从根本上讲，一个容器不过是一个正在运行的进程，并对其应用了一些附加的封装功能，以使其与主机和其他容器隔离。容器隔离的最重要方面之一是每个容器都与自己的专用文件系统进行交互。该文件系统由Docker镜像提供。镜像包括运行应用程序所需的一切代码或二进制文件，运行时依赖项以及所需的任何其他文件系统对象。

容器是由最上面可读可写的容器层，以及若干个只读镜像层组成，创建容器时，容器中的数据都来自镜像层。这样的分层结构最大的特点是写时复制：容器中新生成的数据会直接存放在容器层，也可以称之为可写层。修改容器中现有的数据会先从镜像层将数据复制到容器层，修改后的数据就会直接保存在容器层，而镜像层数据不会有任何变化。如果多个镜像层中有相同的命名文件，在容器层只会看到最上面镜像层的内容。

Docker于2013年3月以Apache 2.0授权协议开源，Docker是用Go语言编写，主要项目代码在GitHub上进行维护。Docker是一个用于开发，交付和运行应用程序的开放平台。Docker使用户能够将应用程序与基础架构分开，从而可以快速交付软件。借助Docker，用户可以以与管理应用程序相同的方式来管理基础架构。通过利用Docker的快速交付，测试和部署代码的方法，用户可以大大减少编

Docker Hub是Docker公司维护的公共Registry。用户可以将自己的镜像保存到Docker Hub免费的repository中。如果不希望比尔访问自己的镜像，也可以购买私有repository。

Prometheus(普罗米修斯)是一套开源的监控、报警和时间序列数据库的组合，起始是由SoundCloud公司开发的。随着发展，越来越多公司和组织接受采用Prometheus，社区也十分活跃，他们便将它独立成开源项目，并且有公司来运作。现在最常见的Kubernetes容器管理系统中，通常会搭配Prometheus进行监控。Prometheus基本原理是通过HTTP协议周期性抓取被监控组件的状态，

Docker针对系统工程师或者开发人员来说操作比较简单，然而对于部分用户，或者说非技术用户去使用Docker难道其实不小。因此一个明了的可视化管理界面显得非常重要了。

Docker底层技术包括：namespace主要是隔离作用，cgroups主要是资源限制，联合文件主要用于镜像分层存储和管理。

在Kubernetes中，所有的内容都抽象为资源，用户需要通过操作资源来管理Kubernetes。Kubernetes的本质上就是一个集群系统，用户可以在集群中部署各种服务，所谓的部署服务，其实就是在Kubernetes集群中运行一个个容器，并将指定的程序跑在容器中。Kubernetes的最小管理单元是pod，而不是容器，所以只能将容器放在pod中，而Kubernetes一般也不会直接管理pod，

kubeadm init --config kubeadm-config.yaml --upload-certs # 初始化生成的内容建议复制保存到一个文件里，后面有用。# 该命令在初始化后会生成，只需在命令后面加上--cri-socket=unix:///var/run/cri-dockerd.sock即可。criSocket: unix:///var/run/cri-dockerd.sock

Namespace是Kubernetes系统中的一种非常重要资源，它的主要作用是用来实现或者。默认情况下，Kubernetes集群中的所有的Pod都是可以相互访问的。但是在实际中，可能不想让两个Pod之间进行互相的访问，那此时就可以将两个Pod划分到不同的namespace下。Kubernetes通过将集群内部的资源分配到不同的Namespace中，可以形成逻辑上的"组"，以方便不同的组的资源进行