K8s集群中Containerd和Docker的對(duì)比

前景提要

Docker 技術(shù)使用 Linux 內(nèi)核和內(nèi)核功能（例如 Cgroups 和 namespaces）來(lái)分隔進(jìn)程，以便各進(jìn)程相互獨(dú)立運(yùn)行。這種獨(dú)立性正是采用容器的目的所在；它可以獨(dú)立運(yùn)行多種進(jìn)程、多個(gè)應(yīng)用，更加充分地發(fā)揮基礎(chǔ)設(shè)施的作用，同時(shí)保持各個(gè)獨(dú)立系統(tǒng)的安全性。

為了防止docker一家獨(dú)大，docker當(dāng)年的實(shí)現(xiàn)被拆分出了幾個(gè)標(biāo)準(zhǔn)化的模塊，標(biāo)準(zhǔn)化的目的是模塊是可被其他實(shí)現(xiàn)替換的，不由任何一個(gè)廠商控制。

docker由 docker-client ,dockerd,containerd,docker-shim,runc組成，所以containerd是docker的基礎(chǔ)組件之一，docker 對(duì)容器的管理和操作基本都是通過(guò) containerd 完成的。那么，containerd 是什么呢？

Containerd 是一個(gè)工業(yè)級(jí)標(biāo)準(zhǔn)的容器運(yùn)行時(shí)（Container Runtime Interface），它強(qiáng)調(diào)簡(jiǎn)單性、健壯性和可移植性。Containerd 可以在宿主機(jī)中管理完整的容器生命周期：容器鏡像的傳輸和存儲(chǔ)、容器的執(zhí)行和管理、存儲(chǔ)和網(wǎng)絡(luò)等。詳細(xì)點(diǎn)說(shuō)，Containerd 負(fù)責(zé)干下面這些事情：

管理容器的生命周期(從創(chuàng)建容器到銷毀容器)

拉取/推送容器鏡像

存儲(chǔ)管理(管理鏡像及容器數(shù)據(jù)的存儲(chǔ))

調(diào)用 runC 運(yùn)行容器(與 runC 等容器運(yùn)行時(shí)交互)

管理容器網(wǎng)絡(luò)接口及網(wǎng)絡(luò)

從k8s的角度看，可以選擇 containerd 或 docker 作為運(yùn)行時(shí)組件：Containerd 調(diào)用鏈更短，組件更少，更穩(wěn)定，占用節(jié)點(diǎn)資源更少調(diào)用鏈

containerd 跟 docker 調(diào)用關(guān)系

配置參數(shù)區(qū)別

日志配置

stream server
kubectl exec/logs等命令需要在apiserver跟容器運(yùn)行時(shí)之間建立流轉(zhuǎn)發(fā)通道。
docker API本身提供stream服務(wù)，kubelet內(nèi)部的docker-shim會(huì)通過(guò)docker API做流轉(zhuǎn)發(fā)。
containerd的stream服務(wù)需要單獨(dú)配置：

[plugins.cri]

stream_server_address="127.0.0.1"

stream_server_port="0"

enable_tls_streaming=false

在k8s 1.11之前，kubelet并不會(huì)做stream proxy, 只會(huì)做redirect。也就是把containerd暴露的stream server地址告訴apiserver, 讓apiserver直接來(lái)訪問(wèn)containerd的stream server。這種情況下，需要給stream server使能tle認(rèn)證來(lái)做安全防護(hù)。

從k8s1.11引入了kubelet stream proxy (https://github.com/kubernetes/kubernetes/pull/64006)， 從而使得containerd stream server只需要監(jiān)聽(tīng)本地地址即可。

CNI網(wǎng)絡(luò)

命令對(duì)比

containerd不支持docker API和docker CLI， 但是可以通過(guò)cri-tool實(shí)現(xiàn)類似的功能。

拓展閱讀

接下來(lái)就是crictl的的常見(jiàn)命令，其中能完全替代docker命令的參照下列表格

crictl對(duì)容器生命周期的管理基本已經(jīng)覆蓋，不過(guò)在crictl我們不能完成操作也比較多，比如對(duì)鏡像的管理就不屬于它的管理范圍。這部分還得依靠ctr來(lái)實(shí)現(xiàn)，操作方式同樣可以參照下表

需注意的是，由于Containerd也有namespaces的概念，對(duì)于上層編排系統(tǒng)的支持，主要區(qū)分了3個(gè)命名空間分別是k8s.io、moby和default，以上我們用crictl操作的均在k8s.io命名空間完成如查看鏡像列表就需要加上-n參數(shù)

ctr -n k8s.io images list

鏈接：https://www.cnblogs.com/xiexun/p/18268677