kubenetes学习笔记（1）

kubenetes学习笔记（1）

一、容器到底是什么

    基于Paas技术的普及，docker公司项目的发布，还有docker镜像解决了应用打包的难题，容器
编排的价值也被越来越多的人发现。也正因为如此，容器技术生态才爆发了一场关于“容器编排”的
“战争”。而这次战争，最终以 Kubernetes 项目和 CNCF 社区的胜利而告终，而我的学习笔记也从
此开始。
    接下来学习的内容和方向，还是以 Docker 和 Kubernetes 项目为核心，深入学习容器技术的
各项实践与其中的原理。
    先确定一个很基础的问题：容器到底是怎么回事？在我刚接触到容器的时候，记得容器的关键
词是：轻量、快速、高效、边界。
    容器其实是一种沙盒技术。顾名思义，沙盒就是能够像一个集装箱一样，把你的应用“装”起来
的技术。这样，应用与应用之间，就因为有了边界而不至于相互干扰；而被装进集装箱的应用，也
可以被方便地搬来搬去。

二、边界，隔离

    假如，现在你要写一个计算加法的小程序，这个程序需要的输入来自于一个文件，计算完成后
的结果则输出到另一个文件中。由于计算机只认识 0 和 1，所以无论用哪种语言编写这段代码，
最后都需要通过某种方式翻译成二进制文件，才能在计算机操作系统中运行起来。而为了能够让这
些代码正常运行，我们往往还要给它提供数据，比如我们这个加法程序所需要的输入文件。这些数
据加上代码本身的二进制文件，放在磁盘上，就是我们平常所说的一个“程序”，也叫代码的可执行
镜像（executable image）。然后，我们就可以在计算机上运行这个“程序”了。首先，操作系统
从“程序”中发现输入数据保存在一个文件中，所以这些数据就会被加载到内存中待命。
    同时，操作系统又读取到了计算加法的指令，这时，它就需要指示 CPU 完成加法操作。而 
CPU 与内存协作进行加法计算，又会使用寄存器存放数值、内存堆栈保存执行的命令和变量。同时，
计算机里还有被打开的文件，以及各种各样的 I/O 设备在不断地调用中修改自己的状态。就这样，
一旦“程序”被执行起来，它就从磁盘上的二进制文件，变成了计算机内存中的数据、寄存器里的值、
堆栈中的指令、被打开的文件，以及各种设备的状态信息的一个集合。像这样一个程序运行起来后
的计算机执行环境的总和，即进程。
    所以，对于进程来说，它的静态表现就是程序，平常都安安静静地待在磁盘上；而一旦运行起
来，它就变成了计算机里的数据和状态的总和，这就是它的动态表现。而容器技术的核心功能，就
是通过约束和修改进程的动态表现，从而为其创造出一个“边界”。

三、资源，限制

    Cgroups 技术是用来制造约束的主要手段，而 Namespace 技术则是用来修改进程视图的主
要方法。
    当我们在自己容器环境中查看进程的时候，发现pid = 1 的进程是/bin/bash，即/bin/bash
是目前容器所有进程的父进程，这就意味着当前进程已经被容器隔离在了一个跟宿主机完全不同的
世界中。
    本来，每当我们在宿主机上运行了一个 /bin/sh 程序，操作系统都会给它分配一个进程编号，
比如 PID=100。这个编号是进程的唯一标识，就像员工的工牌一样。所以 PID=100，可以粗略地
理解为这个 /bin/sh 是我们公司里的第 100 号员工，而第 1 号员工就自然是 "/" 这样的角色。
    而现在，我们要通过 Docker 把这个 /bin/sh 程序运行在一个容器当中。这时候，Docker 
就会在这个第 100 号员工入职时给他施一个“障眼法”，让他永远看不到前面的其他1个员工。这样，
他就会错误地以为自己就是公司里的第 1 号员工。	这种机制，其实就是对被隔离应用的进
程空间做了手脚，使得这些进程只能看到重新计算过的进程编号，比如 PID=1。可实际上，他们在
宿主机的操作系统里，还是原来的第 100 号进程。这种技术，就是 Linux 里面的 Namespace 
机制。

四、容器，进程

    这时，新创建的这个进程将会“看到”一个全新的进程空间，在这个进程空间里，它的 PID 是 
1。之所以说“看到”，是因为这只是一个“障眼法”，在宿主机真实的进程空间里，这个进程的 PID
还是真实的数值，比如 100。
    当然，除了我们刚刚用到的 PID Namespace，Linux 操作系统还提供了 Mount、UTS、IPC、
Network 和User 这些 Namespace，用来对各种不同的进程上下文进行“障眼法”操作。
    比如，Mount Namespace，用于让被隔离进程只看到当前，Namespace 里的挂载点信息；
         Network Namespace，用于让被隔离进程看到当前 Namespace 里的网络设备和配置。
    这就是 Linux 容器最基本的实现原理了。所以，Docker 容器这个听起来玄而又玄的概念，
实际上是在创建容器进程时，指定了这个进程所需要启用的一组 Namespace 参数。这样，容器就
只能“看”到当前 Namespace、所限定的资源、文件、设备、状态，或者配置。而对于宿主机以及
其他不相关的程序，它就完全看不到了。所以说，容器，其实是一种特殊的进程而已。

    习题：这是一张虚拟机和容器的对比图，习题：这是一张虚拟机和容器的对比图，这幅图的
左边，画出了虚拟机的工作原理。其中，名为 Hypervisor 的软件是虚拟机最主要的部分。它通过
硬件虚拟化功能，模拟出了运行一个操作系统需要的各种硬件，比如 CPU、内存、I/O 设备等等。
然后，它在这些虚拟的硬件上安装了一个新的操作系统，即 Guest OS。
    这样，用户的应用进程就可以运行在这个虚拟的机器中，它能看到的自然也只有 Guest OS 
的文件和目录，以及这个机器里的虚拟设备。这就是为什么虚拟机也能起到将不同的应用进程相互
隔离的作用。
    理解了这些概念，根据上文，右边这幅图的逻辑是否有问题，如果有，请说出你的理解，或者
右侧的图该怎么去画...