Windows的Docker Beta版本
本文讲的是Windows的Docker Beta版本，
【编者的话】本文为Docker Saigon社区于其官方网站中发布的文章Docker For Windows Beta，此文描述了在Windows上的Docker Beta版本的一些功能，并且做了演示。Docker Saigon社区是由越南的Docker社区用户创建的，位于胡志明市。
注释：这篇文章的研究已在Beta客户端完成了，并且技术细节有可能发生变化。
正如之前发布的帖子描述的那样，我们已经在Windows的Hyper-V上使用Docker有一阵子了。听说了新的Windows的Docker客户端是基于Alpine的，并且会专注于Hyper-V,这使得我们很渴望亲眼看一看。
Hyper-V 配置
第一个要克服的问题是当在Windows上使用Hyper-V时缺乏DNS/DHCP和NAT服务。新的Docker客户端为我们接管虚拟交换机的NAT配置并且为DNS与DHCP添加了一个很巧妙的解决方案。作为安装过程的一部分，将创建一个内部DockerNAT虚拟交换机，并且该Windows主机上的虚拟接口将会为这个虚拟交换机获得一个静态IP：
New-VMSwitch -Name "DockerNAT" -SwitchType Internal Get-NetAdapter "vEthernet (DockerNAT)" | New-NetIPAddress -AddressFamily IPv4 ` -IPAddress "10.0.75.1" -PrefixLength 24
同时，也创建了一个为“10.0.75.0/24”子网提供网络地址转换(Network Address Translation)的NAT对象。
New-NetNat –Name $SwitchName ` –InternalIPInterfaceAddressPrefix "10.0.75.0/24"
提示： 如果有任何的步骤失败了，须确保名为“DockerNAT”的交换机是被创建的，并且IP已经被分配给了该虚拟接口（Virtual Interface）的。此外通过Get-NetNat命令所显示的NAT是属于正确的子网内的。同时要确保物理网络与现有存在的接口不重叠（我们已经在测试beta版本的时候手动地将这些问题修复了）。
接下来， MobyLinuxVM 虚拟机已经在Hyper-V里建立起来了。MobyLinuxVM使用Alpine bootcd集成的Hyper-V服务，例如 Key-Value Pair Exchange 服务（hv_kvp_daemon）。Hyper-V KVP的守护进程允许Hyper-V和Linux客户机之间通信（例如检索客户IP和发送双向的消息，这我们将在后面看到）。
最终，Docker捆绑了 com.docker.proxy.exe 源代码，它代理了在Windos主机上的MobyLinuxVM端口。在写该文的时候（Docker Beta 7），它已经包含了DNS（TCP/UDP 53），DHCP（UDP 67）和Docker 守护进程（TCP2375）。
如果你一直在为你的Hyper-V配置运行一个替代解决方案，那么需要确保以上所有端口是可用的，如下所示。
查看是否有任何进程在占用53端口：
netstat -aon | findstr :53
一旦你发现任何进程号再占用该端口（<pid>），那么先获取进程名：
tasklist /SVC | findstr <pid>
com.docker.proxy.exe 将会把你笔记本内部网络所有的DNS请求通过Windows主机代理到DNS服务器上，当你移动你的笔记本的时候可以有效地从网络配置上隔离MobyLinuxVM。
为了确保该进程工作正常，docker自动地创建了DockerTcp和DockerUdp防火墙规则，并且可以在我们关闭客户端的时候移除它。
New-NetFirewallRule -Name "DockerTcp" -DisplayName "DockerTcp" ` -Program "C:\<path>\<to>\com.docker.proxy.exe" -Protocol TCP ` -Profile Any -EdgeTraversalPolicy DeferToUser -Enabled True New-NetFirewallRule -Name "DockerUdp" -DisplayName "DockerUdp" ` -Program "C:\<path>\<to>\com.docker.proxy.exe" -Protocol UDP ` -Profile Any -EdgeTraversalPolicy DeferToUser -Enabled True
Docker的守护进程在本地打开，允许你的docker客户端与本地主机通信，可是-它看起来在使用一个命名管道的方案去替代它， 如果该VM被正确地创建， 那么你应该看到连接到其COM口的命名管道。
那么同样也可以看到docker客户端代码在处理 Windows命名管道 。
Get-VMComPort -VMName MobyLinuxVM | fl | Out-String
