一. 简介

Docker镜像的层本质上只是通过运行某些命令而生成的文件。我们可以在上查看Docker主机上每一层的内容/var/lib/docker/aufs/diff。层是整齐的，因为它们可以被多个映像重复使用，从而节省了磁盘空间并减少了创建映像的时间，同时又保持了它们的完整性。

这些层是在Docker映像构建期间执行Dockerfile中的命令时生成的。

二. 案例

2.1 运行ubuntu镜像

执行如下指令：

docker run -d ubuntu:latest sleep 7200

这个所谓的“镜像”，实际上就是一个 Ubuntu 操作系统的 rootfs，它的内容是 Ubuntu 操作系统的所有文件和目录。

2.2 检查镜像分层

利用docker image inspect指令，可以查看镜像的分层结构。
执行如下指令：

docker image inspect ubuntu:latest

内容较多，我们可以只关注如下的类似结构：

ubuntu layers

这个 Ubuntu 镜像，实际上由三个层组成。这三个层就是三个增量 rootfs，每一层都是 Ubuntu 操作系统文件与目录的一部分。而在使用镜像时，Docker 会把这些增量联合挂载在一个统一的挂载点上。

这个挂载点就是/var/lib/docker/aufs/mnt/，例如：

/var/lib/docker/aufs/mnt/aeb3f02e937406fb402a926ce5cebc7da79b14dbcb4f85a5ce0e3855623cec80

其实，这个目录里面正是一个完整的 Ubuntu 操作系统。

2.3 UnionFS

Union File System 也叫 UnionFS，最主要的功能是将多个不同位置的目录联合挂载（union mount）到同一个目录下。

这些信息记录在 AuFS 的系统目录 /sys/fs/aufs 下面，镜像的层都放置在 /var/lib/docker/aufs/diff目录下，然后被联合挂载在 /var/lib/docker/aufs/mnt里面。

三. 分层结构

关于docker镜像，我们可以分为如下的read-only，init 和readable/writeable三种，这些层，都以增量的方式分别包含了 Ubuntu 操作系统的一部分。
参考下图结构：

layers architecture

3.1 Read-only layer

只读层是这个容器的 rootfs 最下面的三层，对应的正是 ubuntu:latest 镜像的三层。如上图，它们的挂载方式都是只读的（readonly+whiteout）。

3.2 Init layer

Init 层是 Docker 项目单独生成的一个内部层，专门用来存放 /etc/hosts、/etc/resolv.conf等信息。
需要这样一层的原因是，这些文件本来属于只读的 Ubuntu 镜像的一部分，但是用户往往需要在启动容器时写入一些指定的值比如 hostname，所以就需要在可读写层对它们进行修改。但是这些修改往往只对当前的容器有效，我们并不希望执行 docker commit时，把这些信息连同可读写层一起提交掉。

所以，Docker 做法是，在修改了这些文件之后，以一个单独的层挂载了出来。而用户执行 docker commit 只会提交其他俩层，所以是不包含这些内容的。

3.3 Readable/Writeable layer

读写层是这个容器的 rootfs 最上面的一层，它的挂载方式为：rw，即 read write。在没有写入文件之前，这个目录是空的。而一旦在容器里做了写操作，你修改产生的内容就会以增量的方式出现在这个层中。

3.4 Copy-on-Write

Copy-on-Write算是分层架构的核心设计，为了实现这样的删除操作，AuFS 会在可读写层创建一个 whiteout文件，把只读层里的文件“遮挡”起来。
比如，我们要删除只读层里一个名叫 “test” 的文件，那么这个删除操作实际上是在可读写层创建了一个名叫.wh.test的文件。这样，当这两个层被联合挂载之后，“test”文件就会被.wh.test文件“遮挡”起来。
这个功能，就是“ro+wh”的挂载方式，即只读 ”+whiteout“ 的含义。因此，最上面这个可读写层的作用，就是专门用来存放我们修改 rootfs 后产生的增量，无论是增、删、改，都发生在这里。

3.5 更多

关于联合挂载的内容其实很多，我也不擅长，但是我还是提出了一些通俗易懂的总结，如下：

• Union Mount是一种将众多目录组合到一个目录中的方式，该目录看起来包含所有目录中的内容。
• AUFS代表另一个联合文件系统或高级多层统一文件系统，AUFS为Linux文件系统实现联合安装。
• AUFS存储驱动程序使用联合安装系统实现Docker映像层。
• AUFS分支-每个Docker映像层都称为AUFS分支。

四. 总结

关于Docker本身并不是一件非常有突破的事情，但是Docker巧妙地利用了很多的设计，突破性地进行实践，这才是我们该学习的重点。
Docker我们经常用，但是我们得注重工具的本身设计，只有真实懂工具设计的出发点和局限性，才能帮助我们在DevOps架构路上越走越远。

最后，欢迎关注我的博客：https://blog.wyatt.plus

Reference

https://medium.com/containers-101/hello-whale-layers-in-docker-e37e726712b5
https://medium.com/@jessgreb01/digging-into-docker-layers-c22f948ed612
https://docs.docker.com/engine/reference/commandline/history/#examples