容器运行时：从Docker到Containerd

xmh • 2021年01月31日 am09:25 • 服务器技术, Docker, • 阅读 3273

虽然Docker不是最早的容器技术，但却把容器技术推向了应用的高峰。从Docker中拆分而来的Containerd容器运行时，成为了CNCF毕业的第5个项目（前面4个分别是K8s、Prometheus、Envoy和CoreDNS）。本文将介绍容器技术从Docker到Containerd这一路的发展历程。

Docker的拆分

Docker 诞生于 2013 年，Docker 最开始的执行环境是 LXC（Linux Container），但从版本 0.9 开始 LXC 被 libcontainer 取代。

Linux Container容器是一种内核虚拟化技术，可以提供轻量级的虚拟化，以便隔离进程和资源。Libcontainer 为 Docker 封装了 Linux 提供的基础功能，如 cgroups，namespaces，netlink 和 netfilter 等。

容器运行时：从Docker到Containerd

Libcontainer示意图

2016年，Docker 分拆了 Containerd，并将其捐赠给了社区。将这个组件分解为一个单独的项目，使得 Docker 将容器的管理功能移出 Docker 引擎，并移入一个单独的守护进程中，即 Containerd。

Docker拆分以后，对于整个容器技术的发展是非常有利的。容器标准成为一个开放标准，给了其他企业或组织参与的机会。拆分以后的Docker，各组件关系如下所示。

容器运行时：从Docker到Containerd

Docker与Containerd的关系

Docker启动容器的过程如下：

Docker 引擎创建容器映像
将容器映像传递给 Containerd
Containerd 调用 containerd-shim
containerd-shim 使用 runC 来运行容器

runC是一个轻量级的跨平台的容器运行时，就是在前面提到的Libcontainer的基础上进化而来的。

容器运行时：从Docker到Containerd

Docker-Containerd-runC的调用链

实际上，Containerd是Docker管理后台进程dockerd和runC之间的一个中间交流组件。

那么Containerd为什么不直接调用runC，还要通过这个 containerd-shim的进程呢？
Containerd 之所以通过 containerd-shim 去操作容器，这是因为容器进程需要一个父进程来做诸如收集状态。假如这个父进程是 Containerd，每次 Containerd 挂掉或升级，整个宿主机上所有的容器都得退出。引入了 containerd-shim 就规避了这个问题，Containerd 和 container-shim 并不是父子进程关系。