IT技术网www.itjs.cn

当前位置:首页 > 开源世界 > Docker > Docker的前生今世和未来

Docker的前生今世和未来

发布时间:2014-12-04 00:00 来源:InfoQ - 张晓鹏

Docker – 迄今为止的故事

Docker是一种Linux容器工具集,它是为“构建(build)、交付(ship)和运行(运行)”分布式应用而设计的。作为DotCloud公司的开源项目,其首发版本的时间是2013年的3月份。该项目很快就受到欢迎,这也使得DotCloud公司将其品牌改为Docker(并最终将其原有的PaaS业务出售而专注在Docker上)。Docker 1.0在2014年6月发布,而且延续了之前每月发布一个版本的节奏。

其1.0版本标志着Docker公司认为Docker平台已经足够成熟,并可以被应用到产品中(公司及其合作伙伴们还提供了一些需要付费的支持选项)。每月的版本更新显示出该项目仍在快速发展,比如增加新的特性,解决发现的问题。这个项目成功地将“交付”和“运行”解耦,这样源自任意Docker版本的镜像都可以和其它任意不同版本一起工作(前向和后向均可兼容),这就为Docker应用提供了稳定的基础,以应对快速的变化。

Docker发展成最受欢迎的开源项目可能会被人看作是一种炒作,但其实这个结果还是有坚实的基础来支撑的。Docker吸引了业界众多知名大牌厂家的支持,其中包括亚马逊(Amazon)、Canonical、CenturyLink、谷歌(Google)、IBM、 Microsoft、New Relic、Pivotal、Red Hat和VMware,这使得只要在有Linux的地方,Docker就几乎随处可用。除了这些大厂家,许多初创企业也围绕着Docker来发展,或是将它们的发展方向和Docker更好地结合起来。所有这些合作伙伴(或大或小)驱动着核心项目和周边生态系统的快速发展。

Docker技术的简要综述

Docker利用了一些Linux核心工具,比如cGruops、命名空间和SELinux来支撑容器之间的隔离。起初Docker只是LXC容器管理子系统的前端,但它在0.9版本中引入了libcontainer,这个原生的Go语言库提供了用户空间和内核之间的接口。

Docker容器是基于联合文件系统(union file system)的,比如AUFS,利用它可以跨多个容器来共享一些组件,如操作系统镜像和安装的库文件。这种分层的方式也被Dockerfile DevOps工具充分利用,这可以缓存那些已经成功完成的操作。这就省掉了那些安装操作系统和应用程序依赖文件的时间,大幅度加速了测试周期。另外,在容器之间共享库还能减少内存的占用。

Docker容器是从镜像开始的,镜像可以是本地创建的、本地缓存的,或者是从注册库中下载的。Docker公司运营着DockerHub公有注册库,上面有官方的数据仓库,是为不同的操作系统、中间件和数据库而创建的。组织和个人可以在Docker Hub上发布镜像的公有库,也可以将其注册成私有库。由于上传的镜像文件可以包含任何东西,所以Docker Hub提供了一种自动构建工具(之前被称为“可信的构建”),镜像构建于一个Dockerfile,它作为镜像内容的清单。

容器和虚拟机的对比

Docker容器要比虚拟机有效率的多,这是因为它们可以共享内核和相关的库。同样的原因,容器所占用的内存也要比虚拟机少得多,虽然虚拟机利用了RAM的过度承诺技术(RAM overcommitment)。容器也减少了对存储的占用,因为部署的容器会共享镜像的底层。IBM的Boden Russel已经做了一个基准测试(benchmarking)来对比两者的不同。

容器也表现出比虚拟机更低的系统负载,所以同样的应用,在容器中相比在虚拟机中,性能通常会相当或者更好。IBM的研究者团队发布了一个虚拟机和Linux容器性能对比的报告可以参考。

