剛開始接觸Docker之後，就對容器和映象的概念有所迷惑，上一篇也簡單的說了一下之前的見解，其實並不準確，在之後的學習中再加上網上找的資料，發現了下面的這一片博文，一定要多看幾遍，看完思考再看，就會對容器和映象有更深刻的認識。

【編者的話】本文用圖文並茂的方式介紹了容器、映象的區別和Docker每個命令後面的技術細節，能夠很好的幫助讀者深入理解Docker。

這篇文章希望能夠幫助讀者深入理解Docker的命令，還有容器（container）和映象（image）之間的區別，並深入探討容器和執行中的容器之間的區別。

當我對Docker技術還是一知半解的時候，我發現理解Docker的命令非常困難。於是，我花了幾周的時間來學習Docker的工作原理，更確切地說，是關於Docker統一檔案系統（the union file system）的知識，然後回過頭來再看Docker的命令，一切變得順理成章，簡單極了。

題外話：就我個人而言，掌握一門技術併合理使用它的最好辦法就是深入理解這項技術背後的工作原理。通常情況下，一項新技術的誕生常常會伴隨著媒體的大肆宣傳和炒作，這使得使用者很難看清技術的本質。更確切地說，新技術總是會發明一些新的術語或者隱喻詞來幫助宣傳，這在初期是非常有幫助的，但是這給技術的原理蒙上了一層砂紙，不利於使用者在後期掌握技術的真諦。

Git就是一個很好的例子。我之前不能夠很好的使用Git，於是我花了一段時間去學習Git的原理，直到這時，我才真正明白了Git的用法。我堅信只有真正理解Git內部原理的人才能夠掌握這個工具。

Image Definition

映象（Image）就是一堆只讀層（read-only layer）的統一視角，也許這個定義有些難以理解，下面的這張圖能夠幫助讀者理解映象的定義。

從左邊我們看到了多個只讀層，它們重疊在一起。除了最下面一層，其它層都會有一個指標指向下一層。這些層是Docker內部的實現細節，並且能夠在主機（譯者注：執行Docker的機器）的檔案系統上訪問到。統一檔案系統（union file system）技術能夠將不同的層整合成一個檔案系統，為這些層提供了一個統一的視角，這樣就隱藏了多層的存在，在使用者的角度看來，只存在一個檔案系統。我們可以在圖片的右邊看到這個視角的形式。

你可以在你的主機檔案系統上找到有關這些層的檔案。需要注意的是，在一個執行中的容器內部，這些層是不可見的。在我的主機上，我發現它們存在於/var/lib/docker/aufs目錄下。

sudo tree -L 1 /var/lib/docker/
/var/lib/docker/

├─aufs
├─containers
├─graph
├─init
├─linkgraph.db
├─repositories-aufs
├─tmp
├─trust
└─volumes

Container Definition

容器（container）的定義和映象（image）幾乎一模一樣，也是一堆層的統一視角，唯一區別在於容器的最上面那一層是可讀可寫的。

細心的讀者可能會發現，容器的定義並沒有提及容器是否在執行，沒錯，這是故意的。正是這個發現幫助我理解了很多困惑。

要點：容器 = 映象 + 讀寫層。並且容器的定義並沒有提及是否要執行容器。

接下來，我們將會討論執行態容器。

Running Container Definition

一個執行態容器（running container）被定義為一個可讀寫的統一檔案系統加上隔離的程序空間和包含其中的程序。下面這張圖片展示了一個執行中的容器。

正是檔案系統隔離技術使得Docker成為了一個前途無量的技術。一個容器中的程序可能會對檔案進行修改、刪除、建立，這些改變都將作用於可讀寫層（read-write layer）。下面這張圖展示了這個行為。

我們可以通過執行以下命令來驗證我們上面所說的：

docker run ubuntu touch happiness.txt

即便是這個ubuntu容器不再執行，我們依舊能夠在主機的檔案系統上找到這個新檔案。

find / -name happiness.txt
/var/lib/docker/aufs/diff/860a7b...889/happiness.txt

Image Layer Definition

為了將零星的資料整合起來，我們提出了映象層（image layer）這個概念。下面的這張圖描述了一個映象層，通過圖片我們能夠發現一個層並不僅僅包含檔案系統的改變，它還能包含了其他重要資訊。

元資料（metadata）就是關於這個層的額外資訊，它不僅能夠讓Docker獲取執行和構建時的資訊，還包括父層的層次資訊。需要注意，只讀層和讀寫層都包含元資料。

除此之外，每一層都包括了一個指向父層的指標。如果一個層沒有這個指標，說明它處於最底層。

Metadata Location:
我發現在我自己的主機上，映象層（image layer）的元資料被儲存在名為”json”的檔案中，比如說：

/var/lib/docker/graph/e809f156dc985.../json

e809f156dc985…就是這層的id

一個容器的元資料好像是被分成了很多檔案，但或多或少能夠在/var/lib/docker/containers/目錄下找到就是一個可讀層的id。這個目錄下的檔案大多是執行時的資料，比如說網路，日誌等等。

