┌─────────────────────────────────────────────────────────┐
│                       Docker Client                      │
│   docker CLI  │  Docker Compose  │  Docker SDK  │  API  │
└───────┬────────────────┬────────────────┬───────────────┘
        │  REST API       │                │
        ▼                 ▼                ▼
┌─────────────────────────────────────────────────────────┐
│                    Docker Engine (dockerd)                │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐  ┌─────────┐ │
│  │ 镜像管理  │  │ 容器管理  │  │ 网络管理  │  │ 卷管理  │ │
│  └──────────┘  └──────────┘  └──────────┘  └─────────┘ │
│  ┌─────────────────────────────────────────────────────┐ │
│  │              Docker API Server                       │ │
│  └─────────────────────────────────────────────────────┘ │
└───────┬─────────────────────────────────────────────────┘
        │  gRPC
        ▼
┌─────────────────────────────────────────────────────────┐
│                     containerd                           │
│  ┌──────────┐  ┌──────────┐  ┌──────────────────────┐  │
│  │ 镜像服务  │  │ 内容存储  │  │  容器运行时管理       │  │
│  └──────────┘  └──────────┘  └──────────────────────┘  │
└───────┬─────────────────────────────────────────────────┘
        │  OCI Runtime Spec
        ▼
┌─────────────────────────────────────────────────────────┐
│                        runc                              │
│           (OCI 标准容器运行时)                            │
│  ┌────────────────────────────────────────────────────┐ │
│  │  Linux Kernel: namespaces + cgroups + seccomp      │ │
│  └────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────┘

dockerd 职责:
  ├── API 服务: 暴露 REST API (默认 unix:///var/run/docker.sock)
  ├── 镜像管理: 构建、拉取、推送镜像
  ├── 容器管理: 创建、启动、停止容器（委托给 containerd）
  ├── 网络管理: 创建和管理 Docker 网络
  ├── 卷管理: 创建和管理数据卷
  ├── 日志管理: 容器日志收集和驱动
  └── 事件系统: 发布容器、镜像等事件

# Docker daemon 配置文件
cat /etc/docker/daemon.json

{
  "storage-driver": "overlay2",
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  },
  "exec-opts": ["native.cgroupdriver=systemd"],
  "registry-mirrors": ["https://docker.1ms.run"],
  "default-address-pools": [
    { "base": "172.17.0.0/12", "size": 24 }
  ],
  "live-restore": true,
  "max-concurrent-downloads": 10,
  "max-concurrent-uploads": 5
}

┌──────────────────────────────────────────┐
│                  containerd               │
│                                          │
│  ┌──────────┐  ┌───────────────────────┐ │
│  │ Content   │  │   Snapshot Service    │ │
│  │ Store     │  │   (快照管理)          │ │
│  │ (内容存储)│  │                       │ │
│  └──────────┘  └───────────────────────┘ │
│                                          │
│  ┌──────────┐  ┌───────────────────────┐ │
│  │ Image     │  │   Container Service   │ │
│  │ Service   │  │   (容器生命周期)      │ │
│  │ (镜像服务)│  │                       │ │
│  └──────────┘  └───────────────────────┘ │
│                                          │
│  ┌──────────┐  ┌───────────────────────┐ │
│  │ Namespace │  │   Task Service        │ │
│  │ Service   │  │   (进程管理)          │ │
│  │ (命名空间)│  │                       │ │
│  └──────────┘  └───────────────────────┘ │
│                                          │
│  ┌──────────────────────────────────────┐ │
│  │         Runtime (runc/crun/kata)     │ │
│  └──────────────────────────────────────┘ │
└──────────────────────────────────────────┘

# 使用 ctr 工具（containerd 的 CLI）
sudo ctr images pull docker.io/library/nginx:alpine

sudo ctr containers create docker.io/library/nginx:alpine my-nginx

sudo ctr tasks start my-nginx

sudo ctr tasks ls

# 安装 nerdctl（兼容 Docker CLI 语法）
# https://github.com/containerd/nerdctl
nerdctl run -d --name my-nginx -p 8080:80 nginx:alpine
nerdctl ps
nerdctl images

containerd ──启动──> containerd-shim ──启动──> runc ──创建──> 容器进程
                           │                          │
                           │                      runc 退出
                           │
                           └─── 保持运行，管理容器进程

# 查看 shim 进程
ps aux | grep containerd-shim
# containerd-shim-runc-v2 -namespace moby -id <container_id> ...

runc 创建容器的过程:

1. 创建容器目录结构
2. 设置 rootfs（根文件系统）
3. 挂载 /proc, /sys, /dev 等
4. 配置 Linux namespaces:
   - PID namespace: 进程隔离
   - Network namespace: 网络隔离
   - Mount namespace: 文件系统隔离
   - UTS namespace: 主机名隔离
   - IPC namespace: 进程间通信隔离
   - User namespace: 用户隔离
5. 配置 cgroups:
   - CPU 限制
   - 内存限制
   - I/O 限制
6. 设置 seccomp / AppArmor / SELinux 安全策略
7. 切换到容器的 rootfs
8. 执行用户指定的进程

