共计 3081 个字符，预计需要花费 8 分钟才能阅读完成。
理解一个技术，首先要明确其要点，Docker 技术就是基于容器的虚拟化技术，相对于其它虚拟化技术，它的特点是：
- 轻量级：单机可以轻松支持上百 container，让各种个位数虚拟化的方案相形见绌
- 快速就绪：一秒以内启动，即使是以资源快速就绪著称的青云 IAAS 也无法相比
- 弱安全：docker 能够对多种 OS 资源进行隔离，但是它本质上依托于内核，因此所有的内核漏洞都是 docker 的致命伤
上述三个特点都不是实现上的差异，而是设计方案的先天结果，因此上述结论会在很长一段时间内有效。
理解上述这些特点非常重要。
很多刚接触 docker 的人会把它和虚拟机做类比，然而这种类比和 docker 的最佳实践场景有所不同，一个 docker 容器不像是一台虚拟机，而更像是一个服务单元，如果要类比，反倒更像进程。
当然，docker 容器从技术层面上看确实也就是一个进程，然而这不是关键，“轻量级”这个特点带来的其实是服务器软件工作方式的回归。不妨来看看服务器软件的工作单元的抽象工作方式。
服务器软件的抽象模型是有限状态机，不难想到，在这类场景下，服务单元最终要做的，无非就是下面这些事情：
- 从网络得到请求
- 结合内部状态进行计
2.1 访问独有或共享的内存
2.2 访问独有或共享的文件系统
2.3 访问其它服务单元 - 通过同步或者异步的方式将计算结果由网络反馈出去
最为复杂的部分当属第 2 步，不过如果考虑到服务器软件需要进行水平扩展，业务也会逐渐分布化，我们会想到一句话，“不要通过共享内存进行通信，而是要通过通信共享内存”，所以，2.1. 可以改为访问独有的内存
实际上，由于有 2.3 的存在，2.2 也可以简化为访问独有的文件系统，不过文件系统本身的 IO 性能很差，一旦到了这个层面，往往是分布式和水平扩展的压力不大的场景，所以可以保留。
除了功能性需求，我们还有管理和控制需求，包括：
- 可见性——服务单元应该通过某种方式暴露自己的运行以及资源使用情况
- 可操作性——服务单元应该有某种渠道接受和响应控制信号
这样，我们可以大致勾勒出一个“服务单元”需要具备的能力列表：
- 独享内存访问
- 独享磁盘访问
- 对网络的访问能力
- 实时暴露自身状态和资源占用
- 实时反馈运行情况
- 接受和响应外部控制信号
说这么多显得很罗嗦，因为这显然就是一个普通的操作系统进程要做的——结合 cgroups 和 proc 文件系统这样的技术，现代 linux 可以将进程对内存、网络、文件系统的访问隔离开，并能实时掌握进程的状态；通过标准输出和 syslog，进程可以持续反馈运行情况；通过信号量，进程有机会对外部信号作出反应 …… 那为什么还要 Docker？
因为传统虚拟机的传统进程做的太多了
举几个例子：
- 应用如何变成 daemon，很长一段时间都是被应用系统开发人员忽略的问题，这个问题虽然有解决办法，但是各种语言和框架的办法并不统一，如果交给运维人员，千差万别的脚本会带来很高的维护成本，而这本来应该是进程管理的事，和具体的技术栈无关。
- 我们常常要从安全角度考虑问题，一些铁律也是这么出现的，比如“不要使用 root”，然而对线上服务器而言，它常常是单一进程，其它帐号根本就用不到，所以会出现这样的怪事：把要做的事分为 root 和 admin，然后运维脚本是 sudo 开头的
- 由于可以随意登录，并进行变更，profile 的 load 过程很复杂并且容易引入不确定性，所以大家形成共识——不用环境变量来约束和客制化软件的行为（虽然环境变量本来就是做这个的）。这样的后果是，c/c++、Java、Python、ruby 各种社区都形成了自己的配置文件习惯用法，更进一步，java 社区曾经有个趋势，把配置文件本身都做的快和代码没区别了（复杂度相当，也是在编译时而不是运行时确定实际参数值）
而在 docker 时代，这些都不是问题——
- container 自己就是个 daemon，应用系统进程放在里面不用再考虑 daemonize。
- container 是独占的，因此你完全可以仅用 root 帐号做事，并且不会破坏授权模型。
- 对于运行中的进程，可以很简单的使用 docker exec 命令获取其当前的环境变量，而且 Dockerfile 和 docker-compose.yml 都可以设定环境变量，这样，各种千奇百怪的“配置文件”的需要就可以大幅度简化。
不太严谨的说，Docker 其实是重新定义和简化了 linux，它是在针对服务器的场景进行裁剪，把核心问题解决的更干净纯粹，剥离枝节，使之更加贴近服务器环境的需要。
从这个角度出发再看看之前提到的三个特点，会觉得这是很实用的设计：
轻量级
表面上看，轻量级容器更容易启动，但更重要的是，这是对 linux 本身设计的某种回归，所以虽然简单却并不简陋。如果我们实践中感到不便，也许正应反思是否把运维做复杂了。
快速就绪
不难理解，由于本身仅仅是一个普通的进程，我们可以很快的启动容器，然而问题不止于此，个人理解，这也是一个“回归”——这是“以进程为计算单元的协作方式”的回归，all in one 其实并不是很好，每个计算单元做的少而精才是 linux 的理念。
当然，传统 linux 脚本组装的少而精并不能应对 web/internet，docker 容器的少而精实际上是在另一个角度进行了回归——让每个容器都能专注一个方面，通过容器的快速建立 / 释放来协调资源，通过标准规范的容器间协作来搭建复杂的系统。
弱安全
这一点其实是一个推论——如果要发挥系统的计算能力，虚拟化应该尽可能的薄，然而过于单薄将对系统的稳定性和安全性造成影响，docker 做了一个 trade-off——它将安全性交给了 IAAS 系统，而专注做好稳定性。
docker 自身显然还是要依托于物理系统或者 xen/kvm 这样的虚拟机，而这些系统的安全边界比较清晰，所以 docker 没有必要再背起这么重的负担，唯一需要考虑的是容器间的资源独占导致系统稳定性降低，因此重点不在多租户支持，而在故障隔离，后者其实就是资源隔离。
理解了 docker 的特点，我们才能进一步分析和讨论 docker 到底能带来什么。
更多 Docker 相关教程见以下内容：
Docker 安装应用(CentOS 6.5_x64) http://www.linuxidc.com/Linux/2014-07/104595.htm
Ubuntu 14.04 安装 Docker http://www.linuxidc.com/linux/2014-08/105656.htm
Ubuntu 使用 VNC 运行基于 Docker 的桌面系统 http://www.linuxidc.com/Linux/2015-08/121170.htm
阿里云 CentOS 6.5 模板上安装 Docker http://www.linuxidc.com/Linux/2014-11/109107.htm
Ubuntu 15.04 下安装 Docker http://www.linuxidc.com/Linux/2015-07/120444.htm
在 Ubuntu Trusty 14.04 (LTS) (64-bit)安装 Docker http://www.linuxidc.com/Linux/2014-10/108184.htm
在 Ubuntu 15.04 上如何安装 Docker 及基本用法 http://www.linuxidc.com/Linux/2015-09/122885.htm
Docker 的详细介绍：请点这里
Docker 的下载地址：请点这里
本文永久更新链接地址：http://www.linuxidc.com/Linux/2016-02/128577.htm