容器只是在隔离特性上要比虚拟机差,虚拟机可以使用ring-1特权的硬件隔离技术,如Intel的VT-d and VT-x。这种隔离技术可以防止虚拟机破出(breaking out)和彼此交互。容器没有任何形式的硬件隔离,这使得它容易受到漏洞的利用。从Shocker(可对Docker进行概念攻击)的验证来看,Docker 1.0之前的版本都是很脆弱的。尽管利用Shocker,Docker在1.0版本中修复了一些特定的问题,但Docker的CTO Solomon Hykes仍然表示:“当我们感觉可以轻松地宣称Docker打开箱(out-of-the-box)可以安全容纳非受信的uid0程序(译者注: root和超级用户权限)时,我们一定会明言相告”。Hykes的话从另一方面承认仍然存在一些其他的漏洞和相关的风险,在容器变得可靠之前还有很多工作要做。

对于许多用户案例,在容器和虚拟机二者之间选择其一是种错误的二分法。Docker可以在虚拟机中运行地很好,这可以让它应用在已有的虚拟化框架中,如私有云和公有云。同样也有可能在容器中运行虚拟机,这有点像谷歌在它的云平台中使用容器的方式。只要IaaS得到广泛应用,并可按需提供虚拟机服务,那么就有理由期待未来数年容器和虚拟机的应用可以并存。还有一种可能,即将容器管理和虚拟化技术进行融合以提供一种两全其美的方法:所以硬件信任锚微虚拟化实现支撑libcontainer能够与Docker的工具链和生态系统的前端进行集成,而使用不同的提供了更好隔离性的后端。微虚拟技术(类似于Bromium的 vSentry和VMware的 Project Fargo)已经应用到桌面环境中为应用提供基于硬件的隔离,所以相同的方法可以使用到libcontainer上,作为Linux核心容器机制的替代技术。

“容器化”的应用

几乎所有的Linux应用都可以运行在Docker容器里,并且对编程语言或架构的选择没有任何的限制。实际上仅有的限制在于从操作系统的角度来看容器被允许做什么。即使如此,也可以通过在特权模式下运行容器来降低限制,以大幅度地减少受到的控制(与此对应的是装载到容器里的应用风险增加,并可能会导致对主机操作系统的损坏。)

容器从镜像开始,反过来镜像也可以从运行的容器中得到。从本质上说有两种方法可以把应用置入到容器中-手动和Dockerfile。

手动构建

手动构建从启动一个基础操作系统的容器开始,然后通过交互式终端,用所选Linux相关的包管理器安装应用程序及其依赖项(dependencies)。Zef Hemel在他的文章“使用Linux容器以支持便捷的应用部署”中提供了这个过程的细致描述。一旦应用完成安装,新的容器就可以推送到注册库(比如Docker Hub)中或者被导出成一个tar文件。

Dockerfile

Dockerfile是对Docker容器创建过程进行脚本化的系统。每个Dockerfile详细说明了开始的基础镜像,以及随后一系列在容器中运行的命令和添加到容器中的文件。Dockerfile也可以说明容器对外的端口,启动时的工作目录和缺省执行的命令。用Dockerfile构建的容器可以象手动构建那样被推送到注册库中或者导出成tar文件。Dockerfile也可以应用到Docker Hub的自动构建系统中,即在Docker公司的控制下,在系统中根据Dockerfile从头构建镜像,并且这个镜像的源对于使用它的任何人都是可见的。

一个进程?

手动构建还是使用Dockerfile来构建镜像,考虑的关键在于容器刚启动时只能执行一个单进程。假如容器的服务目的比较单一,比如只运行一个应用服务器,那么运行单个进程就没什么问题(一些争论说容器本应该只包括一个进程)。对于那些希望在容器中运行多个进程的情况,管理进程(supervisor process)需要先启动,这样它可以接着孵化出其他期望的进程。此时容器中没有初始的系统,所以任何事都要依赖systemd,不修改新兴系统或类似系统都无法工作。

容器和微服务

全面描述使用微服务架构的哲理和益处已经超出了本文的范围(InfoQ eMag: Microservices中有全面的阐述)。容器仍然是一种方便的方法来绑定和部署微服务的实例。

虽然目前微服务大规模的部署实例还是在(大量)虚拟机上,但容器提供了一种小规模部署的机会。容器具有共享的内存和针对操作系统的磁盘占用、通用代码库,这也意味着可以非常有效地一起部署多个版本的服务。

连接的容器

一些小的应用适合放在单个容器中,但许多情况下应用需要扩展到多个容器。Docker成功催生了一系列新的应用合成工具、编制工具以及平台即服务实现。绝大多数努力的后面,是希望能简化从一组相互连接的容器来创建应用的过程。很多工具在扩展、容错、性能管理和部署资产的版本控制方面也提供了帮助。

