Podman与Docker对比：深入解析容器引擎架构

### Podman与Docker对比：深入解析容器引擎架构 容器技术为运行隔离的进程实例提供了简单而智能的解决方案。它是一种在文件系统、网络、资源使用、进程等多个层面实现应用隔离的方式。与虚拟机不同，容器与主机共享同一内核，而虚拟机有自己的来宾操作系统内核。从安全角度看，虚拟机能更好地隔离潜在攻击，但通常比容器消耗更多资源。 2013年，Docker容器引擎在容器领域崭露头角，并迅速流行起来。容器引擎是一种接受并处理用户创建容器请求的软件工具，可视为一种编排器；而容器运行时是容器引擎用于在主机上运行容器、管理隔离、存储、网络等的底层软件。早期，Docker容器引擎使用LXC作为容器运行时，后来用自己的实现libcontainer取代了它。 #### 1. Docker容器守护进程架构 Docker容器引擎由三个基本支柱组成： - Docker守护进程 - Docker REST API - Docker CLI 这三个支柱构成了Docker的架构。当Docker守护进程运行时，可以通过Docker客户端或远程API与之交互。Docker守护进程负责许多本地容器活动，以及与外部注册表交互以拉取或推送容器映像。 ##### 1.1 Docker守护进程 守护进程是在后台运行的进程，负责监控系统或为其他进程提供功能。Docker守护进程负责以下任务： - 监听Docker API请求 - 处理、管理和检查运行中的容器 - 管理Docker映像、网络和存储卷 - 与外部/远程容器映像注册表交互 可以通过进程的套接字（通常位于主机的文件系统中：`/var/run/docker.sock`）与Docker守护进程通信。根据所选的Linux发行版，可能需要为非root用户设置正确的权限，或者将非特权用户添加到docker组。 例如，在Fedora 34操作系统中，Docker守护进程的权限设置如下： ```bash [root@fedora34 ~]# ls -la /var/run/docker.sock srw-rw----. 1 root docker 0 Aug 25 12:48 /var/run/docker.sock ``` 默认情况下，Docker守护进程没有其他类型的安全或认证机制，因此要注意不要将守护进程公开暴露给不可信的网络。 ##### 1.2 Docker REST API 当Docker守护进程启动并运行时，可以通过客户端或直接通过REST API进行通信。通过Docker API，可以执行通过命令行工具能执行的各种活动，例如： - 列出容器 - 创建容器 - 检查容器 - 获取容器日志 - 导出容器 - 启动或停止容器 - 杀死容器 - 重命名容器 - 暂停容器 以下是使用Linux命令行工具`curl`进行HTTP请求，以获取守护进程本地缓存中任何容器映像详细信息的示例： ```bash [root@fedora34 ~]# curl --unix-socket /var/run/docker.sock \ http://localhost/v1.41/images/json | jq [ { "Containers": -1, "Created": 1626187836, "Id": "sha256:be72532cbd81ba4adcef7d8f742abe7632e6f5b35bbd53251e5751a88813dd5f", "Labels": { "architecture": "x86_64", "build-date": "2021-07-13T14:50:13.836919", "com.redhat.build-host": "cpt-1005.osbs.prod.upshift.rdu2.redhat.com", "com.redhat.component": "ubi7-minimal-container", "com.redhat.license_terms": "https://www.redhat.com/en/about/red-hat-end-user-license-agreements#UBI", "description": "The Universal Base Image Minimal is a stripped down image that uses microdnf as a package manager. This base image is freely redistributable, but Red Hat only supports Red Hat technologies through subscriptions for Red Hat products. This image is maintained by Red Hat and updated regularly.", "distribution-scope": "public", "io.k8s.description": "The Universal Base Image Minimal is a stripped down image that uses microdnf as a package manager. This base image is freely redistributable, but Red Hat only supports Red Hat technologies through subscriptions for Red Hat products. This image is maintained by Red Hat and updated regularly.", "io.k8s.display-name": "Red Hat Universal Base Image 7 Minimal", "io.openshift.tags": "minimal rhel7", "maintainer": "Red Hat, Inc.", "name": "ubi7-minimal", "release": "432", "summary": "Provides the latest release of the minimal Red Hat Universal Base Image 7.", "url": "https: ```