艾锑无限告诉你：容器的实现原理

2020-03-12 11:43 作者：艾锑无限 浏览量：

   
疫情其间，所有企业都遇到了同样的困难，不变的成本和持续降低的营收，让企业现金流遭受了巨大的挑战，大部分企业未能进入正常办公状态，所以提升营收的可能性非常小，那为了减少负债的风险，怎样降

低不变的运营成本呢？
 
当年管理学大师德鲁克先生说，除了你的核心业务以外，其它的一切都可以外包。
 
这次疫情给企业带来的压力犹如乌云蔽日，很多企业即便能够挺过来也会大伤元气，砍掉非核心业务和裁撤冗员、提高效率三项也必然首当其冲。
 
这一轮人员优化，并不一定是因为优胜劣汰，更多的是因为经济下行和疫情带来的巨大压力，很多业务被整体砍掉，不少优秀人才也要重新进入市场，就更不用说那些习惯浑水摸鱼的员工了。
 
对于中小企业首先要砍掉的是自己的网管以及与网管类似的非企业核心岗位，原因是这样的岗位对与中小企业来说是没有必要的，通过艾锑无限服务的５０００多家企业获得的数据，中小企业网管工作饱和度不

到３０％，还有７０％多的时间他们是没有事可做，或做个人的事情，而且一个网管一年企业需要支付１０多万的整体费用，这１０多万投入营销推广，有可能带来的就是几百万的销售合同，如果网管平时没有

什么管理能力，不知如何规划企业内部的信息安全和相关密码资料，一旦离职，发生的问题将是灾难级的，我们曾经有一位客户，网管离职后，所有路由器、服务器、存储设备的密码全无，后来设备宕机，直接

影响到企业网络和系统三天没有恢复正常，损失达到几十万元。
 
反过来看这件事，是不是这个离职的网管非常坏呢，其实也不是，我们采访过近百位中小企业的网管，问过他们，如何看待中小企业网管这个职位？９９％的人会说这是一个没有前途的职位，会先干着，一有机会就找新的工作，那还剩下的那个人说，我没有学历，也没有什么能力，能有份工作就可以了。
 
所以你可以想像一下，一个人在他自己认为没有前途的岗位上怎么能做出优秀的成绩来呢，又怎么会用心做好每一件事呢。
 
中小企业最明智的选择，就是把这个岗位外包出去，把要求明确，然后确保外包公司达到既定的目标就可以，每年直接省下的１０多万投入到企业产品营销推广中，就能为公司带来几百万的销售收入。
 
那怎样才能选到一家负责、专业、性价比高的外包公司呢？
 
艾锑无限在IT外包行业１５年，服务了５０００多年企业，有三条建议给到中国的中小企业：
 
第一，从时间上看，一家企业值不值得信赖，要看它在这个行业的时间，能超过１０年的企业是绝对值得信赖的，因为它的生存能力强，而且１０年的服务会让他们积累了经验丰富，最重要是对这个非暴利的行

业能坚持这么长时间一直做下去，一定有情怀在里面，一家有情怀又有能力的公司，能不值得信赖吗。
 
第二，从服务的范围看，有的公司只能服务某个地区，有的可以服务全国，甚至能服务全球，也许你不需要能服务这么远的企业，但你需要有具备这样能力的企业，因为如果有一天你出了他们的服务范围怎么

办，难道需要重新找另一家吗，这又会增加不必要的成本，所以找到能服务全国的比只能服务区域的将会更有优势。
 
第三，从行业口碑和规模看，行业口碑决定了他们的服务质量，规模决定了服务价格，如果你只是一家中小企业你就不需要找一家大型公司给你服务，如果你是一家大型企业你可以找一家和大型企业一样有品牌

影响力的中小企业给你提供服务，这直接就会给你节省大量的成本。
   
中小企业在百度搜索引擎找ＩＴ外包公司的话，可以搜＂全国ＩＴ外包＂，左边就会出现能做全国ＩＴ外包服务的公司，有的是做广告推广排在前面，有的是自然优化的排名，在右边会出现百度评选出来的优秀

