使得Docker成為了一個前途無量的技術。一個容器中的程序可能會對檔案進行修改、删除、建立，這些改變都将作用于可讀寫層（read-write layer）。下面這張圖展示了這個行為。
我們可以通過運作以下指令來驗證我們上面所說的：
docker run ubuntu touch happiness.txt
即便是這個ubuntu容器不再運作，我們依舊能夠在主機的檔案系統上找到這個新檔案。
find / -name happiness.txt
/var/lib/docker/aufs/diff/860a7b...889/happiness.txt
Image Layer Definition
為了将零星的資料整合起來，我們提出了鏡像層（image layer）這個概念。下面的這張圖描述了一個鏡像層，通過圖檔我們能夠發現一個層并不僅僅包含檔案系統的改變，它還能包含了其他重要資訊。
中繼資料（metadata）就是關于這個層的額外資訊，它不僅能夠讓Docker擷取運作和建構時的資訊，還包括父層的層次資訊。需要注意，隻讀層和讀寫層都包含中繼資料。
除此之外，每一層都包括了一個指向父層的指針。如果一個層沒有這個指針，說明它處于最底層。
Metadata Location:
我發現在我自己的主機上，鏡像層（image layer）的中繼資料被儲存在名為”json”的檔案中，比如說：
/var/lib/docker/graph/e809f156dc985.../json
e809f156dc985...就是這層的id
一個容器的中繼資料好像是被分成了很多檔案，但或多或少能夠在/var/lib/docker/containers/<id>目錄下找到，<id>就是一個可讀層的id。這個目錄下的檔案大多是運作時的資料，比如說網絡，日志等等。
全局了解（Tying It All Together）
現在，讓我們結合上面提到的實作細節來了解Docker的指令。
docker create <image-id>
docker create 指令為指定的鏡像（image）添加了一個可讀寫層，構成了一個新的容器。注意，這個容器并沒有運作。
docker start <container-id>
Docker start指令為容器檔案系統建立了一個程序隔離空間。注意，每一個容器隻能夠有一個程序隔離空間。
docker run <image-id>
看到這個指令，讀者通常會有一個疑問：docker start 和 docker run指令有什麼差別。
從圖檔可以看出，docker run 指令先是利用鏡像建立了一個容器，然後運作這個容器。這個指令非常的友善，并且隐藏了兩個指令的細節，但從另一方面來看，這容易讓使用者産生誤解。
題外話：繼續我們之前有關于Git的話題，我認為docker run指令類似于git pull指令。git pull指令就是git fetch 和 git merge兩個指令的組合，同樣的，docker run就是docker create和docker start兩個指令的組合。
docker ps
docker ps 指令會列出所有運作中的容器。這隐藏了非運作态容器的存在，如果想要找出這些容器，我們需要使用下面這個指令。
docker ps –a
docker ps –a指令會列出所有的容器，不管是運作的，還是停止的。
docker images
docker images指令會列出了所有頂層（top-level）鏡像。實際上，在這裡我們沒有辦法區分一個鏡像和一個隻讀層，是以我們提出了top-level鏡像。隻有建立容器時使用的鏡像或者是直接pull下來的鏡像能被稱為頂層（top-level）鏡像，并且每一個頂層鏡像下面都隐藏了多個鏡像層。
docker images –a
docker images –a指令列出了所有的鏡像，也可以說是列出了所有的可讀層。如果你想要檢視某一個image-id下的所有層，可以使用docker history來檢視。
docker stop <container-id>
docker stop指令會向運作中的容器發送一個SIGTERM的信号，然後停止所有的程序。
docker kill <container-id>
docker kill 指令向所有運作在容器中的程序發送了一個不友好的SIGKILL信号。
docker pause <container-id>
docker stop和docker kill指令會發送UNIX的信号給運作中的程序，docker pause指令則不一樣，它利用了cgroups的特性将運作中的程序空間暫停。具體的内部原理你可以在這裡找到： https://www.kernel.org/doc/Doc ... m.txt，但是這種方式的不足之處在于發送一個SIGTSTP信号對于程序來說不夠簡單易懂，以至于不能夠讓所有程序暫停。
docker rm <container-id>
docker rm指令會移除構成容器的可讀寫層。注意，這個指令隻能對非運作态容器執行。
docker rmi <image-id>
docker rmi 指令會移除構成鏡像的一個隻讀層。你隻能夠使用docker rmi來移除最頂層（top level layer）（也可以說是鏡像），你也可以使用-f參數來強制删除中間的隻讀層。
docker commit <container-id>
docker commit指令将容器的可讀寫層轉換為一個隻讀層，這樣就把一個容器轉換成了不可變的鏡像。
docker build
docker build指令非常有趣，它會反複的執行多個指令。
我們從上圖可以看到，build指令根據Dockerfile檔案中的FROM指令擷取到鏡像，然後重複地1）run（create和start）、2）修改、3）commit。在循環中的每一步都會生成一個新的層，是以許多新的層會被建立。
docker exec <running-container-id>
docker exec 指令會在運作中的容器執行一個新程序。
docker inspect <container-id> or <image-id>
docker inspect指令會提取出容器或者鏡像最頂層的中繼資料。
docker save <image-id>
docker save指令會建立一個鏡像的壓縮檔案，這個檔案能夠在另外一個主機的Docker上使用。和export指令不同，這個指令為每一個層都儲存了它們的中繼資料。這個指令隻能對鏡像生效。
docker export <container-id>
docker export指令建立一個tar檔案，并且移除了中繼資料和不必要的層，将多個層整合成了一個層，隻儲存了目前統一視角看到的内容（譯者注：expoxt後的容器再import到Docker中，通過docker images –tree指令隻能看到一個鏡像；而save後的鏡像則不同，它能夠看到這個鏡像的曆史鏡像）。
docker history <image-id>
docker history指令遞歸地輸出指定鏡像的曆史鏡像。
結論
我希望你們能喜歡這篇文章。還有其他許多的指令（pull，search，restart，attach等）我沒有提及，但是我相信通過閱讀這篇文章，大部分的Docker指令都能夠被很好了解。我僅僅學習了Docker兩個星期，是以，如果我有什麼地方說的不好，歡迎大家指出。
原文連結：Visualizing Docker Containers and Images（翻譯：楊潤青）
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
譯者介紹
楊潤青，90後博士僧，研究方向是網絡和資訊安全。