www.docker.com的网页有这样一张有意思的动画：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/40ea83e3bc910195610e6ab64fbc55c0.png)

从这张gif图片，我们不难看出Docker网站想传达这样一条信息, 使用Docker加速了build，ship和run的过程。

Docker最早问世是2013年，以一个开源项目的方式被大家熟知。

![](https://developer.qcloudimg.com/http-save/yehe-1472475/88cb9cfb4dc7f680923b9951bf12ceeb.png)

Docker的奠基者是dotcloud，一家开发PaaS平台的技术公司。

不过可惜的是，这家公司把Docker开源之后，于2016年倒闭了，因为其主业务PaaS无法和微软，亚马逊等PaaS业界巨头竞争，不禁让人唏嘘。

![](https://developer.qcloudimg.com/http-save/yehe-1472475/8ffc370d7e68fb7cb359bb1bb31eb068.png)

Docker其实是容器化技术的具体技术实现之一，采用go语言开发。很多朋友刚接触Docker时，认为它就是一种更轻量级的虚拟机，这种认识其实是错误的，Docker和虚拟机有本质的区别。容器本质上讲就是运行在操作系统上的一个进程，只不过加入了对资源的隔离和限制。而Docker是基于容器的这个设计思想，基于Linux Container技术实现的核心管理引擎。

为什么资源的隔离和限制在云时代更加重要？在默认情况下，一个操作系统里所有运行的进程共享CPU和内存资源，如果程序设计不当，最极端的情况，某进程出现死循环可能会耗尽CPU资源，或者由于内存泄漏消耗掉大部分系统资源，这在企业级产品场景下是不可接受的，所以进程的资源隔离技术是非常必要的。

我当初刚接触Docker时，以为这是一项新的技术发明，后来才知道，Linux操作系统本身从操作系统层面就支持虚拟化技术，叫做Linux container，也就是大家到处能看到的LXC的全称。

LXC的三大特色：cgroup，namespace和unionFS。

# cgroup

CGroups 全称control group，用来限定一个进程的资源使用，由Linux 内核支持，可以限制和隔离Linux进程组 (process groups) 所使用的物理资源 ，比如cpu，内存，磁盘和网络IO，是Linux container技术的物理基础。

# namespace

另一个维度的资源隔离技术，大家可以把这个概念和我们熟悉的C++和Java里的namespace相对照。

如果CGroup设计出来的目的是为了隔离上面描述的物理资源，那么namespace则用来隔离PID(进程ID),IPC,Network等系统资源。

我们现在可以将它们分配给特定的Namespace，每个Namespace里面的资源对其他Namespace都是透明的。

不同container内的进程属于不同的Namespace，彼此透明，互不干扰。

我们用一个例子来理解namespace的必要。

假设多个用户购买了一台Linux服务器的Nginx服务，每个用户在该服务器上被分配了一个Linux系统的账号。我们希望每个用户只能访问分配给其的文件夹，这当然可以通过Linux文件系统本身的权限控制来实现，即一个用户只能访问属于他本身的那些文件夹。

但是有些操作仍然需要系统级别的权限，比如root，但我们肯定不可能给每个用户都分配root权限。因此我们就可以使用namespace技术：

我们能够为UID = n的用户，虚拟化一个namespace出来，在这个namespace里面，该用户具备root权限，但是在宿主机上，该UID =n的用户还是一个普通用户，也感知不到自己其实不是一个真的root用户这件事。

同样的方式可以通过namespace虚拟化进程树。

在每一个namespace内部，每一个用户都拥有一个属于自己的init进程，pid = 1，对于该用户来说，仿佛他独占一台物理的Linux服务器。

对于每一个命名空间，从用户看起来，应该像一台单独的Linux计算机一样，有自己的init进程(PID为1)，其他进程的PID依次递增，A和B空间都有PID为1的init进程，子容器的进程映射到父容器的进程上，父容器可以知道每一个子容器的运行状态，而子容器与子容器之间是隔离的。从图中我们可以看到，进程3在父命名空间里面PID 为3，但是在子命名空间内，他就是1.也就是说用户从子命名空间 A 内看进程3就像 init 进程一样，以为这个进程是自己的初始化进程，但是从整个 host 来看，他其实只是3号进程虚拟化出来的一个空间而已。

看下面的图加深理解。

父容器有两个子容器，父容器的命名空间里有两个进程，id分别为3和4, 映射到两个子命名空间后，分别成为其init进程，这样命名空间A和B的用户都认为自己独占整台服务器。

![](https://developer.qcloudimg.com/http-save/yehe-1472475/b0d5a75dbf1837b4850840734bc8b7be.png)

Linux操作系统到目前为止支持的六种namespace：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/af8d0bdfd54f0f2e550c4a5ac27817be.png)

# unionFS

顾名思义，unionFS可以把文件系统上多个目录(也叫分支)内容联合挂载到同一个目录下，而目录的物理位置是分开的。

要理解unionFS，我们首先要认识bootfs和rootfs。

1\. boot file system （bootfs）：包含操作系统boot loader 和 kernel。用户不会修改这个文件系统。

一旦启动完成后，整个Linux内核加载进内存，之后bootfs会被卸载掉，从而释放出内存。

同样内核版本的不同的 Linux 发行版，其bootfs都是一致的。

2\. root file system （rootfs）：包含典型的目录结构，包括 /dev, /proc, /bin, /etc, /lib, /usr, and /tmp

