搜索

[23595] 2015-02-13_对于Docker以及容器技术的“再检讨”

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2015-02-13_对于Docker以及容器技术的“再检讨” 对 于   D o c k e r   以 及 容 器 技 术 的 “ 再 检 讨 ” L i n u x 中 国   2 0 1 5 - 0 2 - 1 3 【 编 者 的 话 】 本 文 是 一 篇 对 D o c k e r “ 吐 槽 ” 的 文 章 ， 作 者 从 D o c k e r f i l e 、 缓 存 、 分 层 文 件 系 统 、 D o c k e r   H u b 、 安 全 ， 容 器 和 虚 拟 机 几 个 方 面 入 手 ， 阐 述 了 D o c k e r 和 容 器 技 术 目 前 存 在 的 一 些 问 题 ， 以 至 于 说 D o c k e r 的 存 在 并 没 有 必 要 。 大 家 可 以 把 这 篇 文 章 的 观 点 作 为 对 D o c k e r 认 识 的 一 个 补 充 ， 对 D o c k e r 有 一 个 更 加 客 观 的 认 识 。 概 述 距 离 我 上 次 发 表 对 D o c k e r 的 看 法 已 经 一 年 了 ， 那 个 时 候 我 狠 狠 的 批 评 了 D o c k e r 在 架 构 上 的 缺 陷 以 及 其 糟 糕 的 用 户 体 验 。 虽 然 现 在 项 目 已 经 发 展 到 1 . 0 ， 但 是 还 是 得 到 了 一 些 来 自 亚 马 逊 的 不 满 ， 用 户 失 望 程 度 也 在 不 断 增 加 ， 面 临 大 量 的 指 责 ， 甚 至 还 存 在 一 些 可 能 会 导 致 主 机 污 染 的 漏 洞 。 然 而 D o c k e r   h u b 上 个 人 私 有 仓 库 的 引 入 ， 使 得 用 户 自 己 不 需 要 再 运 行 个 人 的 R e g i s t r y ， 再 加 上 w e b h o o k 与 G i t h u b 整 合 ， 所 有 这 些 看 起 来 是 一 个 良 好 的 开 始 。 于 是 我 决 定 再 给 D o c k e r 一 个 “ 机 会 ” ， 并 且 把 其 投 入 到 生 产 中 运 行 六 个 月 ， 看 看 效 果 怎 样 。 结 果 真 的 令 我 很 失 望 ， 在 使 用 过 程 中 ， D o c k e r 表 现 很 令 人 失 望 ， 不 但 性 能 糟 糕 ， 而 且 由 于 其 本 身 功 能 的 不 足 ， 我 们 还 需 要 在 解 决 方 案 上 不 断 地 进 行 变 通 ， 整 个 过 程 的 用 户 体 验 也 不 尽 如 人 意 ， 这 使 得 我 几 乎 想 要 把 自 己 的 脸 撞 碎 在 桌 子 上 ！ 事 实 上 ， 在 我 看 来 D o c k e r 的 性 能 的 确 很 糟 糕 ， 以 至 于 缓 存 被 禁 用 之 后 编 译 过 程 变 得 更 快 。 （ 看 看 r e d d i t 和 h a c k e r n e w s 上 面 讨 论 ） D o c k e r f i l e D o c k e r f i l e 有 很 多 问 题 ， 在 我 看 来 ， 他 很 丑 陋 ， 有 很 多 局 限 性 ， 有 的 地 方 甚 至 相 互 矛 盾 ， 并 且 有 很 多 根 本 性 的 缺 陷 。 让 我 们 来 说 说 ， 假 如 你 想 创 建 单 个 仓 库 的 多 个 镜 像 ， 例 如 第 二 个 镜 像 包 含 了 调 试 工 具 ，   但 是 对 两 个 镜 像 的 基 本 要 是 是 一 样 的 。 D o c k e r 不 支 持 这 样 操 作 （ p e r # 9 1 9 8 ） ，   当 前 并 没 有 能 力 去 对 D o c k e r f i l e 进 行 扩 展 （ p e r # 7 3 5 ） ， 使 用 子 目 录 的 话 会 破 坏 创 建 的 上 下 文 以 及 阻 止 你 使 用 A D D / C O P Y （ p e r