全域性理解（Tying It All Together）

現在，讓我們結合上面提到的實現細節來理解Docker的命令。

docker create

docker create 命令為指定的映象（image）添加了一個可讀寫層，構成了一個新的容器。注意，這個容器並沒有執行。

docker start

Docker start命令為容器檔案系統建立了一個程序隔離空間。注意，每一個容器只能夠有一個程序隔離空間。

docker run <image-id>

看到這個命令，讀者通常會有一個疑問：docker start 和 docker run命令有什麼區別。

從圖片可以看出，docker run 命令先是利用映象建立了一個容器，然後執行這個容器。這個命令非常的方便，並且隱藏了兩個命令的細節，但從另一方面來看，這容易讓使用者產生誤解。

題外話：繼續我們之前有關於Git的話題，我認為docker run命令類似於git pull命令。git pull命令就是git fetch 和 git merge兩個命令的組合，同樣的，docker run就是docker create和docker start兩個命令的組合。

docker ps

docker ps 命令會列出所有執行中的容器。這隱藏了非執行態容器的存在，如果想要找出這些容器，我們需要使用下面這個命令。

docker ps –a

docker ps –a命令會列出所有的容器，不管是執行的，還是停止的。

docker images

docker images命令會列出了所有頂層（top-level）映象。實際上，在這裡我們沒有辦法區分一個映象和一個只讀層，所以我們提出了top-level映象。只有建立容器時使用的映象或者是直接pull下來的映象能被稱為頂層（top-level）映象，並且每一個頂層映象下面都隱藏了多個映象層。

docker images –a

docker images –a命令列出了所有的映象，也可以說是列出了所有的可讀層。如果你想要檢視某一個image-id下的所有層，可以使用docker history來檢視。

docker stop <container-id>

docker stop命令會向執行中的容器傳送一個SIGTERM的訊號，然後停止所有的程序。

docker kill <container-id>

docker kill 命令向所有執行在容器中的程序傳送了一個不友好的SIGKILL訊號。

docker pause <container-id>

docker stop和docker kill命令會發送UNIX的訊號給執行中的程序，docker pause命令則不一樣，它利用了cgroups的特性將執行中的程序空間暫停。具體的內部原理你可以在這裡找到：https://www.kernel.org/doc/Doc … m.txt，但是這種方式的不足之處在於傳送一個SIGTSTP訊號對於程序來說不夠簡單易懂，以至於不能夠讓所有程序暫停。

docker rm <container-id>

docker rm命令會移除構成容器的可讀寫層。注意，這個命令只能對非執行態容器執行。

docker rmi <image-id>

docker rmi 命令會移除構成映象的一個只讀層。你只能夠使用docker rmi來移除最頂層（top level layer）（也可以說是映象），你也可以使用-f引數來強制刪除中間的只讀層。

docker commit

docker commit命令將容器的可讀寫層轉換為一個只讀層，這樣就把一個容器轉換成了不可變的映象。

docker build

docker build命令非常有趣，它會反覆的執行多個命令。

我們從上圖可以看到，build命令根據Dockerfile檔案中的FROM指令獲取到映象，然後重複地1）run（create和start）、2）修改、3）commit。在迴圈中的每一步都會生成一個新的層，因此許多新的層會被建立。

docker exec <running-container-id>

docker exec 命令會在執行中的容器執行一個新程序。

docker inspect <container-id> or <image-id>

docker inspect命令會提取出容器或者映象最頂層的元資料。

docker save <image-id>

docker save命令會建立一個映象的壓縮檔案，這個檔案能夠在另外一個主機的Docker上使用。和export命令不同，這個命令為每一個層都儲存了它們的元資料。這個命令只能對映象生效。

docker export <container-id>

docker export命令建立一個tar檔案，並且移除了元資料和不必要的層，將多個層整合成了一個層，只儲存了當前統一視角看到的內容（譯者注：expoxt後的容器再import到Docker中，通過docker images –tree命令只能看到一個映象；而save後的映象則不同，它能夠看到這個映象的歷史映象）。

docker history <image-id>

docker history命令遞迴地輸出指定映象的歷史映象。

結論

我希望你們能喜歡這篇文章。還有其他許多的命令（pull，search，restart，attach等）我沒有提及，但是我相信通過閱讀這篇文章，大部分的Docker命令都能夠被很好理解。我僅僅學習了Docker兩個星期，因此，如果我有什麼地方說的不好，歡迎大家指出。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

譯者介紹

楊潤青，90後博士僧，研究方向是網路和資訊保安。