就是我下面这张图里的这些文件夹：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/a005d16e9fbacd103a536f215a3c3edf.png)

等再加上要运行用户应用所需要的所有配置文件，二进制文件和库文件。这个文件系统在不同的Linux 发行版中是不同的。而且用户可以对这个文件进行修改。

![](https://developer.qcloudimg.com/http-save/yehe-1472475/64fb39d5722d7ccf5b1204270d4b3c1c.png)


Linux 系统在启动时，roofs 首先会被挂载为只读模式，然后在启动完成后被修改为读写模式，随后它们就可以被修改了。

不同的Linux版本，实现unionFS的技术可能不一样，使用命令docker info查看，比如我的机器上实现技术是overlay2：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/61b6f492f9448caea19b3bae0f9ad80c.png)

看个实际的例子。

新建两个文件夹abap和java，在里面用touch命名分别创建两个空文件：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/f60453166e753645acc0c35f774ceba6.png)

新建一个mnt文件夹，用mount命令把abap和java文件夹merge到mnt文件夹下，-t执行文件系统类型为aufs：

`sudo mount -t aufs -o dirs=./abap:./java none ./mnt`

![](https://developer.qcloudimg.com/http-save/yehe-1472475/55542bac16b5cb0e1a08d7044877121f.png)

mount完成后，到mnt文件夹下查看，发现了来自abap和java文件夹里总共4个文件：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/c1dff4514b1773b12fa01597122bb090.png)

现在我到java文件夹里修改spring，比如加上一行spring is awesome, 然后到mnt文件夹下查看，发现mnt下面的文件内容也自动被更新了。

![](https://developer.qcloudimg.com/http-save/yehe-1472475/2e99af13c69e965ae1f737f5d541ce85.png)

![](https://developer.qcloudimg.com/http-save/yehe-1472475/c8a9e6c392e704982f8d87fa37a83dc8.png)

那么反过来会如何呢？比如我修改mnt文件夹下的aop文件：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/7f09e6b8f9ed54681fc0475fe23bddda.png)

而java文件夹下的原始文件没有受到影响：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/65f096e04b4a198df6af80e3b8e20c87.png)

实际上这就是Docker容器镜像分层实现的技术基础。如果我们浏览Docker hub，能发现大多数镜像都不是从头开始制作，而是从一些base镜像基础上创建，比如debian基础镜像。

而新镜像就是从基础镜像上一层层叠加新的逻辑构成的。这种分层设计，一个优点就是资源共享。

想象这样一个场景，一台宿主机上运行了100个基于debian base镜像的容器，难道每个容器里都有一份重复的debian拷贝呢？这显然不合理；借助Linux的unionFS，宿主机只需要在磁盘上保存一份base镜像，内存中也只需要加载一份，就能被所有基于这个镜像的容器共享。

当某个容器修改了基础镜像的内容，比如 /bin文件夹下的文件，这时其他容器的/bin文件夹是否会发生变化呢？

根据容器镜像的写时拷贝技术，某个容器对基础镜像的修改会被限制在单个容器内。

这就是我们接下来要学习的容器 Copy-on-Write 特性。

容器镜像由多个镜像层组成，所有镜像层会联合在一起组成一个统一的文件系统。如果不同层中有一个相同路径的文件，比如 /text，上层的 /text 会覆盖下层的 /text，也就是说用户只能访问到上层中的文件 /text。

假设我有如下这个dockerfile：

```dockerfile
FROM debian

RUN apt-get install emacs

RUN apt-get install apache2

CMD ["/bin/bash"]
```
执行docker build .看看发生了什么。

![](https://developer.qcloudimg.com/http-save/yehe-1472475/ffc47147dab94d53d5482dd9ebd5f056.png)

生成的容器镜像如下：

![](https://developer.qcloudimg.com/http-save/yehe-1472475/72f523f4ade516d4b96b2856b1b04e78.png)

当用docker run启动这个容器时，实际上在镜像的顶部添加了一个新的可写层。这个可写层也叫容器层。

![](https://developer.qcloudimg.com/http-save/yehe-1472475/80071420c159133f07e07d9d96142636.png)

容器启动后，其内的应用所有对容器的改动，文件的增删改操作都只会发生在容器层中，对容器层下面的所有只读镜像层没有影响。



从这张gif图片，我们不难看出Docker网站想传达这样一条信息, 使用Docker加速了build，ship和run的过程。

Docker 技术三大要点：cgroup, namespace 和 unionFS 的理解

紫薇堂堂主

云计算

后端

开发工具

Docker作为领先的容器化技术，基于Linux Container(LXC)实现资源隔离，通过cgroup、namespace和unionFS三大核心技术实现轻量级虚拟化。其分层镜像设计和写时拷贝特性显著提升资源利用率，使应用构建、部署和运行更高效。

文件系统

服务器

虚拟化

虚拟机

容器

Docker

Linux

PaaS

Java

2026新春采购季

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

Docker 技术三大要点：cgroup, namespace 和 unionFS 的理解-腾讯云开发者社区-腾讯云

Docker 技术三大要点：cgroup, namespace 和 unionFS 的理解

Docker 技术三大要点：cgroup, namespace 和 unionFS 的理解

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