1
# 在容器内查看
2
hostname  # 输出容器的 hostname
3

4
# 修改容器主机名
5
hostname new-container-name  # 仅影响当前容器

1
# Docker 的层叠文件系统（UnionFS）
2
# 容器启动时，Docker 将容器的根文件系统挂载为只读层
3
# 然后在之上叠加油写层（Copy-on-Write）
4
# 所有修改写入写层，基础镜像保持不变

1
# 容器内
2
ps aux
3
# PID 1 是容器的 init 进程（如 /bin/sh 或 CMD 指定的进程）
4

5
# 宿主机上查看
6
docker top <container>
7
# 显示容器内所有进程，但 PID 是宿主机视角的

1
# 查看容器的网络命名空间
2
docker exec <container> cat /proc/1/ns/net
3

4
# 容器有独立的：
5
# - 网络设备（eth0 vethxxx）
6
# - IP 地址和路由表
7
# - 端口空间（容器内 8080 端口不影响宿主机）
8
# - iptables 规则

1
# 容器内创建的共享内存在宿主机或其他容器不可见
2
# IPC 机制原本是为了进程间通信，但在容器化场景下需要隔离

1
# 容器内 root (UID 0) 可以映射到宿主机上的普通用户
2
# 例如容器内 UID 0 -> 宿主机 UID 100000
3
# 这样即使容器内 root 提权，在宿主机上也只是普通用户
4

5
# /etc/subuid 和 /etc/subgid 定义映射关系

1
cgroup 层级：
2
/sys/fs/cgroup/
3
├── cpu/           # CPU 时间配额
4
├── memory/        # 内存上限
5
├── pids/         # 进程数上限
6
└── blkio/        # 磁盘 I/O 上限

1
# 内存限制
2
docker run -m 512m nginx
3

4
# CPU 限制（限制到 0.5 核）
5
docker run --cpu-quota=50000 --cpu-period=100000 nginx
6

7
# 更简洁的写法
8
docker run --cpus=0.5 nginx
9

10
# 限制 I/O 带宽
11
docker run --device-read-bps /dev/sda:10mb nginx
12

13
# 限制进程数
14
docker run --pids-limit 100 nginx

1
# 检查当前 cgroup 版本
2
mount | grep cgroup
3
# cgroup2 on /sys/fs/cgroup/unified 表示 v2

1
镜像层（只读）：
2
layer1: /bin
3
layer2: /lib
4
layer3: /app
5

6
容器层（可写）：
7
container-layer: /app/config.py  # 覆盖了镜像层的文件

1
apiVersion: v1
2
kind: Pod
3
metadata:
4
  name: myapp
5
spec:
6
  containers:
7
    - name: app
8
      image: myapp:v1
9
    - name: sidecar # 共享网络和 PID 空间
10
      image: sidecar:v1