# 2 2 2 4 ） ，   就 像 管 道 一 样 （ p e r # 2 1 1 2 ） ， 在 容 器 构 建 的 时 候 （ b u i l d   t i m e ） 你 也 不 能 够 使 用 环 境 变 量 根 据 不 同 的 运 行 条 件 来 改 变 指 令 （ p e r # 2 6 3 7 ） 。 我 们 的 变 通 方 案 是 创 建 一 个 基 础 的 镜 像 ， 两 个 指 定 环 境 的 镜 像 ， 以 及 一 些 包 含 重 命 名 和 s e d 替 换 的 M a k e f i l e 自 动 化 脚 本 。 还 有 一 些 意 想 不 到 不 到 的 “ 特 性 ” 导 致 $ H O M E 环 境 变 量 消 失 了 ， 还 会 产 生 一 些 没 用 的 错 误 信 息 ， 使 用 起 来 的 确 很 不 方 便 。 D o c k e r   缓 存 / 分 层 D o c k e r 可 以 使 用 C O W （ c o p y - o n - w r i t e ） 文 件 系 统 来 缓 存 D o c k e r f i l e 指 令 ，   类 似 于 L V M 的 快 照 ， 到 现 在 仍 然 仅 仅 支 持 满 是 问 题 的 A u F S （ A n o t h e r U n i o n F S ） 。 为 了 提 高 稳 定 性 以 及 性 能 ， 之 后 在 0 . 7 版 本 中 对 C O W 做 了 不 同 的 实 现 ，   你 可 以 在 这 里 了 解 到 详 细 的 情 况 。 但 是 这 个 缓 存 系 统 并 不 智 能 ， 导 致 了 一 些 令 人 惊 讶 的 情 况 ， 比 如 不 能 阻 止 某 一 个 指 令 被 缓 存 ( p e r   # 1 9 9 6 ) 。 并 且 很 慢 ，   鉴 于 这 一 点 ， 如 果 你 禁 用 缓 存 或 者 是 避 免 使 用 分 层 ， 创 建 的 速 度 反 而 快 一 点 ，   在 D o c k e r   H u b 上 传 和 下 载 的 时 候 这 个 表 现 的 更 严 重 ， 详 情 会 在 下 面 部 分 进 行 描 述 ： 这 些 问 题 都 是 由 D o c k e r 的 架 构 设 计 导 致 的 ， D o c k e r 作 为 一 个 整 体 ， 总 是 线 性 的 执 行 指 令 ， 即 便 是 在 很 不 合 适 的 情 况 下 也 这 样   ( p e r   # 2 4 3 9 ) 。 作 为 一 个 改 变 慢 速 创 建 的 变 通 方 法 ， 你 可 以 使 用 一 个 第 三 方 支 持 异 步 执 行 的 工 具 ， 例 如 S a l t   S l a c k ，   P u p p e t ， 甚 至 B a s h ， 这 样 的 话 就 完 全 放 弃 分 层 的 思 想 使 其 毫 无 用 武 之 地 。 D o c k e r   H u b D o c k e r 鼓 励 通 过 D o c k e r   H u b 来 进 行 社 交 合 作 ，   允 许 你 发 布 自 己 的 D o k e r f i l e s ， 不 管 是 公 有 的 还 是 私 有 的 ， 这 样 其 他 人 可 以 基 于 此 来 通 过 F R O M 来 进 行 扩 展 ， 而 不 是 拷 贝 ， 粘 贴 。 这 个 生 态 系 统 类 似 于 A W S   m a r k e t p l a c e 的 A M I s ， 以 及 V a g r a n t 的 b o x e s ， 原 则 上 说 是 非 常 有 用 的 。 然 而 由 于 一 些 原 因 ， D o c k e r   H u b 在 实 现 上 是 有 缺 陷 的 。 