Docker存储原理

1.Linux的Namespace、CGroups和UnionFS三大技术支撑了Docker的实现

Namespace（命名空间）是容器隔离的基础，它建立了容器间的安全边界。容器间的隔离使用到的命名空间包括：User、Mnt、Network、UTS、IPC、Pid。

CGroup（Control Group 控制组）是内核功能，用于限制、记录和隔离进程组的 CPU、内存、磁盘 I/O 等资源的使用，主要的 CGroup 子系统有 cpu、blkio、device、freezer、memory。

UnionFS（联合文件系统），允许将多个不同的文件系统或目录（称为分支）合并成一个单一的、虚拟的文件系统视图，UnionFS 在资源利用、系统维护、数据管理等方面有着重要的作用。

2.UnionFS

Docker的镜像通过分层机制构建，每个镜像层都是一个只读的模板，记录了所需的文件系统和配置。当执行Docker命令时，会基于现有镜像层创建一个新的可写层，用于构建容器运行时。这种分层机制使得镜像构建和部署变得非常高效。每条 Dockerfile 命令都会生成一个新的镜像层，使得镜像大小得以控制。Docker 使用UnionFS 技术实现了镜像的分层存储和容器的数据持久化。UnionFS 可以将多个目录合并为一个虚拟文件系统，使得不同层级的文件和目录得以保留和共享。在容器运行时，可写层会覆盖镜像层中的文件和目录，但不会影响底层的数据，这样既保证了容器的数据持久化，又使得镜像构建变得非常高效。

（1）例如创建如下目录：

（2）在文件写入以下内容：

（3）以mountedfs为挂载点挂载aufs文件系统：

mount -t aufs -o br:upperlayer:layer1:layer2 none mountedfs

AUFS (Another Union File System) 是一种联合文件系统（Union File System），它的核心技术能力就是将多个物理目录（被称为分支）联合挂载到同一个虚拟目录下，对外呈现为一个统一的文件系统

-o br:upperlayer:layer1:layer2

br 的含义

br 是 Branch（分支）的缩写。它告诉 AUFS：要把哪些现有的系统目录（即"分支"）联合在一起。

: 的作用（非常关键）

冒号（:）用于分隔不同的分支目录，并且顺序决定了优先级。AUFS 严格按照从左到右的顺序来查找和读写文件。

逐层分析你的命令

-o br=upperlayer:layer1:layer2

upperlayer (最左侧)：
- 身份：读写（read-write）层。
- 优先级：最高。AUFS 访问任何文件，都会先在这里找。
- 你的实例：你之前困惑的 file4 应该被创建在这里。如果当时你在正确的挂载点 (mountedfs) 里新建文件，文件物理上就会出现在 upperlayer 目录里。
layer1 (中间)：
- 身份：只读（read-only）层（默认下层都是只读）。
- 优先级：中等。只有当 upperlayer 里不存在某个文件时，AUFS 才会来这一层找。
layer2 (最右侧)：
- 身份：只读（read-only）层。
- 优先级：最低。只有当 upperlayer 和 layer1 里都找不到文件时，才会最后来这一层找。

（4）mountedfs中file1来自于layer1；从左到右的顺序来查找和读写文件

（5）在挂载点读写文件时，新文件/修改才会按照 AUFS 的写时复制（CoW）规则写入 **最上层（upperlayer），**因为挂载到目录在MOUNTEDFS，所以file4在mountedfs中显示

（6）删除file1

UFS 的处理机制详解

对于 file4（新建文件）

动作：直接创建
物理位置 ：upperlayer/file4
挂载点视图 ：可见 file4

对于 .wh.file1（删除下层文件）

背景：file1 原本存在于 layer1/（只读层）
你的操作 ：在挂载点执行 rm file1
AUFS 的处理：
1. 无法删除 layer1/file1（因为是只读层）
2. 在 upperlayer/ 创建一个白出文件 ：.wh.file1
3. 这个白出文件就像一个"遮罩"，告诉 AUFS："file1 已经被删除了，不要显示下层的那个"

（7）新建一个file1