底层原理与架构专题

专题说明

深入Namespace隔离、Cgroups资源控制、UnionFS联合文件系统及容器启动全流程底层原理。

学习目标

掌握Namespace 隔离机制
掌握Cgroups 资源控制
掌握UnionFS 联合文件系统
掌握容器启动全流程
掌握容器与宿主机内核关系
能够独立完成底层原理与架构相关实际场景的操作与排错

学习内容

Namespace 隔离机制
Cgroups 资源控制
UnionFS 联合文件系统
容器启动全流程
容器与宿主机内核关系

学习建议

按照知识点排列顺序循序渐进，先理解概念再动手实践
每学完一个知识点后完成对应的配套练习题巩固
遇到问题时优先查阅官方文档，结合容器日志排查

📝 配套习题（13 题）

💡 参考答案在文末

判断题

在容器启动流程中，containerd-shim 的存在使得即使 containerd 守护进程重启，容器仍然可以继续运行。

对

错

USER Namespace 可以将容器内的 root 用户（UID 0）映射为宿主机上的非特权用户，从而增强安全性。

对

错

单选题

Cgroups v2 相比 v1 的主要改进是什么？

支持更多类型的资源控制器

统一的层级结构，避免 v1 的多层级混乱

不需要内核支持

只能控制 CPU 资源

在 overlay2 存储驱动中，当容器修改了镜像层中的某个文件时，会触发什么操作？

直接在原镜像层修改文件

将文件复制到可写层进行修改（Copy-on-Write）

删除原文件并重新创建

创建整个镜像层的副本

OCI（Open Container Initiative）规范主要定义了什么？

容器镜像格式和容器运行时行为的标准接口

Docker 的安装和配置方法

容器网络通信协议

容器安全策略的配置方式

Linux 提供了六种 Namespace 实现资源隔离，以下哪个不是其中之一？

PID Namespace

NET Namespace

CPU Namespace

MNT Namespace

关于容器与宿主机内核的关系，以下说法正确的是？

每个容器有独立的 Linux 内核副本

所有容器共享宿主机的 Linux 内核

容器可以自己加载内核模块

容器内的进程调度由容器自己的调度器管理

多选题

关于 PID Namespace，以下说法正确的有哪些？

每个 PID Namespace 有独立的进程 ID 空间

容器内的 PID 1 在宿主机上是一个普通进程

父 PID Namespace 可以看到子 Namespace 的进程

子 Namespace 可以看到父 Namespace 的进程

使用 unshare --pid 可以创建新的 PID Namespace

Cgroups v1 支持以下哪些资源控制器（subsystem）？

cpu

memory

blkio

net_cls

pids

关于 overlay2 存储驱动的层结构，以下说法正确的有哪些？

每个镜像层在 /var/lib/docker/overlay2 下有独立的目录

使用 upperdir 存储容器的可写层

使用 workdir 作为中间目录用于 CoW 操作

merged 目录是最终的联合挂载视图

容器删除后 upperdir 和 workdir 会被清除

以下关于容器与宿主机内核兼容性的说法正确的有哪些？

容器内可以运行与宿主机不同版本的操作系统用户空间

容器内加载内核模块不会影响宿主机

如果容器需要特定内核功能，宿主机内核必须支持

Alpine 容器的 musl libc 与宿主机 glibc 不会冲突

容器内的系统调用必须被宿主机内核支持

填空题

要查看某个进程所属的 Namespace 信息，可以查看 /proc/____________ 目录下的文件。

执行 docker run 时，Docker Daemon 通过 containerd 最终调用 ____________ 来创建和启动容器。