连接性

Docker的网络能力相当原始,容器中的服务对相同主机的其它容器是可见的,并且Docker可以映射端口到主机操作系统,使得服务在网络中也是可见的。Libchan是Docker官方赞助的连接方法,它提供了Go语言的网络服务库,类似于channels。在libchan找到自己应用的道路之前,还是有空间留给第三方程序来提供一些补充性的网络服务。例如,Flocker采用了基于代理的方法,这使得服务(连同底层的存储)可以在主机间进行迁移。

合成

Docker有个原生的机制来连接容器,它所依赖的元数据可以被传送到相关的容器中,这些元数据被用做环境变量和主机入口。类似Fig和geard这样的应用合成工具,可以在单文件中表达这种依赖关系图,这样多个容器就可以互相配合成为一个系统。CenturyLink的Pannamax合成工具在底层采用了和Fig、geard相似的方法,但加入了基于Web的用户接口,并且直接和GitHub进行了集成,这样就可以分享合成后的应用了。

编制

编制系统包括Decking、New Relic公司的Centurion和谷歌公司的Kubernetes,它们的目标都是帮助实现容器的部署和它的生命周期管理。也有很多基于Apache Mesos系统(特别是它为应用长期运行设计的Marathon框架)的商业化实现(比如Mesosphere),它们可以和Docker一起使用。通过提供在应用需求和底层架构间的抽象(例如,需求表达为CPU核数和内存大小),编制工具提供了两者之间的解耦,这种设计简化了应用开发和数据中心的运维。还有各种各样的编制系统,这主要是因为之前许多内部系统工具冒出来了,它们之前开发出来是用于管理容器大规模部署的。例如Kubernetes就是基于谷歌的Omega系统,而Omega系统是用来管理整个谷歌云环境中的容器。

合成工具和编制工具功能上会有部分的重合,所以使用时它们彼此可以作为补充。例如Fig可以用来描述容器功能上如何交互,同时Kubernetes pods(译者注:pods可以被看成一个容器组)可以用来提供相关的监测和扩展功能。

平台即服务

有很多原生于Docker的PaaS实现,例如Deis和Flynn,已经体现出Linux容器在支持开发灵活性上的强大优势(而不是那些自以为是给定的一套语言和框架)。其它的云平台如CloudFoundry、OpenShift和Apcera Continuum,已经采用集成基于Docker相关功能到现有系统中的技术路线,这样基于Docker镜像(或者是创建它们的Dockerfiles)的应用在部署和管理的同时,仍然可以使用之前系统支持的语言和框架。

所有的云

由于Docker可以运行在任何有合理数据内核的Linux虚拟机上,所以它可以运行在很多IaaS提供的云上。许多大的云提供商宣布了对Docker和它的生态系统的附加支持。

亚马逊已经引入Docker到它的弹性豆茎(Elastic Beanstalk)系统中(这是在IaaS之上的编制服务)。谷歌使Docker成为可管理的虚拟机(managed VMs),它提供了在应用程序引擎的PaaS和计算引擎的的IaaS之间的中间站。微软和IBM也都宣布了基于Kubernetes的服务,这样在他们的云上就可以部署和管理多容器应用了。

为了给当前使用的广泛多样的后端提供一致性的接口,Docker团队引入了libswarm,它会被集成到多数的云和资源管理系统中。Libswarm一个明确的目标是“通过切换服务来源的办法来防止供应商锁定”。这通过呈现一组一致性的服务(以及相关的API)来完成,这些服务会附着到特定后端的实现上。比如Docker服务器服务会呈现Docker远程API到本地Docker命令行工具中,这样众多的服务提供者就可以管理相关的容器了。

基于Docker的新的服务类型仍在起步阶段。虽然位于伦敦的果园实验室(Orchard labs)可以提供Docker容器的托管服务,但Docker公司表示,在它收购果园实验室后相关服务不会被置于优先位置。Docker公司还向cloudControl公司出售了其先前的DotCloud PaaS 业务。如OpenVZ之类基于旧的容器管理系统的服务已经比较普通了,所以在一定程度上Docker需要向主机提供商们证明其价值。

