一、base鏡像
base 鏡像簡單來說就是不依賴其他任何鏡像，完全從0開始建起，其他鏡像都是建立在他的之上，可以比喻為大樓的地基，docker鏡像的鼻祖。
base 鏡像有兩層含義：（1）不依賴其他鏡像，從 scratch 構建；（2）其他鏡像可以之為基礎進行擴展。
所以，能稱作 base 鏡像的通常都是各種 Linux 發行版的 Docker 鏡像，比如 Ubuntu, Debian, CentOS 等。
我們以 CentOS 為例查看 base 鏡像包含哪些內容。
下載及查看鏡像：
root@ubuntu:~# docker pull centos Using default tag: latest latest: Pulling from library/centos d9aaf4d82f24: Pull complete Digest: sha256:4565fe2dd7f4770e825d4bd9c761a81b26e49cc9e3c9631c58cfc3188be9505a Status: Downloaded newer image for centos:latestroot@ubuntu:~# docker images REPOSITORY TAG IMAGE ID CREATED SIZE centos latest d123f4e55e12 3 weeks ago 197MB ubuntu 12.04 5b117edd0b76 7 months ago 104MB我們看到CentOS的鏡像大小不到200MB，平時我們安裝一個CentOS至少是幾個GB，怎么可能才 200MB !
下面我們來解釋這個問題，Linux 操作系統由內核空間和用戶空間組成。
典型的Linux啟動到運行需要兩個FS，bootfs + rootfs，如下圖：
1、rootfs
內核空間是 kernel，Linux 剛啟動時會加載 bootfs 文件系統，之后 bootfs 會被卸載掉。用戶空間的文件系統是 rootfs，包含我們熟悉的 /dev, /proc, /bin 等目錄。
對於 base 鏡像來說，底層直接用 Host 的 kernel，自己只需要提供 rootfs 就行了。
而對於一個精簡的 OS，rootfs 可以很小，只需要包括最基本的命令、工具和程序庫就可以了。相比其他 Linux 發行版，CentOS 的 rootfs 已經算臃腫的了，alpine 還不到 10MB。
我們平時安裝的 CentOS 除了 rootfs 還會選裝很多軟件、服務、圖形桌面等，需要好幾個 GB 就不足為奇了。
2、base 鏡像提供的是最小安裝的 Linux 發行版。
下面是 CentOS 鏡像的 Dockerfile 的內容：
FROM scratch ADD centos-7-docker.tar.xz / LABEL name="CentOS Base Image" \ vendor="CentOS" \ license="GPLv2" \ build-date="20170911" CMD ["/bin/bash"]第二行 ADD 指令添加到鏡像的 tar 包就是 CentOS 7 的 rootfs。在制作鏡像時，這個 tar 包會自動解壓到 / 目錄下，生成 /dev, /porc, /bin 等目錄。
3、支持運行多種 Linux OS
bootfs (boot file system) 主要包含 bootloader 和 kernel, bootloader主要是引導加載kernel, 當boot成功后 kernel 被加載到內存中后 bootfs就被umount了.
