Docker容器技術(shù)——這個(gè)風(fēng)頭直追OpenStack的云計(jì)算開源項(xiàng)目，關(guān)于它的熱議已席卷虛擬化乃至云計(jì)算行業(yè)，業(yè)內(nèi)各大廠商（包括亞馬遜、紅帽、IBM和 VMware 等）都加入了容器的行列。這不禁讓人想問：容器技術(shù)的崛起是否會帶來虛擬化時(shí)代的結(jié)束？
容器，并不是一個(gè)新技術(shù)。容器的Linux版本最早見于內(nèi)核2.3.x，名不見經(jīng)傳地發(fā)展了幾十年，但在過去的一年里，Docker帶領(lǐng)容器技術(shù)突然躍進(jìn)了大眾視野。Docker何以突然獲得行業(yè)巨頭的青睞？從技術(shù)角度看，傳統(tǒng)容器只解決了容器執(zhí)行（run）問題，而Docker定義了一套容器構(gòu)建（build）、分發(fā)（ship）和執(zhí)行（run）的標(biāo)準(zhǔn)化體系，開創(chuàng)了容器云+端開放平臺（Docker Hub + Docker Engine）的模式，極大地提高了開發(fā)部署效率；從生態(tài)圈的角度看，Docker過去一年之所以開始普及，主要是在云計(jì)算產(chǎn)業(yè)迅速發(fā)展的環(huán)境下，Docker作為虛擬化的補(bǔ)充甚至替代技術(shù)而被人們所關(guān)注。
那么，Docker技術(shù)與虛擬化技術(shù)有何區(qū)別？從虛擬化層面來看，傳統(tǒng)虛擬化技術(shù)是對硬件資源的虛擬，容器技術(shù)則是對進(jìn)程的虛擬，從而可提供更輕量級的虛擬化，實(shí)現(xiàn)進(jìn)程和資源的隔離。從架構(gòu)來看，Docker比虛擬化少了兩層，取消了hypervisor層和GuestOS層，使用 Docker Engine 進(jìn)行調(diào)度和隔離，所有應(yīng)用共用主機(jī)操作系統(tǒng)，因此在體量上，Docker較虛擬機(jī)更輕量級，在性能上優(yōu)于虛擬化，接近裸機(jī)性能。從應(yīng)用場景來看，Docker和虛擬化則有各自擅長的領(lǐng)域，在軟件開發(fā)、測試場景和生產(chǎn)運(yùn)維場景中各有優(yōu)劣。
軟件開發(fā)、測試場景誰能勝出？
快速創(chuàng)建、刪除：虛擬化創(chuàng)建是分鐘級別的，Docker容器創(chuàng)建是秒級別的，Docker的快速迭代性，決定了無論是開發(fā)、測試、部署都可以節(jié)約大量時(shí)間。
交付、部署：虛擬機(jī)可以通過鏡像實(shí)現(xiàn)環(huán)境交付的一致性，但鏡像分發(fā)無法體系化；Docker在Dockerfile中記錄了容器構(gòu)建過程，可在集群中實(shí)現(xiàn)快速分發(fā)和快速部署，并且開發(fā)、運(yùn)維、部署和測試人員獲得高度一致的環(huán)境與配置。
性能：Docker在操作系統(tǒng)級別進(jìn)行虛擬化，Docker 容器和內(nèi)核交互，幾乎沒有性能損耗，性能優(yōu)于通過hypervisor層與內(nèi)核交互的虛擬化，這已經(jīng)被IBM測試驗(yàn)證。
體量：Docker的架構(gòu)可以共用一個(gè)內(nèi)核與共享應(yīng)用程序庫，所占內(nèi)存極小，部署一個(gè)Ubuntu只需20MB，而虛擬機(jī)即使采用內(nèi)存超量技術(shù)也遠(yuǎn)不止于此。
遷移和擴(kuò)展：虛擬機(jī)的遷移較為復(fù)雜，尤其在異構(gòu)環(huán)境下；而Docker容器可以在任何平臺上應(yīng)用，不論公有云、私有云、服務(wù)器、PC、虛擬機(jī)或物理機(jī)，都可以輕松跨平臺遷移。
更新管理：以往分布式環(huán)境下更新是很煩瑣的事情，虛擬化中各個(gè)廠家的實(shí)現(xiàn)基本是借助各自工具配合虛擬化軟件，向虛擬機(jī)推送安裝、升級應(yīng)用軟件補(bǔ)丁包； Docker的更新是迭代式的，只需修改Dockerfile，對增量內(nèi)容進(jìn)行分發(fā)、存儲、傳輸、節(jié)點(diǎn)啟動和恢復(fù)迅速。
