1
# 创建一个最小 rootfs
2
mkdir -p /tmp/myroot/bin /tmp/myroot/lib64
3
cp /bin/bash /tmp/myroot/bin/
4
# 复制 bash 需要的动态链接库
5
ldd /bin/bash | grep -o '/lib64/.*' | xargs -I{} cp {} /tmp/myroot/lib64/
6

7
# 使用 chroot 切换根目录
8
sudo chroot /tmp/myroot /bin/bash
9
# 此时进程的根目录是 /tmp/myroot，无法访问原系统的文件

1
# LXC 创建容器
2
sudo lxc-create -n mycontainer -t ubuntu
3
sudo lxc-start -n mycontainer
4
sudo lxc-attach -n mycontainer
5

6
# LXC 底层使用的就是 Namespace + Cgroup
7
# 查看 LXC 容器的 Namespace
8
ls -la /proc/$(pgrep -f "lxc mycontainer")/ns/

1
# Docker 之前的 LXC 工作流
2
sudo lxc-create -n myapp -t ubuntu    # 创建容器
3
sudo lxc-start -n myapp               # 启动容器
4
sudo lxc-attach -n myapp              # 进入容器
5
# 在容器内手动安装依赖、配置应用...
6

7
# Docker 的工作流
8
docker run -d nginx                    # 一条命令搞定

1
# 查看当前进程的所有 Namespace
2
ls -la /proc/self/ns/
3

4
# 输出示例：
5
# cgroup -> 'cgroup:[4026531835]'
6
# ipc    -> 'ipc:[4026531839]'
7
# mnt    -> 'mnt:[4026531840]'
8
# net    -> 'net:[4026531992]'
9
# pid    -> 'pid:[4026531836]'
10
# user   -> 'user:[4026531837]'
11
# uts    -> 'uts:[4026531838]'

1
# 查看容器的 Cgroup 路径（Cgroup v2）
2
cat /proc/$(pgrep -f "nginx")/cgroup
3

4
# 输出示例（Cgroup v2 统一层级）：
5
# 0::/system.slice/docker-abc123.scope
6

7
# 查看容器的 CPU 限制
8
cat /sys/fs/cgroup/system.slice/docker-abc123.scope/cpu.max
9

10
# 查看容器的内存限制
11
cat /sys/fs/cgroup/system.slice/docker-abc123.scope/memory.max

1
# 查看 Docker 容器的 OverlayFS 挂载
2
mount | grep overlay
3

4
# 输出示例：
5
# overlay on /var/lib/docker/overlay2/abc123/merged type overlay
6
#   (rw,relatime,
7
#    lowerdir=/var/lib/docker/overlay2/layer1:/var/lib/docker/overlay2/layer2,
8
#    upperdir=/var/lib/docker/overlay2/abc123/diff,
9
#    workdir=/var/lib/docker/overlay2/abc123/work)
10

11
# 手动创建 OverlayFS
12
mkdir -p /tmp/overlay/{lower1,lower2,upper,work,merged}
13
echo "base layer" > /tmp/overlay/lower1/file1.txt
14
echo "app layer" > /tmp/overlay/lower2/file2.txt
15

16
sudo mount -t overlay overlay /tmp/overlay/merged \
17
  -o lowerdir=/tmp/overlay/lower2:/tmp/overlay/lower1,\
18
upperdir=/tmp/overlay/upper,workdir=/tmp/overlay/work
19

20
# 查看合并后的文件系统
21
ls /tmp/overlay/merged/
22
# file1.txt  file2.txt

1
# 高层运行时：containerd 管理容器生命周期
2
ctr containers list
3
ctr tasks list
4

5
# 低层运行时：runc 直接操作容器
6
runc list
7
runc spec  # 生成 OCI Bundle 规范文件

1
# OCI Image Spec：镜像 manifest 示例
2
{
3
  "schemaVersion": 2,
4
  "mediaType": "application/vnd.oci.image.manifest.v1+json",
5
  "config": {
6
    "mediaType": "application/vnd.oci.image.config.v1+json",
7
    "size": 7023,
8
    "digest": "sha256:b5b2b2c507a0944348e0303114d8d93aaaa081732b86451d9bce1f432a537bc7"
9
  },
10
  "layers": [
11
    {
12
      "mediaType": "application/vnd.oci.image.layer.v1.tar+gzip",
13
      "size": 32654,
14
      "digest": "sha256:9834876dcfb05cb167a5c24953eba58c4ac89b1adf57f28f2f9d09af107ee8f0"
15
    }
16
  ]
17
}

1
# 创建 OCI Bundle
2
mkdir -p /tmp/bundle/rootfs
3
cd /tmp/bundle
4

5
# 导出 rootfs
6
docker export $(docker create busybox) | tar -C rootfs -xvf -
7

8
# 生成 config.json（OCI Runtime Spec 格式）
9
runc spec
10

11
# 查看 config.json 的关键配置
12
cat config.json | python3 -m json.tool | head -40

1
{
2
  "ociVersion": "1.0.2",
3
  "process": {
4
    "terminal": true,
5
    "user": { "uid": 0, "gid": 0 },
6
    "args": ["sh"],
7
    "env": ["PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"],
8
    "cwd": "/"
9
  },
10
  "root": {
11
    "path": "rootfs",
12
    "readonly": true
13
  },
14
  "linux": {
15
    "namespaces": [
16
      { "type": "pid" },
17
      { "type": "mount" },
18
      { "type": "ipc" },
19
      { "type": "uts" },
20
      { "type": "network" }
21
    ]
22
  }
23
}

1
# 在宿主机上，容器进程就是一个普通进程
2
ps aux | grep nginx
3
# root  12345  0.0  0.1  ...  nginx: master process
4

5
# 查看容器进程的 Namespace
6
ls -la /proc/12345/ns/
7
# 与宿主进程不同，容器进程的 Namespace 是独立的
8

9
# 查看容器进程的 Cgroup
10
cat /proc/12345/cgroup
11
# 容器进程在独立的 Cgroup 子树中
12

13
# 容器进程看到的文件系统
14
sudo nsenter -t 12345 -m -- ls /
15
# 看到的是 OverlayFS 合并后的 rootfs

1
# 镜像 → 容器 → Bundle 的关系
2
docker pull nginx              # 拉取镜像（OCI Image Spec 格式）
3
docker create nginx            # 创建容器（生成 OCI Bundle）
4
docker start <id>              # 启动容器（runc 读取 Bundle）
5

6
# 等价的底层操作
7
ctr image pull docker.io/library/nginx:latest
8
ctr container create docker.io/library/nginx:latest mynginx
9
ctr task start mynginx