Docker和它的发行版

Docker已经成为主流Linux版本的标准特性,比如Ubuntu, Red Hat Enterprise Linux (RHEL) 和CentOS。遗憾的是这些Linux发行版与Docker项目在步调上并不一致,从而导致这些Linux发行版中Docker的版本比当前能用的老得多。例如Ubuntu 14.04的Docker版本是0.9.1,并且在Ubuntu升级到14.04.1时Docker的版本也没有变(当时Docker项目版本是1.1.2)。在官方库中还有一个命名空间冲突的问题,因为Docker也是KDE系统托盘的名字,所以在Ubuntu 14.04中Docker包和命令行工具起了另一个名称“docker.io”。

在企业级Linux发行版中情况也没有太大的不同,CentOS 7中Docker的版本是0.11.1,这是Docker公司宣布1.0版本产品准备就绪之前的一个开发版。Linux发行版用户假如要使用最新的版本以保证稳定性、性能和安全,那么按照Docker安装指导操作并使用Docker公司提供的库,要比使用Linux发行版中的版本要好得多。

Docker的到来也催生了新的Linux发行版,比如CoreOS和Red Hat的Project Atomic,它们设计成能运行容器的最小环境系统。这些发行版相比传统Linux发行版本,有比较新的内核和Docker版本,对内存和硬盘的占用也比较小。新的发行版本中也有一些新的工具用来管理大容量的容器部署,比如fleet负责分布式系统启动,而etcd负责元数据管理。这些Linux发行版针对自身的分布式更新采用了新的机制,这样就可以使用最新版本的内核和Docker了。这表示对Docker应用的其中一种效果的认可,那就是把注意力重心从发行版和包管理解决方案转到Linux内核(和使用内核的Docker子系统)上来。

尽管新发行版(译者注:类似于CoreOS)可能是Docker最佳的运行方式,但支持容器的传统发行版和它们的包管理工具仍然非常重要。Docker Hub上提供了 Debian、Ubuntu和CentOS的正式镜像,还有“半官方”Fedora的镜像库。RHEL没有在Docker Hub上的镜像,因为它们是直接由Red Hat发行的。这意味着Docker Hub上的自动构建机制只对那些纯开源的Linux发行版本可用(并愿意信任那些起源于Docker公司团队策划的基础镜像)。

Docker Hub同时集成了源控制系统,如GitHub和Bitbucker,用来自动构建包管理器。包管理器可以在镜像构建过程中生成构建规格(在Dockerfile中)和最终构建镜像之间的复杂关系。构建过程的结果具有不确定性,这不是Docker的特定问题,而和包管理器如何工作相关。今天构建的是这个版本,在另一个时间构建可能会得到一个新的版本,这也就是包管理器需要更新功能的原因。容器抽象(即较少关注容器中的内容)与容器扩展(因为轻量级资源利用率)可能会使这种不确定性成为Docker相关的痛点。

Docker的未来

Docker公司已经建立了清晰的道路,即发展核心能力(libcontainer)、跨业务管理(libswarm)和容器间消息(libchan)。与此同时,通过收购果园实验室(Orchard labs),Docker公司表达了利用自身生态系统的意愿。但是,这不仅仅关注Docker公司,这个项目的贡献者还来自于一些大牌公司,如谷歌、IBM和Red Hat。在仁慈的独裁者、首席技术官Solomon Hykes的掌舵下,Docker公司和Docker项目的技术领先有着明确的联系。在项目初始的18个月里,它已经显示出通过自己的输出来快速前进的能力,并且没有减弱的迹象。

许多投资者正着眼于十年前VMware公司ESX/ vSphere平台的功能矩阵,试图找出已经由虚拟机普及而驱动的企业预期和现有Docker生态系统之间的差距(和机会)。在网络存储和细粒度的版本管理(用于容器中的内容)领域,现有Docker生态系统做得并不好,这就为初创企业和在职人员提供了机会。

随着时间的推移,虚拟机和容器(Docker中的“运行”部分)之间的区别很可能变得不再那么重要,这将使注意力转到“构建(build)”和“交付(ship)”方面。这些变化将使 “Docker会发生什么?”的问题,相比“Docker会带给IT业什么?”的问题,变得更不重要。