container内核原理浅谈PPT课件.ppt

Container内核原理介绍 邱模炯 UCloud 1 虚拟化技术 VM与Container Hardware HostKernel Hypervisor VMM GuestKernel Binaries Libraries App SystemVirtualization GuestKernel Binaries Libraries App GuestKernel Binaries Libraries App Hardware HostKernel Binaries Libraries App Binaries Libraries App Binaries Libraries App ContainerVirtualization 2 虚拟化技术 VM与Container Hardware HostKernel Hypervisor VMM GuestKernel Binaries Libraries App SystemVirtualization GuestKernel Binaries Libraries App GuestKernel Binaries Libraries App Hardware HostKernel Binaries Libraries App Binaries Libraries App Binaries Libraries App ContainerVirtualization namespace cgroup 内容 namespacecgroupaufs两者对比 3 namespace 进程组虚拟化的手段 进程运行环境有哪些 VFSmount 即文件系统rootfsuid gidnetwork 即独立的网络设备和tcpippid 父piddevices hostinfo IPC proc sys等 进程虚拟化 隔离已有nspid 进程IDmnt 文件系统挂载点net 网络栈uts 主机名ipc 进程间通信user 用户ID 组ID capabilities子进程自动继承父的ns 4 nsproxy相当于运行环境 structtask struct structnsproxy nsproxy structtask struct structnsproxy nsproxy structtask struct structnsproxy nsproxy structnsproxy uts namespaceipc namespacepid namespacemnt namespacenet structnsproxy uts namespaceipc namespacepid namespacemnt namespacenet UTS0 UTS1 PID0 PID1 NET0 MNT0 IPC0 NET1 5 mntns提供私有的rootfs 每个mntns有自己的rootfs 相对于host的根目录 structmnt namespace structmount root 6 pidns映射后的pid空间 structpid namespace structpidmappidmap PIDMAP ENTRIES 7 8 netns提供独立的网络栈 每一个ns私有的网络设备lo veth等虚设备物理网卡独立的协议栈ipv4 ipv6 含IP地址和路由表 tcp sctp dccpiptables规则ipvs等 9 其他ns uts ipcusernsC1的1001id和C2的1001不是同一主要处理uid gid capabilities的虚拟化3 8版本提交 需要文件系统配合 目前不完善还有什么namespace没有实现 time device securitykeys security 10 namespace能做到什么 虚拟机 但资源无保证独立的mnt chroot 独立的pid空间独立的网络协议栈utsuid gidipc Hardware HostKernel Binaries Libraries App Binaries Libraries App Binaries Libraries App namespace 11 cgroup 资源隔离和统计 哪些控制组memoryusage in byteslimit in bytesstatkmem kmem tcp memsw cpublkiocpuset freezer net cls net prio devices perf cpuacct hugetlbmount tcgroupnone cgroup ulimit的群体版 12 cgroup 内存子系统接口 memory limit in bytesmemory soft limit in bytesmemory usage in bytesmemory failcntmemory max usage in bytesmemory statmemory kmem limit in bytesmemory kmem usage in bytesmemory kmem failcntmemory kmem max usage in bytesmemory kmem tcp xxx 总体内存 kmem内存 kmem tcp内存 13 cgroup 内存子系统原理 mem cgroup包含该group允许使用内存上限 当前使用量 LRU等信息每个进程task struct知道自己属于哪个group每个页面page有对应的page cgroup信息 从page cgroup可知道该页面属于哪个group在pagefault或分配pagecache页面时 系统会设置page cgroup属于哪个mem cgroup 14 cgroup CPU子系统接口 cpu sharesgroup间CPU调度权重cpu statcpu cfs period uscpu cfs quota uscpu rt runtime uscpu rt period us 15 cgroup CPU子系统原理 CompleteFaireScheduling调度的基础是red blacktree 二叉排序树 启用cgroup前 所有可运行进程都被排序 p1 p2 p3 p4 p6 p5 group1 group2 root p1 p2 p3 p4 p5 p6 启用cgroup后 变为两级调度 第一级 container间第二级 container内 16 cgroup 其它子系统 blkio cpuset freezer net cls net prio devices perf cpuacct hugetlb 17 namespace cgroup能做到 虚拟机且资源有保证但 如何使得container精简 Hardware HostKernel Binaries Libraries App Binaries Libraries App Binaries Libraries App namespace cgroup 18 aufsoverview AnotherUnionFileSystem同类 Overlayfs basebootbinliblib64usrsbin c1data mount taufs obr base ro c1 rwnone union unionbootbinliblib64usrsbindata 19 aufs 原理 aufs 20 aufs 有待完善 一个写操作导致整个文件的拷贝branch文件重名时的处理如何确保可预测可推理的行为 下层 文件被绕开修改 上层 编辑文件 新branch恰有同名文件 rw none rofileA newfileA unionfi