D o c k e r f i l e 不 支 持 多 F R O M 指 令 ( p e r   # 3 3 7 8 ,   # 5 7 1 4   a n d # 5 7 2 6 ) ， 这 就 意 味 着 你 只 能 继 承 自 单 个 的 镜 像 。 并 且 他 也 没 有 强 制 版 本 化 ，   例 如 d o c k e r f i l e / u b u n t u : 1 4 . 0 4 的 作 者 可 以 替 换 掉 这 个 标 签 的 内 容 ， 这 就 相 当 于 在 使 用 了 没 有 强 制 版 本 的 包 管 理 工 具 。 另 外 在 后 面 也 会 提 到 ， D o c k e r   H u b 在 速 度 上 的 缺 陷 也 很 令 人 失 望 。 D o c k e r   H u b 也 有 一 个 自 动 构 建 的 系 统 ， 它 可 以 监 测 仓 库 中 新 的 提 交 ， 并 且 触 发 一 个 容 器 的 创 建 。 因 为 很 多 原 因 ， 这 个 功 能 基 本 上 是 没 用 处 的 。 创 建 服 务 没 有 可 定 制 化 的 功 能 ， 甚 至 连 最 基 本 的 前 / 后 脚 本 钩 子 也 没 有 。 它 还 强 制 使 用 一 个 指 定 的 项 目 结 构 ， 希 望 在 根 目 录 中 只 有 单 一 的 D o c k e r f i l e ， 导 致 创 建 过 程 变 得 相 当 的 慢 ， 也 破 坏 了 我 们 之 前 提 到 的 创 建 的 变 通 方 法 。 我 们 采 用 的 变 通 方 法 是 使 用 C i r c l e C I ,   一 个 持 续 集 成 （ C I ） 平 台 ， 可 以 触 发 基 于 M a k e f i l e 的 D o c k e r 创 建 ，   并 推 送 到 D o c k e r   H u b 。 这 个 并 不 能 解 决 速 度 慢 的 问 题 ，   唯 一 的 解 法 就 是 使 用 我 们 自 己 的 D o c k e r   R e g i s t r y ， 这 样 做 确 实 有 点 复 杂 甚 至 可 笑 。 安 全 D o c k e r 原 来 使 用 L X C 作 为 默 认 的 执 行 环 境 ， 从 0 . 9 之 后 采 用 l i b c o n t a i n e r 作 为 默 认 的 执 行 环 境 。 当 使 用 合 适 的 执 行 驱 动 （ e x e c - d r i v e r ） 时 ， 引 入 它 来 调 整 命 名 空 间 的 能 力 ， 权 限 以 及 使 用 定 制 的 L X C 配 置 。 D o c k e r 需 要 一 个 根 守 护 进 程 一 直 在 主 机 上 运 行 ， 并 且 有 很 多 安 全 漏 洞 ， 比 如 C V E - 2 0 1 4 - 6 4 0 7 和 C V E - 2 0 1 4 - 6 4 0 8 ， 非 常 坦 率 的 说 ， 这 还 不 应 该 排 在 第 一 位 。 即 便 是 G a r t n e r ，   根 据 他 们 可 怜 的 评 估 记 录 ， 也 表 达 了 对 D o c k e r 不 成 熟 ， 以 及 安 全 问 题 的 担 忧 。 D o c k e r ， 从 设 计 上 来 说 ， 对 n a m e s p a c e 能 力 过 分 的 信 任 ， 但 实 际 上 n a m e s p a c e 比 一 般 的 h y p e r v i s o r 暴 露 的 攻 击 面 要 大 很 多 ， X e n 在 L i n u x 里 面 有 1 2 9 个 C V E s （ C o m m o n   V u l n e r a b i l i t i e s   a n d   E x p o s u r e s ） ， 与 之 相 比 它 却 有 1 2 7 9 个 。 