Docker 架构演进

网络上关于K8S-1.20宣布弃用docker，炒的沸沸扬扬，但多数文章讲的不够详细。虽然也有一些文章讲的还不错，但都不够完整，不够具体。例如∶

1.k8s要废除的是 docker 还是 dockershim?

2.为什么要弃用，什么时候弃用?替代品是谁? 2.dockershim是什么? dockershim和 docker 是什么关系，和CRT 又是什么关系?

3.dockershim和containerd-shim都有 shim，是一回事吗?

4.容器运行时是CRI 还是 OCI ?

5. 使用docker和弃用docker后的架构分别是什么样的呢?

6. 弃用docker只是简单的删除 docker二进制 就行了吗?

7. 弃用docker后如何制作并上传镜像呢?

8.原来docker创建的容器、下载的镜像，containerd能继续沿用吗?

9.containerd的 镜像mirror 、证书 如何配置?

10.没有了docker，如何查看容器、查看镜像呢?

11.能用podman替代docker用于k8s环境吗?

 

 

容器技术简史

---

2002年，在Linux2.4.19内核中出现了第一个namespace（mount），其他namespace于2006年开始逐渐加入。直到 3.8内核才算有了足够多的namespace，以支持容器技术。截至5.6内核，已有8种namespace∶mnt、pid、net、 pic、uts 、user 、cgroup 、time。

2008年，在2.6.24内核中首次集成了 control cgroup（简称cgroup）。

再加上chroot等众多技术，就形成了容器，并一直进化完善、生态快速发展。就是说，容器并不是一种真实存在于 Linux内核中的技术，而是namespace、cgroup、chroot等等许多技术的合集。

早期有LXC、Docker实现了容器，后来随着技术发展与博弈，尤其是kubemetes及其容器运行时生态的发展壮大，容器技术的实现及上层封装越发复杂。导致概念、术语众多，盘根错节，千头万绪难以琢磨。这也正是本文之目的，将错综复杂的各种术语——弄清，尤其是他们之间的关联。

 

阐述是基于以下版本

1.系统∶ centos7.9x86_64（3.10.0-1160）

2.kubernetes∶1.20.2（kubeadm部署）

3.docker: ce 20.10.2

4.containerd: 1.4.3

5.runc: 1.0.0-rc92

6.kata: 1.11.5

7.crict: 0.1.0

 

Docker架构演进

---

由于当代容器运行时架构是由Docker逐渐演化而成，因此了解Docker架构的演进显得十分必要。最初，docker仅有1个二进制，就叫docker，既是cli又是server（daemon）。容器启动的应用程序，直接挂在docker daemon下（就这么简单）

后来，功能拆分∶ daemon独立出来，形成了 dockerd和containerd;创建namespace与cgroup的逻辑独立出来，形成了 runc;调用runc、监视容器（stdin、状态等）形成了 containerd-shim。

docker最早期二进制文件只有一个就是docker很轻量，启动容器，容器进程在docker进程下面可以看到，如pstree

以前docker进程挂载在docker进程下面，现在是挂载在containerd-shim下面，containerd-shim作为一个父进程，其起到了父进程和监控容器的作用

Docker-runc主要是创建常用的docker 5个namespace，调用完之后就退出了。runc除了创建namspce cgroup还会去启动容器的程序，启动之后将容器进程挂载在docker-containerd-shim的子进程

 在19版本叫做containerd-shim  当20版本containerd-shim-runc-v2

 

[root@reg ~]# ps -ef | grep dockerd | grep -v grep
root       1106      1  0 13:33 ?        00:01:38 /usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock --insecure-registry=reg.harbor.com


[root@reg ~]# ps -ef | grep containerd | grep -v grep
root       1104      1  0 13:33 ?        00:00:40 /usr/bin/containerd
root       1106      1  0 13:33 ?        00:01:38 /usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock --insecure-registry=reg.harbor.com
root      53639   1104  0 15:43 ?        00:00:00 containerd-shim -namespace moby -workdir /var/lib/containerd/io.containerd.runtime.v1.linux/moby/2947c729d51d317189bbba725029e827c69219b99cdd4404e4425506d43b35f3 -address /run/containerd/containerd.sock -containerd-binary /usr/bin/containerd -runtime-root /var/run/docker/runtime-runc
root      55492   1104  0 16:55 ?        00:00:00 containerd-shim -namespace moby -workdir /var/lib/containerd/io.containerd.runtime.v1.linux/moby/20e45e597a9444965e06c1d0dc48c892e7ca2d0a802c7fd2a2beaa813a1eb931 -address /run/containerd/containerd.sock -containerd-binary /usr/bin/containerd -runtime-root /var/run/docker/runtime-runc


[root@reg ~]# ps -ef | grep containerd-shim | grep -v grep
root      53639   1104  0 15:43 ?        00:00:00 containerd-shim -namespace moby -workdir /var/lib/containerd/io.containerd.runtime.v1.linux/moby/2947c729d51d317189bbba725029e827c69219b99cdd4404e4425506d43b35f3 -address /run/containerd/containerd.sock -containerd-binary /usr/bin/containerd -runtime-root /var/run/docker/runtime-runc
root      55492   1104  0 16:55 ?        00:00:00 containerd-shim -namespace moby -workdir /var/lib/containerd/io.containerd.runtime.v1.linux/moby/20e45e597a9444965e06c1d0dc48c892e7ca2d0a802c7fd2a2beaa813a1eb931 -address /run/containerd/containerd.sock -containerd-binary /usr/bin/containerd -runtime-root /var/run/docker/runtime-runc

上面19 20都是containerd和dokerd独立出来了，20版本container-shim-runc2-v2直接作为systemd的子进程，不是挂载在containerd下面 

 

各架构主要二进制

早期∶ docker

中期∶ docker、dockerd、docker-containerd、docker-containerd-shim、docker-runc、docker-containerd-ctr

当前∶docker、dockerd、containerd、containerd-shim、containerd-shim-runcv1/2、runc、ctr、crictl

因此，当前Docker容器运行起来由几个二进制组件组成

1. docker : cli

2.dockerd∶也叫做docker daemon或docker engine，对外提供API接口（var/run/docker.sock），封装了容器操作（创建启动停止等），以及镜像操作（制作/上传/下载）。不支持CRI

3．containerd∶对外提供API接口（var/run/containerd/containerd.sock），同时提供原生非CRI接口、CRI接口，dockerd调用containerd是走非CRI接口（通过yum instal docker-ce依赖安装的containerd是关闭CRI接口）

4.containerd-shim∶由containerd调用，有2个作用，调用runc创建容器，以及接管、监视容器应用进程，如 stdin、状态等。ce19默认用containerd-shim，ce20默认用containerd-shim-runc-v2

5.runc∶为容器创建OCl标准的环境，如namespace、cgroup等，但不包括镜像

早期的docker是守护进程+cli，现在docker就是cli命令行工具，Dockerd不支持CRI，非常重要！！！！！！！！！！！！

 

镜像下载   平时敲的docker pull到底是由dockerd下载的还是containerd下载的？

containerd 不仅负责容器生命周期的管理，同时还负责一些其他的功能：镜像的管理，例如容器运行前从镜像仓库拉取镜像到本地