docker镜像（一）overlayfs
一、Docker使用的存储引擎
Docker镜像是分层的结构，一个镜像一般是由多层镜像所构成的，然后通过联合文件系统，把各个镜像层进行组合，形成rootfs供容器使用。
现在docker默认使用的存储引擎是overlay2
# docker info Storage Driver: overlay2 Backing Filesystem: xfs Supports d_type: true Native Overlay Diff: true
二、什么是overlayfs？
Overlayfs是一种堆叠文件系统，它依赖并建立在其它的文件系统之上（例如ext4fs和xfs等等），并不直接参与磁盘空间结构的划分，仅仅将原来底层文件系统中不同的目录进行“合并”，然后向用户呈现。因此对于用户来说，它所见到的overlay文件系统根目录下的内容就来自挂载时所指定的不同目录的“合集”。
三、使用overlayfs
挂载一个overlay文件系统，可以使用如下命令
mount -t overlay -o <options> overlay <mount point>
mount -t overlay -o lowerdir=/dir1:/dir2:/dir3:...:/dir25,upperdir=... overlay <mount point>
<mount point>是最终overlay的挂载点，其中overlay的options有如下：
- lowerdir=<dir>：指定用户需要挂载的lower层目录，lower层支持多个目录，用“:”间隔，优先级依次降低。最多支持500层。
- upperdir=<dir>：指定用户需要挂载的upper层目录，upper层优先级高于所有的lower层目录。
- workdir=<dir>：指定文件系统挂载后用于存放临时和间接文件的工作基础目录。
- default_permissions：
- redirect_dir=on/off：开启或关闭redirect directory特性，开启后可支持merged目录和纯lower层目录的rename/renameat系统调用。
- index=on/off：开启或关闭index特性，开启后可避免hardlink copyup broken问题。
让我们实例操作下
# mkdir -p lower/common-dir # mkdir -p lower/lower-dir # mkdir -p upper/common-dir # mkdir -p upper/upper-dir # mkdir merge work # echo From lower >>lower/common-dir/lower-file # echo From lower >>lower/lower-dir/lower-file # echo From lower >>lower/lower-file # echo From lower >>lower/common-file # echo From upper >>upper/common-dir/upper-file # echo From upper >>upper/upper-dir/upper-file # echo From upper >>upper/upper-file # echo From upper >>upper/common-file # mount -t overlay \ -o lowerdir=/data/lower,upperdir=/data/upper,workdir=/data/work \ overlay /data/merge # tree merge/ merge/ |-- common-dir | |-- lower-file | `-- upper-file |-- common-file |-- lower-dir | `-- lower-file |-- lower-file |-- upper-dir | `-- upper-file `-- upper-file # more merge/common-file From upper
1、在merge目录创建文件或目录，新建的文件或目录会出现在upper目录的对应位置
# mkdir merge/new-dir # touch merge/new-file merge/common-dir/new-file merge/lower-dir/new-file # ll */new-file -rw-r--r-- 1 root root 0 Oct 5 16:29 merge/new-file -rw-r--r-- 1 root root 0 Oct 5 16:29 upper/new-file # ll -d */new-dir drwxr-xr-x 2 root root 6 Oct 5 16:28 merge/new-dir drwxr-xr-x 2 root root 6 Oct 5 16:28 upper/new-dir # ll */common-dir/new-file -rw-r--r-- 1 root root 0 Oct 5 16:29 merge/common-dir/new-file -rw-r--r-- 1 root root 0 Oct 5 16:29 upper/common-dir/new-file # ll */lower-dir/new-file -rw-r--r-- 1 root root 0 Oct 5 16:29 merge/lower-dir/new-file -rw-r--r-- 1 root root 0 Oct 5 16:29 upper/lower-dir/new-file
2、修改merge目录中的upper的文件，upper目录中相应的文件被修改
# echo new > merge/common-dir/upper-file # ll */common-dir/upper-file -rw-r--r-- 1 root root 4 Oct 6 10:42 merge/common-dir/upper-file -rw-r--r-- 1 root root 4 Oct 6 10:42 upper/common-dir/upper-file # echo new > merge/upper-dir/upper-file # ll */upper-dir/upper-file -rw-r--r-- 1 root root 4 Oct 6 10:45 merge/upper-dir/upper-file -rw-r--r-- 1 root root 4 Oct 6 10:45 upper/upper-dir/upper-file # echo new > merge/common-file # ll */common-file -rw-r--r-- 1 root root 11 Oct 5 16:22 lower/common-file -rw-r--r-- 1 root root 4 Oct 6 10:46 merge/common-file -rw-r--r-- 1 root root 4 Oct 6 10:46 upper/common-file
3、修改merge目录中lower的文件，lower目录的中文件没有修改，upper目录拷贝了lower的文件，并进行修改
# echo new > merge/common-dir/lower-file # ll */common-dir/lower-file -rw-r--r-- 1 root root 11 Oct 5 16:22 lower/common-dir/lower-file -rw-r--r-- 1 root root 4 Oct 6 10:43 merge/common-dir/lower-file -rw-r--r-- 1 root root 4 Oct 6 10:43 upper/common-dir/lower-file # echo new > merge/lower-dir/lower-file # ll */lower-dir/lower-file -rw-r--r-- 1 root root 11 Oct 5 16:22 lower/lower-dir/lower-file -rw-r--r-- 1 root root 4 Oct 6 10:44 merge/lower-dir/lower-file -rw-r--r-- 1 root root 4 Oct 6 10:44 upper/lower-dir/lower-file
4、重命名merge中的lower目录，lower目录没有变化，upper目录新增whitout文件和重命名后的目录