当 然 ， 这 在 某 些 情 况 下 也 是 可 以 接 受 的 ， 比 如 在 T r a v i s   C I 里 面 以 公 有 的 方 式 来 构 建 ，   但 是 在 私 有 情 况 下 和 多 用 户 的 环 境 下 ， 就 显 得 比 较 危 险 了 。 容 器 不 是 虚 拟 机 n a m e s p a c e s 和 c g r o u p s 是 非 常 强 大 的 ， 允 许 一 个 进 程 及 其 子 进 程 有 一 个 共 享 内 核 资 源 的 私 有 视 图 ，   例 如 网 络 栈 和 进 程 表 。 这 种 粒 度 的 控 制 和 隔 离 ， 加 上 c h r o o t   j a i l i n g 和 g r s e c ，   可 以 提 供 一 个 很 优 秀 的 保 护 层 。   有 些 应 用 ，   例 如 u W S G I ，   直 接 对 这 些 优 点 加 以 利 用 ， 而 不 是 通 过
原 文 ： h t t p : / / i o p s . i o / b l o g / d o c k e r - h y p e / 译 文 ： h t t p : / / d o c k e r o n e . c o m / a r t i c l e / 1 9 4 译 者 ：   左 伟 D o c k e r 。   还 有 些 应 用 不 直 接 支 持 n a m e s p a c e s 的 可 以 用 f i r e j a i l 封 装 成 沙 箱 。 如 果 你 觉 得 很 冒 险 的 话 ，   你 也 可 以 直 接 在 你 的 代 码 里 面 支 持 n a m e s p a c e 。 容 器 化 项 目 ， 诸 如 L X C 和 D o c k e r ，   利 用 这 些 特 性 ， 可 以 高 效 的 在 一 个 相 同 的 内 核 空 间 中 运 行 多 个 l i n u x 的 发 行 版 。 与 h y p e r v i s o r 相 比 ， 它 们 有 时 候 会 有 一 些 优 点 ， 比 如 占 用 更 少 的 内 存 并 且 启 动 速 度 更 快 。   但 是 这 是 以 损 失 完 全 性 ， 稳 定 性 和 兼 容 性 为 代 价 的 。 这 里 有 一 个 跟 L i n u x 内 核 接 口 有 关 的 边 缘 情 况 ，   在 内 核 和 用 户 空 间 运 行 非 兼 容 的 和 没 有 经 过 测 试 的 g l i b c 版 本 组 合 会 导 致 一 些 不 可 预 料 的 行 为 。 回 到 2 0 0 8 年 ，   当 L X C 被 设 想 出 来 的 时 候 ， 硬 件 辅 助 的 虚 拟 化 才 有 几 年 的 时 间 ，   很 多 h y p e r v i s o r 有 性 能 和 稳 定 性 的 问 题 ， 这 样 的 虚 拟 化 并 没 有 被 广 泛 的 使 用 ， 也 只 是 为 了 降 低 花 费 和 减 少 物 理 机 而 做 了 折 衷 。 但 是 现 在 h y p e r v i s o r 的 性 能 已 经 可 以 和 物 理 机 器 一 样 快 了 ， 有 趣 的 是 ， 在 一 些 情 况 下 可 能 更 快 。 运 行 自 定 义 的 虚 拟 机 也 变 的 更 快 更 便 宜 ， 随 着 D i g i t a l O c e a n 在 性 能 和 花 费 方 面 不 断 的 超 越 E C 2 ，   使 得 以 一 对 一 的 方 式 运 行 应 用 和 虚 拟 机 ， 在 财 政 上 变 的 成 为 可 能 。 B r y a n   C a n t r i l l 在 这 里 指 出 ，   虚 拟 化 的 性 能 主 要 取 决 于 工 作 负 载 的 类 型 ， 比 如 I O 很 重 的 应 用 会 导 致 更 低 的 性 能 。 对 于 有 些 特 定 的 情 况 ， 使 用 容 器 化 是 正 确 的 选 择 ，   但 是 除 非 你 能 很 明 确 的 解 释 为 什 么 你 要 使 用 容 器 ， 否 则 你 便 可 以 使 用 h y p e r v i s o r 来 代 替 。 