ＩＴ服务企业，大家可以看到像中软国际，博彦科技，文思海辉，软通动力，东软集团以及埃森哲都是全球排名前十的大型ＩＴ外包企业　，只有北京艾锑无限科技发展有限公司是一家中小企业，和这些巨头能

同时出现在百度推荐的企业中，这源自于艾锑无限在IT外包行业多年服务的品质和口碑，是值得中小企业首选的ＩＴ外包服务企业。
   
作为中小企业，创业维艰，用好每一分钱才是王道，困难时期活下来才是最重要的，以最快的速度顺应环境的改变，做出有效的行动，把没有必要的费用降下来，把非核心的工作外包出去，把力量集中一点，将

会产生意想不到的效果，一起加油渡过难关.
 
 
 
 
 
 
   
 
容器的本质
容器的本质是一个进程。容器技术的核心功能，就是通过约束和修改进程的动态表现，从而为其创造出一个“边界”。

对于docker等大多数linux容器来说，cgroups技术是用来制造约束的主要手段，而namespace技术则是用来修改进程视图的主要方法。

首先创建一个容器试试：
docker run -it busybox /bin/sh
/ #
/ # ps
PID  USER   TIME COMMAND
  1 root   0:00 /bin/sh
  10 root   0:00 ps
从上面可以看到，docker里最开始执行的/bin/sh，这就是容器内部的第一号进程（pid=1），而这个容器一共只有2个进程，也就是说，docker隔离在了一个跟宿主机完全不同的世界当中。本来我们在宿主机上运行一个/bin/sh程序，操作系统会给它分配一个进程编号，pid=100，现在docker把这个/bin/sh程序运行在一个容器当中，使用一个“障眼法”，让它永远看不到其他的进程，让它误以为自己就是pid=1。这个就是linux的namespace机制。而namespace的使用方式也很简单，它实际上只是linux创建新进程的一个可选参数。我们知道，linux系统中创建线程的系统调用是clone()；比如：

int pid = clone(main_function, stack_size, SIGCHLD, NULL);

这个系统调用会为我们创建一个新的进程，并且返回它的进程号pid。而但我们调用clone创建新进程时，在参数中指定CLONE_NEWPID参数：
int pid = clone(main_function, stack_size, CLONE_NEWPID | SIGCHLD, NULL);

这个时候，新创建的这个进程将会“看到”一个全兴的进程空间，在这个进程空间里，它的pid就是1。
 
namespace实现了容器间资源的隔离。linux使用6中namespace，分别对应6中资源：Mount， UTS， IPC， PID，Network和User。这些就是linux容器最基本的实现原理。docker容器听起来很玄，实际上就是在创建容器进程时，指定了这个进程所需要启动的一组namespace参数。这样，容器就只能看到当前namespace所限定的资源、文件、设备、状态和配置等。而对于主机以及其他不想管的程序，它就完全看不到了。为了更好的理解容器的特性，这里讨论容器的底层实现技术。

cgroup和namespace是最重要的两种技术。cgroup实现资源限制，namespace实现资源隔离。

cgroup
linux操作系统通过cgroup可以设置进程使用CPU、内存和IO资源的限额。前面提到的–cpu-shares，-m，–device-write-bps实际就是在配置cgroup。
在/sys/fs/cgroup/cpu/docker目录中，linux会为每个容器创建一个cgroup目录，以容器的长ID命名。 namespace
namespace实现了容器间资源的隔离。
linux使用6中namespace，分别对应6中资源：Mount， UTS， IPC， PID，Network和User。
 
Mount namespace
Mount namespace让容器看上去拥有整个文件系统。
 
UTS namespace
UTS ns让容器拥有自己的hostname。容器的hostname默认是它的短ID，可以通过-h或 --hostname参数来设置。
 
IPC namespace
IPC namespace让容器拥有自己的共享内存和信号量，实现进程间通信。
 
PID namespace Network namespace
让容器拥有自己独立的网卡、ip、路由等资源。
 
User namespace
让容器能够管理自己的用户，host不能看到容器中创建的用户。