Docker 镜像原理与分层存储机制详解

Docker 是操作系统层的虚拟化，所以 Docker 镜像的本质是在模拟操作系统。

联合文件系统（UnionFS）

联合文件系统（UnionFS） 是 Docker 镜像实现分层存储的核心技术，它通过将多个只读层（Image Layers）和一个可写层（Container Layer）叠加，形成一个虚拟的、统一的文件系统。

核心概念

分层存储：

• Docker 镜像由多个只读层组成，每一层对应一个构建步骤（如 RUN、COPY 指令）。
• 这些层通过 UnionFS 叠加在一起，形成一个逻辑上的完整文件系统。

只读层与可写层：

• 只读层：镜像的每一层都是只读的，确保了镜像的一致性和不可变性。
• 可写层：当容器启动时，Docker 会在镜像的只读层之上添加一个可写的容器层，用于记录容器的文件修改。

共享与复用：

• 多个容器可以共享同一个镜像的只读层，节省存储空间。
• 不同容器之间的可写层相互隔离，互不影响。

工作原理

文件系统的叠加：

• UnionFS 将多个只读层和一个可写层按照顺序叠加，形成一个统一的视图。
• 当访问文件时，UnionFS 会从顶层开始查找，直到找到目标文件为止。

写时复制（Copy-on-Write, CoW）：

• 如果容器需要修改只读层中的文件，UnionFS 会先在可写层中创建一个该文件的副本，然后对副本进行修改。
• 这种机制避免了直接修改只读层，确保了镜像的不可变性。

透明性：

• 对于用户来说，UnionFS 提供的文件系统视图是透明的，用户无需关心文件的实际存储位置。

实现方式

常见实现：

• AUFS：早期 Docker 使用的 UnionFS 实现，但已逐渐被其他实现取代。
• OverlayFS：现代 Linux 内核中广泛使用的 UnionFS 实现，性能更优。
• Btrfs、ZFS：其他支持 UnionFS 的文件系统，但使用较少。

OverlayFS 的分层结构：

• LowerDir：镜像的只读层，由多个目录组成。
• UpperDir：容器的可写层。
• WorkDir：用于存储 OverlayFS 的临时数据。
• MergedDir：最终呈现给容器的统一文件系统视图。

在 Docker 中的应用场景

镜像构建：

• Docker 通过 UnionFS 将多个构建步骤的层叠加，形成一个完整的镜像。
• 每个层都可以被其他镜像共享，减少了存储空间的占用。

容器运行：

• 容器启动时，Docker 会在镜像的只读层之上添加一个可写层，用于记录容器的文件修改。
• 这种设计使得容器可以快速启动，并且多个容器可以共享同一个镜像。

镜像分发：

• 由于镜像的层是共享的，Docker 在分发镜像时只需要传输新增的层，大大减少了网络带宽的占用。

UnionFS 的优势

存储效率：

• 通过共享层，减少了存储空间的占用。
• 写时复制机制避免了重复的数据复制。

性能优化：

• OverlayFS 等现代 UnionFS 实现具有较高的性能，能够满足容器化应用的需求。