问题描述
想要深入了解Docker的底层架构。在各处展示的图表中，声称与诸如”VirtualBox”之类的虚拟化技术相比，Docker直接使用主机的操作系统，并且只将应用程序与依赖项（如库等）一起打包。然而，从我在Docker中看到的情况来看，每个镜像都包含一个操作系统。它以FROM 标签开始。这是否与所声称的相矛盾？请给予建议。
解决方案
请注意以下操作可能涉及版本差异及修改前做好备份。
Docker容器与传统虚拟化的比较
在解释Docker的工作原理之前，让我们先澄清一些概念。Docker与传统虚拟化（如VirtualBox）有所不同，它采用了一种不同的隔离方法，这就是为什么您会发现一些细微差异的原因。
传统虚拟化使用虚拟机管理程序（如Hypervisor）在主机操作系统之上运行多个虚拟机。每个虚拟机都拥有自己的操作系统内核和用户空间，这导致了较高的资源消耗和启动时间。
而Docker采用了容器化技术，它在主机操作系统的内核之上运行容器，每个容器共享主机的操作系统内核，但拥有自己独立的用户空间。这种轻量级隔离使得容器更加节省资源，启动更快。
Docker镜像与操作系统
您提到的FROM <os-image>标签实际上并不意味着Docker镜像包含整个操作系统。事实上，Docker镜像并不包含完整的操作系统内核。这是因为Docker镜像是分层的，它们共享基础镜像的内容，并在其上添加应用程序和依赖项。
在Docker中，一个镜像的构建通常基于一个基础镜像，这个基础镜像可能是一个精简的Linux发行版，如Alpine Linux。这个基础镜像中已经包含了操作系统的核心组件，但并不包括完整的操作系统内核。随后，您可以在此基础镜像上构建自己的应用程序，添加所需的依赖项。
所以，当您在Dockerfile中看到FROM <os-image>时，实际上是在选择一个用作基础的镜像，而不是将整个操作系统嵌入到您的镜像中。这也是Docker镜像轻量级的原因之一。
隔离与安全性
与虚拟机相比，Docker容器提供了更轻量级的隔离。虽然容器共享主机的操作系统内核，但它们在不同的命名空间和控制组（cgroups）中运行，从而实现了隔离。每个容器都拥有自己的文件系统、进程空间和网络空间，使得它们在运行时彼此隔离。
总的来说，尽管Docker镜像包含操作系统的某些组件，但并不是完整的操作系统。Docker的轻量级隔离和镜像分层使其成为一种高效的容器化解决方案，能够在不同环境中部署应用程序和服务。
鉴于您在评论中提到的关于操作系统的概念的消失，实际上Docker镜像是基于一个工作集进行构建的，而不是直接使用整个操作系统。这个工作集在容器内有其自己的命名空间和隔离环境，从而实现了应用程序和依赖项的隔离运行。
总结
通过与传统虚拟化技术进行比较，我们可以更好地理解Docker的工作原理。Docker采用容器化技术，使得应用程序能够在轻量级隔离的环境中运行，共享主机的操作系统内核。尽管Docker镜像包含操作系统的一些组件，但它们并不是完整的操作系统，而是基于工作集构建的。这种设计使得Docker容器更加高效、轻量级，并且能够在不同环境中快速部署和运行应用程序。
注： 在使用Docker时，请务必了解所使用的镜像的内容和依赖关系，以便确保最佳性能和安全性。