從以上比較可看出，這一局Docker表現(xiàn)不俗，大比分勝出。Docker適用于可伸縮的分布式集群開發(fā)環(huán)境，實(shí)現(xiàn)軟件的輕松跨平臺功能，例如大數(shù)據(jù)hadoop、spark等軟件框架，保持開發(fā)、部署、質(zhì)量管理、產(chǎn)品管理等環(huán)境的一致性，實(shí)現(xiàn)DevOps（開發(fā)運(yùn)維）的關(guān)鍵環(huán)節(jié)能力，使開發(fā)或運(yùn)維的一線人員從環(huán)境差異中解脫。
企業(yè)生產(chǎn)環(huán)境 運(yùn)維中誰能勝任？
穩(wěn)定性：Docker目前發(fā)布版本是1.6，屬于較新版本的軟件產(chǎn)品，每月更新一個(gè)版本的速度，在產(chǎn)品活躍的同時(shí)也表現(xiàn)出不穩(wěn)定性，用于生產(chǎn)環(huán)境需要企業(yè)承擔(dān)不小的風(fēng)險(xiǎn)。虛擬化的版本發(fā)展到VMware vSphere6.0，Xen最新版本Citrix XenServer 6.5，KVM作為虛擬化的新星，從內(nèi)核2.6.20開始集成進(jìn)入內(nèi)核，目前發(fā)展到內(nèi)核4.0.5，大版本的發(fā)展增強(qiáng)了他們的穩(wěn)定性。
可管理性：Docker的集中化管理工具尚未成熟，相對穩(wěn)定的管理工具，Shipyard在管理上還較為粗糙，多是面向應(yīng)用層面的管理。在虛擬化方面，各種虛擬化技術(shù)都有成熟的管理工具，例如VMware vCenter提供完備的虛擬機(jī)管理能力，OpenStack對KVM支持程度屬于A類（最佳適配）。此外，Redhat采用oVirt專門提供對KVM虛擬機(jī)的集群管理，并推出CloudForms提供異構(gòu)虛擬化環(huán)境下的管理。
監(jiān)控能力：對于企業(yè)所關(guān)心的系統(tǒng)、運(yùn)行的健康狀況、風(fēng)險(xiǎn)報(bào)告等，Docker沒有對使用情況配置、追蹤和報(bào)告。虛擬化基于hypervisor進(jìn)行資源的分配，監(jiān)測各類性能指標(biāo)不在話下，集成在hypervisor層的監(jiān)控能力可對性能、服務(wù)器硬件和虛擬化特定軟件的警報(bào)與事件處理等進(jìn)行不同顆粒度的監(jiān)控。
高可用和可恢復(fù)性：Docker對業(yè)務(wù)的高可用支持是通過快速重新部署實(shí)現(xiàn)的，關(guān)于數(shù)據(jù)本地的高可用、備份和遠(yuǎn)程容災(zāi)等沒有較好的解決方案。虛擬化具備負(fù)載均衡、高可用、容錯(cuò)、遷移和數(shù)據(jù)保護(hù)等經(jīng)過生產(chǎn)實(shí)踐檢驗(yàn)的成熟保障機(jī)制，VMware可承諾虛擬機(jī)99.999%高可用，保證業(yè)務(wù)連續(xù)性。
連通性：容器是基于主機(jī)的解決方案，不同主機(jī)上的網(wǎng)絡(luò)訪問比較原始，可通過端口映射到主機(jī)操作系統(tǒng)，使服務(wù)可以通過網(wǎng)絡(luò)訪問。相比之下網(wǎng)絡(luò)虛擬化技術(shù)，基于封裝和隧道技術(shù)，如vlan、vxlan、NVGRE等，已能滿足虛擬機(jī)間、跨主機(jī)間的通信需求。此外，Docker適用于單一類型的操作系統(tǒng)之間共享內(nèi)核，對于多操作系統(tǒng)的環(huán)境，虛擬化更能滿足。
安全性：Docker的租戶root和宿主root等同，一旦容器內(nèi)的用戶從普通用戶權(quán)限提升為root權(quán)限，它就直接具備了宿主機(jī)的root權(quán)限，進(jìn)而可進(jìn)行幾乎無限制的操作。虛擬機(jī)租戶root權(quán)限和宿主機(jī)的root權(quán)限是分離的，并且虛擬機(jī)利用如Intel的VT-d和VT-x的ring-1硬件隔離技術(shù)，這種隔離可以防止虛擬機(jī)突破和彼此交互，而容器至今還沒有任何形式的硬件隔離，這使它容易受到攻擊。而對于企業(yè)生產(chǎn)環(huán)境而言，安全畢竟是第一要?jiǎng)?wù)。
企業(yè)生產(chǎn)環(huán)境運(yùn)維中虛擬化較為勝任。與面向應(yīng)用的Docker不同，虛擬化是面向底層架構(gòu)的，目標(biāo)是構(gòu)建高可用云計(jì)算的IaaS資源池。在以往容器技術(shù)發(fā)展并不成熟之前，虛擬化技術(shù)搶占了一些面向應(yīng)用的需求，預(yù)計(jì)在將來的發(fā)展中這些需求將被Docker收編。
