一、概述
鏡像是一種輕量級、可執行的獨立軟件包，用來打包軟件運行環境和基於運行環境開發的軟件，
它包含運行某個軟件所需的所有內容，包括代碼、運行時、庫、環境變量和配置文件。
1.1、UnionFS(聯合文件系統)
UnionFS (聯合文件系統) : Union文件系統(UnionFS) 是一種分層、輕量級並且高性能的文件系統，它支持對文件系統的修改作為一’ 次提交來一層層的疊加，同時可以將不同月錄掛載到同一個虛擬文件系統下(unite several directories into a single virtual filesystem)。Union 文件系統是Docker鏡像的基礎。鏡像可以通過分層來進行繼承，基於基礎鏡像(沒有父鏡像)，可以制作各種具體的應用鏡像。
特性:一次同時加載多個文件系統，但從外面看起來，只能看到一個文件系統，聯合加載會把各層文件系統疊加起來，這樣最終的文件系統會包含所有底層的文件和目錄
1.2、Docker鏡像加載原理
docker的鏡像實際上由一層一層的文件系統組成，這種層級的文件系統UnionFS。
bootfs(boot file system)主要包含bootloader和kernel, bootloader主要是引導加載kernel, Linux剛啟動時會加載bootfs文件系統，在Docker鏡像的最底層是bootfs。這一層與我們典型的Linux/Unix系統是一樣的，包含boot加載器和內核。當boot加載完成之后整個內核就都在內存中了，此時內存的使用權已由bootfs轉交給內核，此時系統也會卸載bootfs。
rootfs (root file system) ，在bootfs之上。包含的就是典型 Linux 系統中的 /dev, /proc, /bin, /etc 等標准目錄和文件。rootfs就是各種不同的操作系統發行版，比如Ubuntu，Centos等等。
對於一個精簡的OS，rootfs可以很小，只需要包括最基本的命令、工具和程序庫就可以了，因為底層直接用Host的kernel，自己只需要提供 rootfs 就行了。由此可見對於不同的linux發行版, bootfs基本是一致的, rootfs會有差別, 因此不同的發行版可以公用bootfs。
針對DockerFile，每一次RUN 都會基於基礎鏡像，作出一個新的images
1.3、分層的鏡像與容器
所有的Docker鏡像都起始於一個基礎鏡像層，當進行修改或增加新的內容時，就會在當前鏡像層之上，創建新的鏡像層。
Docker鏡像都是只讀的，當容器啟動時，一個新的可寫層鏡像加載到鏡像頂部！
這一層就是我們通常說的容器層，容器之下的都叫鏡像層。
1.3.1、鏡像
鏡像（Image）就是一堆只讀層（read-only layer）的統一視角
從左邊我們看到了多個只讀層，它們重疊在一起。除了最下面一層，其它層都會有一個指針指向下一層。這些層是Docker內部的實現細節，並且能夠在主機（譯者注：運行Docker的機器）的文件系統上訪問到。統一文件系統（union file system）技術能夠將不同的層整合成一個文件系統，為這些層提供了一個統一的視角，這樣就隱藏了多層的存在，在用戶的角度看來，只存在一個文件系統。我們可以在圖片的右邊看到這個視角的形式。
在主機文件系統上找到有關這些層的文件。需要注意的是，在一個運行中的容器內部，這些層是不可見的。存在於/var/lib/docker/aufs目錄下。/var/lib/docker/
1.3.2、容器
容器（container）的定義和鏡像（image）幾乎一模一樣，也是一堆層的統一視角，唯一區別在於容器的最上面那一層是可讀可寫的。
容器 = 鏡像 + 讀寫層。並且容器的定義並沒有提及是否要運行容器。
1.3.3、運行容器
一個運行態容器（running container）被定義為一個可讀寫的統一文件系統加上隔離的進程空間和包含其中的進程。下面這張圖片展示了一個運行中的容器。
正是文件系統隔離技術使得Docker成為了一個前途無量的技術。一個容器中的進程可能會對文件進行修改、刪除、創建，這些改變都將作用於可讀寫層（read-write layer）。下面這張圖展示了這個行為。
我們可以通過運行以下命令來驗證我們上面所說的：
docker run ubuntu touch happiness.txt
即便是這個ubuntu容器不再運行，我們依舊能夠在主機的文件系統上找到這個新文件。
find / -name happiness.txt
/var/lib/docker/aufs/diff/860a7b...889/happiness.txt
1.3.4、鏡像層
一個層組成【id、元數據、指向父的指針】
1、元數據（metadata）
就是關於這個層的額外信息，它不僅能夠讓Docker獲取運行和構建時的信息，還包括父層的層次信息。需要注意，只讀層和讀寫層都包含元數據。
鏡像層（image layer）的元數據被保存在名為”json”的文件中，比如說：/var/lib/docker/graph/e809f156dc985.../json。
一個容器的元數據被分成了很多文件，但或多或少能夠在/var/lib/docker/containers/<id>目錄下找到，<id>就是一個可讀層的id。這個目錄下的文件大多是運行時的數據，比如說網絡，日志等等。