即 便 是 你 使 用 了 传 统 的 虚 拟 化 ， 你 也 可 以 直 接 应 用 n a m e s p a c e s 的 优 势 ， 诸 如 f i r e j a i l 就 可 以 帮 助 你 的 应 该 在 缺 少 本 地 支 持 的 情 况 下 来 实 现 这 样 的 特 性 。 D o c k e r 是 没 有 必 要 的 D o c k e r 增 加 了 一 个 复 杂 的 入 侵 层 ， 这 使 得 开 发 ， 故 障 排 查 以 及 调 试 变 得 非 常 困 难 ，   常 常 制 造 的 问 题 比 解 决 的 问 题 还 多 。 这 对 部 署 没 有 一 点 好 处 ， 因 为 你 仍 然 需 要 使 用 的 快 照 来 达 到 自 动 扩 展 的 目 的 。 更 糟 糕 的 是 ， 如 果 你 不 使 用 快 照 的 话 ， 你 的 生 产 环 境 的 扩 展 需 要 取 决 于 D o c k e r H u b 的 稳 定 性 。 这 个 已 经 被 b a s e i m a g e - d o c k e r 这 个 项 目 滥 用 了 ， 这 个 镜 像 试 图 通 过 运 行 i n i t . d 作 为 入 口 使 得 检 查 、 调 试 ， 以 及 兼 容 变 得 更 容 易 ， 它 还 尝 试 提 供 给 你 一 个 可 以 用 s s h 登 录 的 服 务 器 ， 从 而 把 一 个 容 器 看 成 是 一 个 虚 拟 机 ， 尽 管 作 者 使 用 了 很 无 力 的 论 据 去 反 驳 这 一 点 。 结 论 如 果 你 的 开 发 工 作 流 非 常 的 健 全 ， 那 么 就 应 该 已 经 明 白 D o c k e r 是 没 有 必 要 的 。 所 有 它 宣 传 的 特 性 要 么 是 没 用 的 要 么 就 是 实 现 的 非 常 差 ， 并 且 它 主 要 的 特 性 直 接 可 以 使 用 n a m e s p a c e s 来 完 成 。 D o k c e r 本 来 应 该 是 8 年 前 的 一 个 很 可 爱 的 想 法 ， 但 是 今 天 已 经 没 什 么 用 了 。 更 正 / 修 订 表 面 上 看 ， D o c k e r 有 很 多 值 得 关 注 的 地 方 。 它 鼓 励 开 发 人 员 围 绕 一 个 一 成 不 变 的 部 署 流 程 ，   可 以 快 速 的 ， 简 单 的 开 始 一 个 新 的 项 目 ， 还 有 些 其 他 的 人 认 为 有 用 的 东 西 。 但 是 需 要 提 醒 大 家 的 是 ， 本 文 是 聚 焦 在 一 个 每 日 的 ， 长 期 使 用 的 D o c k e r 上 面 ， 包 括 本 地 和 生 产 环 境 。 尽 管 大 多 数 提 到 的 问 题 都 是 显 而 易 见 的 ， 本 文 并 没 有 为 D o c k e r 如 何 变 得 更 好 提 出 什 么 建 议 。 对 D o c k e r 来 说 有 很 多 解 决 方 法 ， 毕 竟 不 管 什 么 项 目 都 是 有 优 缺 点 的 ， 我 会 在 接 下 来 的 文 章 中 作 详 细 的 解 释 。 a - k o 对 使 用 容 器 化 有 个 长 期 的 讨 论 ， m a r k b n j 也 有 一 个 详 细 的 技 术 反 驳 ， 这 两 个 都 是 很 有 用 的 。 我 想 对 所 有 给 他 们 反 馈 的 人 说 声 谢 谢 ， 看 到 大 家 很 喜 欢 我 的 写 作 风 格 感 觉 非 常 的 高 兴 ， 我 也 读 了 几 个 高 级 工 程 师 的 回 应 ，   包 括 那 些 欣 赏 我 的 人 ， 这 非 常 震 撼 人 心 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理