# mv merge/lower-dir merge/new-dir # ll -d */lower-dir drwxr-xr-x 2 root root 24 Oct 5 16:22 lower/lower-dir c--------- 1 root root 0, 0 Oct 6 10:48 upper/lower-dir # ll -d */new-dir drwxr-xr-x 3 root root 23 Oct 6 10:48 merge/new-dir drwxr-xr-x 3 root root 23 Oct 6 10:48 upper/new-dir
5、删除文件或目录
Whiteout文件在用户删除文件时创建，用于屏蔽底层的同名文件，同时该文件在merge中是不可见的，所以用户就看不到被删除的文件或目录了。
whiteout文件并非普通文件，而是主次设备号都为0的字符设备（可以通过"mknod <name> c 0 0"命令手动创建），当用户在merge中通过ls命令（将通过readddir系统调用）检查父目录的目录项时，overlayfs会自动过过滤掉和whiteout文件自身以及和它同名的lower层文件和目录，达到了隐藏文件的目的，让用户以为文件已经被删除了。
在merge目录无法看到任何文件，lower目录文件没有任何变化，upper目录删除了属于其的文件，并创建了whieout文件遮盖lower的文件
# rm -rf merge/* # ll merge/* ls: cannot access merge/*: No such file or directory # ll upper/* c--------- 1 root root 0, 0 Oct 6 10:55 upper/common-dir c--------- 1 root root 0, 0 Oct 6 10:55 upper/common-file c--------- 1 root root 0, 0 Oct 6 10:48 upper/lower-dir c--------- 1 root root 0, 0 Oct 6 10:55 upper/lower-file # ll lower/* -rw-r--r-- 1 root root 11 Oct 5 16:22 lower/common-file -rw-r--r-- 1 root root 11 Oct 5 16:22 lower/lower-file lower/common-dir: total 4 -rw-r--r-- 1 root root 11 Oct 5 16:22 lower-file lower/lower-dir: total 4 -rw-r--r-- 1 root root 11 Oct 5 16:22 lower-file
五、在容器中的应用
Docker容器将镜像层（image layer）作为lower dir，将容器层（container layer）作为upper dir，最后挂载到容器merge挂载点，即容器的根目录下
# docker run -d ubuntu:latest sleep 3600 # docker ps CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 605074f51a09 ubuntu:latest "sleep 3600" 17 minutes ago Up 17 minutes nostalgic_murdock # docker inspect 605074f51a09 "GraphDriver": { "Data": { "LowerDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c-init/diff: /var/lib/docker/overlay2/261602d78f852f9ebff7ffa4bc3b39469738e4a280f50886d797fb687b7e8703/diff: /var/lib/docker/overlay2/3a613e532ba2bc17f964c5379070bb1c3a1408b9df958346cfa693463fd41290/diff: /var/lib/docker/overlay2/b066cee05900179651f310ff3e8acbe2728236c7813cdb551a069765c9427204/diff", "MergedDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c/merged", "UpperDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c/diff", "WorkDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c/work" }, "Name": "overlay2" }, Lower层,容器镜像 "LowerDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c-init/diff: /var/lib/docker/overlay2/261602d78f852f9ebff7ffa4bc3b39469738e4a280f50886d797fb687b7e8703/diff: /var/lib/docker/overlay2/3a613e532ba2bc17f964c5379070bb1c3a1408b9df958346cfa693463fd41290/diff: /var/lib/docker/overlay2/b066cee05900179651f310ff3e8acbe2728236c7813cdb551a069765c9427204/diff", # docker image inspect ubuntu:latest "RootFS": { "Type": "layers", "Layers": [ "sha256:d42a4fdf4b2ae8662ff2ca1b695eae571c652a62973c1beb81a296a4f4263d92", "sha256:90ac32a0d9ab11e7745283f3051e990054616d631812ac63e324c1a36d2677f5", "sha256:782f5f011ddaf2a0bfd38cc2ccabd634095d6e35c8034302d788423f486bb177" ] }, 镜像由三层组成 # tree /var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c-init/diff /var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c-init/diff |-- dev | |-- console | |-- pts | `-- shm `-- etc |-- hostname |-- hosts |-- mtab -> /proc/mounts `-- resolv.conf Upper层 "UpperDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c/diff", # ll /var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c/diff total 0 空目录 Merge目录 "MergedDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c/merged", Work目录 "WorkDir": "/var/lib/docker/overlay2/e79c703ecfde4f4d62ac45a8006708b9557eea24743adb7b03881f699aafc56c/work"