2、父指針
每一層都包括了一個指向父層的指針。如果一個層沒有這個指針，說明它處於最底層。
1.3.5、為什么需要鏡像分層
共享資源，有多個鏡像都從相同的 base 鏡像構建而來，那么宿主機只需在磁盤上保存一份base鏡像，同時內存中也只需加載一份 base 鏡像，就可以為所有容器服務了。而且鏡像的每一層都可以被共享。
二、結合docker命令理解鏡像
3.1、創建：docker create <image-id>
docker create 命令為指定的鏡像（image）添加了一個可讀寫層，構成了一個新的容器。注意，這個容器並沒有運行。
3.2.、docker start <container-id>
Docker start命令為容器文件系統創建了一個進程隔離空間。注意，每一個容器只能夠有一個進程隔離空間。
3.3、docker run <image-id>
docker run就是docker create和docker start兩個命令的組合。docker run 命令先是利用鏡像創建了一個容器，然后運行這個容器。這個命令非常的方便，並且隱藏了兩個命令的細節
docker run命令類似於git pull命令。git pull命令就是git fetch 和 git merge兩個命令的組合，同樣的，docker run就是docker create和docker start兩個命令的組合。
3.4、docker ps【docker ps -a】
docker ps 命令會列出所有運行中的容器。
docker ps –a命令會列出所有的容器，不管是運行的，還是停止的。
3.5、docker images【docker images -a】
docker images 所有頂層鏡像
docker images -a 列出了所有的鏡像，也可以說是列出了所有的可讀層。如果你想要查看某一個image-id下的所有層，可以使用docker history來查看。
docker history ubuntu:14.04 可遞歸地輸出指定鏡像的歷史鏡像。
3.6、docker stop <container-id>
docker stop命令會向運行中的容器發送一個SIGTERM的信號，然后停止所有的進程。
3.7、docker kill <container-id>
docker kill 命令向所有運行在容器中的進程發送了一個不友好的SIGKILL信號。
3.8、docker pause <container-id>
docker stop和docker kill命令會發送UNIX的信號給運行中的進程，docker pause命令則不一樣，它利用了cgroups的特性將運行中的進程空間暫停。具體的內部原理你可以在這里找到：https://www.kernel.org/doc/Doc ... m.txt，但是這種方式的不足之處在於發送一個SIGTSTP信號對於進程來說不夠簡單易懂，以至於不能夠讓所有進程暫停。
3.9、docker rm <container-id>
docker rm命令會移除構成容器的可讀寫層。注意，這個命令只能對非運行態容器執行。
3.10、docker rmi <image-id>
docker rmi 命令會移除構成鏡像的一個只讀層。你只能夠使用docker rmi來移除最頂層（top level layer）（也可以說是鏡像），你也可以使用-f參數來強制刪除中間的只讀層。
3.11、docker commit <container-id>
docker commit命令將容器的可讀寫層轉換為一個只讀層，這樣就把一個容器轉換成了不可變的鏡像。
3.12、docker build
它會反復的執行多個命令
從上圖可以看到，build命令根據Dockerfile文件中的FROM指令獲取到鏡像，然后重復地1）run（create和start）、2）修改、3）commit。在循環中的每一步都會生成一個新的層，因此許多新的層會被創建。
3.13、docker exec <running-container-id>
docker exec 命令會在運行中的容器執行一個新進程。
3.14、docker inspect <container-id> or <image-id>
docker inspect命令會提取出容器或者鏡像最頂層的元數據。
3.15、docker save <image-id>
docker save命令會創建一個鏡像的壓縮文件，這個文件能夠在另外一個主機的Docker上使用。和export命令不同，這個命令為每一個層都保存了它們的元數據。這個命令只能對鏡像生效。
3.16、docker export <container-id>
docker export命令創建一個tar文件，並且移除了元數據和不必要的層，將多個層整合成了一個層，只保存了當前統一視角看到的內容（譯者注：expoxt后的容器再import到Docker中，通過docker images –tree命令只能看到一個鏡像；而save后的鏡像則不同，它能夠看到這個鏡像的歷史鏡像）。
參看地址：http://dockone.io/article/783