rootfs (root file system) 包含的就是典型 Linux 系統中的 /dev, /proc, /bin, /etc 等標准目錄和文件。
由此可見對於不同的linux發行版, bootfs基本是一致的, rootfs會有差別, 因此不同的發行版可以公用bootfs。
比如 Ubuntu 14.04 使用 upstart 管理服務，apt 管理軟件包；而 CentOS 7 使用 systemd 和 yum。這些都是用戶空間上的區別，Linux kernel 差別不大。
所以 Docker 可以同時支持多種 Linux鏡像，模擬出多種操作系統環境。
上圖 Debian 和 BusyBox（一種嵌入式 Linux）上層提供各自的 rootfs，底層共用 Docker Host 的 kernel。
這里需要說明的是：
base 鏡像只是在用戶空間與發行版一致，kernel 版本與發型版是不同的。
CentOS 7 使用 3.x.x 的 kernel，如果 Docker Host 是 Ubuntu 16.04，那么在 CentOS 容器中使用的實際是是 Host 4.x.x 的 kernel。
root@ubuntu:~# uname -r 4.4.0-62-generic root@ubuntu:~# docker run -ti centos /bin/bash [root@06f13ef13853 /]# uname -r 4.4.0-62-generic容器只能使用 Host 的 kernel，並且不能修改。
所有容器都共用 host 的 kernel，在容器中沒辦法對 kernel 升級。如果容器對 kernel 版本有要求（比如應用只能在某個 kernel 版本下運行），則不建議用容器，這種場景虛擬機可能更合適。
二、鏡像的分層結構
Docker 支持通過擴展現有鏡像，創建新的鏡像。
實際上，Docker Hub 中 99% 的鏡像都是通過在 base 鏡像中安裝和配置需要的軟件構建出來的。比如我們現在構建一個新的鏡像，Dockerfile 如下：
# Version: 0.0.1 FROM debian 1.新鏡像不再是從 scratch 開始，而是直接在 Debian base 鏡像上構建。 MAINTAINER wzlinux RUN apt-get update && apt-get install -y emacs 2.安裝 emacs 編輯器。 RUN apt-get install -y apache2 3.安裝 apache2。 CMD ["/bin/bash"] 4.容器啟動時運行 bash。構建過程如下圖所示：
可以看到，新鏡像是從 base 鏡像一層一層疊加生成的。每安裝一個軟件，就在現有鏡像的基礎上增加一層。
問什么 Docker 鏡像要采用這種分層結構呢？
最大的一個好處就是 - 共享資源。
比如：有多個鏡像都從相同的 base 鏡像構建而來，那么 Docker Host 只需在磁盤上保存一份 base 鏡像；同時內存中也只需加載一份 base 鏡像，就可以為所有容器服務了。而且鏡像的每一層都可以被共享，我們將在后面更深入地討論這個特性。
這時可能就有人會問了：如果多個容器共享一份基礎鏡像，當某個容器修改了基礎鏡像的內容，比如 /etc 下的文件，這時其他容器的 /etc 是否也會被修改？
答案是不會！
修改會被限制在單個容器內。
這就是我們接下來要說的容器 Copy-on-Write 特性。
- 新數據會直接存放在最上面的容器層。
- 修改現有數據會先從鏡像層將數據復制到容器層，修改后的數據直接保存在容器層中，鏡像層保持不變。
- 如果多個層中有命名相同的文件，用戶只能看到最上面那層中的文件。
可寫的容器層
當容器啟動時，一個新的可寫層被加載到鏡像的頂部。這一層通常被稱作“容器層”，“容器層”之下的都叫“鏡像層”。
典型的Linux在啟動后，首先將 rootfs 置為 readonly, 進行一系列檢查, 然后將其切換為 “readwrite” 供用戶使用。在docker中，起初也是將 rootfs 以readonly方式加載並檢查，然而接下來利用 union mount 的將一個 readwrite 文件系統掛載在 readonly 的rootfs之上，並且允許再次將下層的 file system設定為readonly 並且向上疊加, 這樣一組readonly和一個writeable的結構構成一個container的運行目錄, 每一個被稱作一個Layer。如下圖所示。
所有對容器的改動，無論添加、刪除、還是修改文件都只會發生在容器層中。只有容器層是可寫的，容器層下面的所有鏡像層都是只讀的。
下面我們深入討論容器層的細節。
鏡像層數量可能會很多，所有鏡像層會聯合在一起組成一個統一的文件系統。如果不同層中有一個相同路徑的文件，比如 /a，上層的 /a 會覆蓋下層的 /a，也就是說用戶只能訪問到上層中的文件 /a。在容器層中，用戶看到的是一個疊加之后的文件系統。
- 添加文件：在容器中創建文件時，新文件被添加到容器層中。
- 讀取文件：在容器中讀取某個文件時，Docker 會從上往下依次在各鏡像層中查找此文件。一旦找到，立即將其復制到容器層，然后打開並讀入內存。
- 修改文件：在容器中修改已存在的文件時，Docker 會從上往下依次在各鏡像層中查找此文件。一旦找到，立即將其復制到容器層，然后修改之。
- 刪除文件：在容器中刪除文件時，Docker 也是從上往下依次在鏡像層中查找此文件。找到后，會在容器層中記錄下此刪除操作。
只有當需要修改時才復制一份數據，這種特性被稱作 Copy-on-Write。可見，容器層保存的是鏡像變化的部分，不會對鏡像本身進行任何修改。
這樣就解釋了我們前面提出的問題：容器層記錄對鏡像的修改，所有鏡像層都是只讀的，不會被容器修改，所以鏡像可以被多個容器共享。