本文共 2410 字，大约阅读时间需要 8 分钟。
在上一回，我们了解了namespace和cgroups，我们已经知道：容器的本质是一种特殊的进程。
问题：容器里的进程看到的文件系统又是什么样子的呢？
即使开启了mount namespace，容器进程看到的文件系统也跟宿主机完全一样。只有在“挂载”这个操作发生之后，进程的视图才会被改变。而在此之前，新创建的容器会直接继承宿主机的各个挂载点。
mount namespace根其他namespace的使用略有不同的地方：它对容器进程视图的改变，一定是伴随着挂载操作才能生效。
我们可以在容器进程启动之前重新挂载它的整个“/”。而由于mount namespace的存在，这个挂载对宿主机不可见，所以容器进程就可以在里面随便折腾了。
chroot实现shell中重新挂载根目录
]# mkdir -p test1/{bin,lib,lib64}]# cp -v /bin/bash /bin/ls test1/bin/]# list=`ldd /bin/ls | egrep -o '/lib.*\.[0-9]'`]# for i in $list; do cp -v $i test1$i; done]# list=`ldd /bin/bash | egrep -o '/lib.*\.[0-9]'`]# for i in $list; do cp -v $i test1$i; done]# chroot test1]# ls # 看到的是自己创建的几个目录 [root@centos7 ~]# ls /var/lib/docker/image docker pull 下来的镜像的配置信息会存储在该文件夹中containers 容器启动后，会在该文件夹下生成相应容器ID的文件夹，同时在image/overlay2/layerdb/mounts/下也会产生同名文件夹network 存放local-kv.db文件信息，这里是网络的一些配置信息 [root@centos7 files]# strings local-kv.db | less # 可以查看该宿主机的docker的网络配置信息overlay2 因为镜像都是分层设计的，一层一层的镜像信息都会存在该文件夹里，所以，这个文件夹内容比较多，文件夹比较大plugins 一些docker相关的插件存放地swarm docker公司的容器编排工具，后来被集成到docker项目中，便于做容器化编排管理的tmptrustvolumes docker容器挂载的一些信息
root@ubuntu:~# tree . ├── A │ ├── a │ └── x ├── B │ ├── b │ └── x └── C我们可以看到，目录A和目录B中有相同的文件x，有不同的文件a和b，我们可以将A和B里的文件挂载到C文件夹中root@ubuntu:~# mount -t aufs -o dirs=./A:./B none ./Croot@ubuntu:~# ls C a b x这时，修改C文件夹里的内容，A对应的文件会跟着一起改变，B文件夹里的内容不会跟着改变，dirs后面的路径从上往下开始分层，下面是只读层，不会改变
需要明确的是，rootfs只是一个操作系统所包含的文件、配置和目录，并不包括操作系统内核。在linux操作系统中，这两部分是分开的，操作系统只有在开机启动时才会加载指定版本的内核镜像。
由于rootfs里打包的不只是应用，而是整个操作系统的文件和目录，也就意味着，应用以及它运行所需要的所有依赖，都被封装在了一起。对一个应用来说，操作系统本身才是它运行所需要的完整的“依赖库”。
这种深入到操作系统级别的运行环境一致性，保证了应用在本地开发和远端执行环境的一致性。
docker在镜像的设计中，引入了层的概念。也就是说，用户制作镜像的每一步操作，都会生成一个层，也就是一个增量rootfs
由于aufs文件系统没有集成在红帽系列操作系统中，只有在ubuntu等操作系统中才有此文件系统，在centos中，安装完docker(centos中，1.12.1有devicemapper，1.13.1之后没有见到devicemapper了，改成了overlay2)，它的文件系统就被称为devicemapper文件系统，所以启动容器后，也就会分层挂载到/var/lib/docker/devicemapper/mnt目录下
当容器启动后，在对应的分层中有rootfs文件夹，该文件夹中就是完整的操作系统，容器停止后，该目录自动消失，取消挂载
docker容器的rootfs分层有三部分组成：只读层(ro+wh) + init层(ro+wh) + 可读写层(rw)
wh: whiteout,当删除当前某个文件时，会创建一个隐藏文件，盖住你要删除的文件，也就是说，你删除的这个文件，在下层还是存在的，只是在当前被遮盖了而已。
init 层：以 -init结尾的层，夹在只读层和读写层之间。init是docker项目单独生成的一个内部层，专门用来存放/etc/hosts，/etc/resolv.conf等信息。
docker项目支持的unionfs联合文件系统： AuFS：ubuntu devicemapper: centos overlayfs: ubuntu 和 centos btrfs: SUSE
转载地址：http://ivcqj.baihongyu.com/