Что происходит при запуске Docker контейнера?

Question

[Сергей Доний]

В голове я понимаю, как происходит старт контейнера, что за чем выполняется, но как оказалось не уверен в своих знаниях, и прошу меня поправить, если я в чем-то окажусь не прав или что-то забуду:
Исходные данные:
1. Готовый образ php:fpm-7.2
2. Созданный контейнер
Запускаем контейнер:
docker start container-name
Что происходит в этот момент:

1. Подключение к docker-демону
   
2. Поиск указанного контейнера
   
3. Создание write-слоя в образе контейнера, который после остановки будет уничтожен
   
4. Выделение ресурсов под запуск (storage, memory, cpu), подключение к сетям (если были указаны)
   
5. Добавление links
   
6. Запуск контейнера:
   
   1. Проверка доступности портов, которые пробрасываются наружу
      
   2. Проверка доступности volumes, если были указаны
      
   3. Установка рабочей директории и переменных окружения
      
   4. Добавление хостов (если были указаны)
      
   5. Запуск Entrypoint контейнера
      
   6. Старт служб (выполнение содержимого CMD)
      
   7. Выполнение команд для проверки работоспособности контейнера (healthcheck) - стартует при запуске и выполняется через определенный интервал для опроса
      
   
   

Comments

[chupasaurus]

4 пункт мягко говоря не развернут, хотя именно в нём вся магия LXC.

[Сергей Доний]

chupasaurus, Благодарю за ответ!
Постараюсь более подробно описать:
Docker использует системные вызовы хостовой ОС для эмулирования гостевой ОС и выполнения необходимых функций, для выделения ресурсов, контроля и создания идентификаторов процессов и групп процессов используется особенность ядра Linux - CGroups. Основная особенность - пространства имен (namespaces), c помощью этого создается некоторое пространство имен, которое изолирует внутри себя все процессы от остальной части ОС.

1. Выделение ресурсов под запуск (storage, memory, cpu), подключение к сетям (если были указаны)
   

• 
  Ограничение ресурсов происходит за счет использование CGroups
  
  
• 
  Ограничение памяти на корневой процесс гостевой OS (если установлен), если лимит не установлен, неограничено, используются все наличные ресурсы хостовой ОС
  
  
• 
  Ограничение на CPU на корневой процесс гостевой OS (если установлен), если лимит не установлен, неограничено, используются все наличные ресурсы хостовой ОС
  
  
• 
  Монтирование storage. Докер использует union filesystems. Таким образом, образ состоит из слоев, которые впоследствии монтируются в единую файловую систему. Каждый слой представляет из себя diff изменений по сравнению с предыдущем слоем. Это делает докер легковесным. Существующие драйверы для докера: aufs, btrfs, overlay2, devicemapper, zfs, vfs, причем нужно смотреть совместимость драйвера для конкретной ОС.
  
  

Все, что смог из себя выдавить ? Я что-то упустил или что-то неправильно понимаю?

[chupasaurus]

Сергей Доний,

Выделение ресурсов под запуск

Выделением ресурсов занимается ОС по запросу, до запуска процессов внутри контейнера создаются структуры в памяти ядра да файлы в /proc.

для эмулирования гостевой ОС

Никакой эмуляции, ядро от хоста + chroot.

используется особенность ядра Linux - CGroups...

Контейнер в Linux получается из полного набора namespace-ов (список есть в началеman 7 namespaces), т.е. их несколько разных. Cgroups используется для контроля и ограничения ресурсов.
devicemapper ну никак не является diff-ом (diff изменений - почти тавтология) :)

[Сергей Доний]

chupasaurus , огромное спасибо!
Теперь более/менее понятно, с тем, что осталось непонятно, ознакомлюсь! Благодарю за исправления !