# 创建 OCI bundle
mkdir -p /mycontainer/rootfs

# 导出 Ubuntu 镜像的文件系统
docker export $(docker create ubuntu:22.04) | tar -C /mycontainer/rootfs -xf -

# 生成默认配置
cd /mycontainer
runc spec

# 运行容器
sudo runc run mycontainer

# 清理
sudo runc delete mycontainer
rm -rf /mycontainer

# 查看容器的 namespace
PID=$(docker inspect --format '{{.State.Pid}}' my-nginx)
ls -la /proc/$PID/ns/

# 输出:
# lrwxrwxrwx 1 root root 0 ... cgroup -> 'cgroup:[4026532583]'
# lrwxrwxrwx 1 root root 0 ... ipc -> 'ipc:[4026532582]'
# lrwxrwxrwx 1 root root 0 ... mnt -> 'mnt:[4026532580]'
# lrwxrwxrwx 1 root root 0 ... net -> 'net:[4026532584]'
# lrwxrwxrwx 1 root root 0 ... pid -> 'pid:[4026532581]'
# lrwxrwxrwx 1 root root 0 ... uts -> 'uts:[4026532579]'

# 使用 unshare 创建新的 namespace
sudo unshare --pid --mount --net --uts --ipc --fork bash

# 在新 namespace 中
hostname my-container
echo "当前 hostname: $(hostname)"
ps aux  # 只能看到当前 namespace 中的进程

# CPU 限制
docker run -d --name cpu-test --cpus=1.5 nginx:alpine

# 内存限制
docker run -d --name mem-test --memory=256m --memory-swap=512m nginx:alpine

# 进程数限制
docker run -d --name pid-test --pids-limit=50 nginx:alpine

# 查看容器的 cgroup 信息
docker stats cpu-test mem-test pid-test --no-stream

# 检查当前 cgroup 版本
stat -fc %T /sys/fs/cgroup/
# cgroup2fs = v2, tmpfs = v1

# 查看容器的 cgroup 路径
docker inspect --format '{{.HostConfig.CgroupParent}}' <container>

镜像层 (只读):
  ┌────────────────────────────────┐
  │ Layer 3: COPY app.py /app/     │  ← 应用代码 (10KB)
  ├────────────────────────────────┤
  │ Layer 2: RUN pip install flask │  ← 依赖安装 (50MB)
  ├────────────────────────────────┤
  │ Layer 1: ubuntu:22.04 base     │  ← 基础镜像 (77MB)
  └────────────────────────────────┘

容器层 (可写):
  ┌────────────────────────────────┐
  │ Writable Layer                │  ← 容器运行时写入
  │ (修改的文件、日志、临时文件)     │
  ├────────────────────────────────┤
  │ 镜像层 (只读，通过 CoW 复制)    │
  └────────────────────────────────┘

读取文件:
  容器层 → 未找到 → 向下查找镜像层 → 找到并读取
  容器层 → 找到 → 直接读取

写入文件:
  首次写入 → 从镜像层复制到容器层 (Copy-on-Write) → 在容器层修改
  后续写入 → 直接在容器层修改

# 查看当前存储驱动
docker info | grep "Storage Driver"

# 查看镜像层信息
docker inspect nginx:alpine | jq '.[0].RootFS.Layers'

# 查看存储占用
docker system df -v

用户执行: docker run -d --name web -p 8080:80 nginx:alpine

完整流程:
  1. Docker CLI → dockerd (REST API)
  2. dockerd 解析参数，检查镜像是否存在
  3. 如果镜像不存在 → 从 Registry 拉取
  4. dockerd 调用 containerd 创建容器
  5. containerd 创建容器配置
  6. containerd 启动 containerd-shim
  7. containerd-shim 调用 runc
  8. runc 创建 namespaces、cgroups
  9. runc 配置 rootfs、挂载点
  10. runc 执行容器进程 (nginx)
  11. runc 退出，containerd-shim 接管
  12. 容器进程独立运行
  13. dockerd 配置网络（bridge + port mapping）
  14. 返回容器 ID 给 CLI

# 使用 nsenter 进入容器的 namespace 查看
CONTAINER_PID=$(docker inspect --format '{{.State.Pid}}' web)
sudo nsenter -t $CONTAINER_PID -p -n -m ps aux

/var/lib/docker/
  ├── overlay2/          # 镜像和容器的文件系统层
  │   ├── <layer-id>/    # 每层的目录
  │   │   ├── diff/      # 该层的文件差异
  │   │   ├── link      # 短标识符链接
  │   │   └── merged/   # 联合挂载后的完整文件系统
  │   └── l/             # 符号链接目录
  ├── containers/        # 容器元数据和日志
  │   └── <container-id>/
  │       ├── config.v2.json   # 容器配置
  │       ├── hostconfig.json  # 主机配置
  │       └── <id>-json.log    # 容器日志
  ├── image/             # 镜像元数据
  │   └── overlay2/
  │       ├── distribution/    # 分发元数据
  │       ├── imagedb/         # 镜像数据库
  │       ├── layerdb/         # 层数据库
  │       └── repositories.json # 仓库索引
  ├── volumes/           # 数据卷
  │   └── <volume-name>/
  │       └── _data/     # 卷数据
  ├── network/           # 网络配置
  ├── tmp/               # 临时文件
  └── swarm/             # Swarm 数据

# 查看 Docker 数据目录大小
sudo du -sh /var/lib/docker/
sudo du -sh /var/lib/docker/overlay2/
sudo du -sh /var/lib/docker/containers/

# 查看容器配置
sudo cat /var/lib/docker/containers/<container-id>/config.v2.json | jq .