Docker、虛擬機(jī)：我們在一起了
虛擬化的廠家開始支持容器：亞馬遜推出了彈性容器服務(wù)（ECS），并在2014年秋正式推出該服務(wù)。在AWS客戶啟動容器后，ECS將負(fù)責(zé)擴(kuò)展容器，并提供中央管理門戶網(wǎng)站來追蹤它們，提高了云移植性和降低了成本。VMware已經(jīng)宣布將支持容器，強(qiáng)調(diào)采用虛擬機(jī)作為介質(zhì)部署容器可對容器安全性和管理控制進(jìn)行補(bǔ)充。Linux大佬、KVM的主要支持者Redhat也開始支持Docker，Linux系統(tǒng)是容器技術(shù)的頂梁柱，得到Redhat支持意義非常重大。Redhat將Docker集成到自己的操作系統(tǒng)RHEL中以KVM承載Docker，并推出了RHEL 7 Atomic HOST容器優(yōu)化系統(tǒng)，Atomic定義了Redhat認(rèn)證的Docker宿主、容器源、容器開發(fā)包等，瞄準(zhǔn)了原本安全堪憂的Docker，從整體架構(gòu)的各個(gè)層面進(jìn)行可信認(rèn)證。另外還提供更小的Docker鏡像文件，在集群管理方面采用Kubernetes實(shí)現(xiàn)。
Docker主動向虛擬化靠攏：在歐洲D(zhuǎn)ockerCon會議上，Docker公司發(fā)布了跨容器的分布式應(yīng)用編排服務(wù)，編排服務(wù)可以幫助開發(fā)者和運(yùn)維人員創(chuàng)建并管理新一代可移植的分布式應(yīng)用程序。在這些容器編排服務(wù)中，有一個(gè)重要的服務(wù)叫Docker Machine，主要是方便在各個(gè)云計(jì)算廠商的基礎(chǔ)架構(gòu)上快速安裝部署Docker服務(wù)，目前官方已經(jīng)支持AWS、Azure。
取長補(bǔ)短，和而不同
從開源協(xié)作到DevOps，從持續(xù)集成交付到微服務(wù)，Docker一次次顛覆了軟件開發(fā)生命周期，不難看出，Docker可以屏蔽架構(gòu)層的實(shí)現(xiàn)，只關(guān)注PaaS層的需求，而虛擬機(jī)擅長解決原來物理機(jī)時(shí)代所帶來的高可用、運(yùn)維、管理等問題。Docker和虛擬機(jī)結(jié)合可以彌補(bǔ)純物理機(jī)架構(gòu)下使用容器的不足，例如在安全性和管理控制方面，直接在裸機(jī)運(yùn)行容器需要配置網(wǎng)絡(luò)和安全連接，虛擬機(jī)可以在管理系統(tǒng)中輕松處理這些問題。
正如虛擬化技術(shù)KVM已集成到內(nèi)核中，成為標(biāo)準(zhǔn)Linux內(nèi)核模塊一樣，預(yù)計(jì)Docker將來會向內(nèi)核集成發(fā)展，容器技術(shù)將成為標(biāo)準(zhǔn)的操作系統(tǒng)服務(wù)。那么，二者除了以上的關(guān)注層面不同外，虛擬機(jī)、Docker+虛擬機(jī)、Docker+物理機(jī)這三種組合，面對不同業(yè)務(wù)類型我們將如何選擇？
對于高I/O要求的業(yè)務(wù)，例如數(shù)據(jù)庫服務(wù)，建議部署Docker+物理機(jī)，因?yàn)樵谔摂M機(jī)中部署Docker，I/O性能將受到虛擬機(jī)的限制。
對于虛擬桌面服務(wù)等強(qiáng)調(diào)租戶權(quán)限和安全的業(yè)務(wù)，建議采用虛擬機(jī)方式，虛擬機(jī)的多租戶強(qiáng)隔離特性，保證租戶在擁有虛機(jī)root權(quán)限的同時(shí)，其他租戶和主機(jī)的安全。
此外，大部分業(yè)務(wù)系統(tǒng)將適用于虛擬機(jī)+Docker形式的組合，操作系統(tǒng)和Docker引擎采用虛擬機(jī)鏡像封裝，平臺軟件、業(yè)務(wù)組件等與業(yè)務(wù)相關(guān)軟件采用容器鏡像封裝，為實(shí)現(xiàn)安全隔離和資源的高利用率，基本應(yīng)該遵循：不同租戶的業(yè)務(wù)運(yùn)行采用虛擬機(jī)隔離，相似類型的業(yè)務(wù)部署在同一組容器上的思路。
京公網(wǎng)安備 11010502049343號