如果MobyLiunxVM正常地启动，我们就应该可以确认Hyper-V集成服务是在运行着的。
Get-VMIntegrationService -VMName MobyLinuxVM -Name "Key-Value Pair Exchange"
并且com.docker.proxy.exe的DHCP服务提供了一个到VM的IP，通过该IP我们可以查询Hyper-V集成服务：
$(Get-VM MobyLinuxVM).NetworkAdapters[0]
排错
所有的配置都放在%APPDATA%\Docker\文件夹下面，当漫游设置开启的时候，这个文件夹被复制在该主机的企业设置中。所有日志存放在%LOCALAPPDATA%\Docker\文件夹下面。
可以通过如下PowerShell脚本去监控最新的日志：
gc $(gi $env:LocalAppData\Docker\* | sort LastAccessTime -Desc | select -First - 1) -Wait
一旦有事件写入日志文件将会被自动刷新。
Docker ToolBox 迁移
在Windows上切换至Hyper-V角色的话将会关闭VirtualBox（其实直到你关闭Hypver-V并重启之前都不可能用Docker ToolBox）。如果检测到Docker Toolbox已经安装了，那么会提供一个整合路径（基于 qemu-img 方式的）。这将会把 %USERPROFILE%.docker\machine\machines\<machine-name>\disk.vmdk 路径下的磁盘转换成vhdx格式：
qemu-img.exe convert <path-to-vmdk> -O vhdx -o subformat=dynamic -p "C:\Users\Public\Documents\Hyper-V\Virtual hard disks\MobyLinuxVM.vhdx\"
如果你已经通过Hyper-V使用Docker-Machine和Docker-Compose了，你也可以同时用Docker的Windows客户端这么做一遍。
挂载卷
基于Windows下的Docker的其中一个较大的改进是承诺的卷如何挂载的问题。一个便利的对话框模式提供了我们所需要的一切。
目前的改进将是共享整个存储（不包括单独的文件夹）。开启共享的时候需要提供凭据。
凭据信息伴随着“Docker Host Filesystem Access” 目标 被存储在了Windows > Control Panel > Credential Manager > Windows Credentials Store路径下，这是通过 System.Security.Cryptography 随着当前用户进行加密的。
如果凭据管理器已经包含了指定的目标凭据，他们将被覆盖。
接下来，可以看到存储器被共享在了Windows主机上：
net share C=C:\ /grant:<username>,FULL /CACHE:None
Samba的共享方式现在将会被挂载到MobyLinuxVM上，并且会通过Hyper-V的 Key-Value交换服务 进行自动操作。这里是细节方面的 解释 。
工作方式应该像下面描述的那样：Windows主机将一个 mount authentication token 令牌打包放进了VMBus中的 KvpExchangeDataItem 类里：
class Msvm_KvpExchangeDataItem : CIM_ManagedElement
{
uint16 Source = 0;
string Name = "cifsmount";
string Data = "authToken";
};
认证令牌是包含挂载点和安装选项的序列化的字符串：
/c;/C;username=<username>,password=<password>,noperm
在Alpine上，是 hv_utils 核心驱动模块通知 hv_kvp_daemon 。这个守护进程把kvp写进了池文件里（/var/lib/hyperv/.kv_pool_**）。
此时，MobyLinuxVM需要构建一个目录，并且从主机上挂载该共享目录-但是这一次写入的时候是失败了的：
#for both upper and lower case mount -t cifs //10.0.75.1/C /C -o username=<username>, password=<password>,noperm
如果共享是工作正常的，那么我们的docker客户端将会经由 com.docker.proxy.exe 通过开启的端口发送任何卷的挂载信息，该代理会在需要的时候重写该路径：例如C:\Users\test\变成/C/Users/test，这可以让我们把Windows的目录挂载到我们的Docker容器中。
然而，由于SMB协议的原因（缺少inotify和symlinks的支持）使得我们这么做这仍然会有限制，这将会导致实时重置。
排错：我们可以通过以下的PowerShell脚本来验证令牌是否存在：
$VmMgmt = Get-WmiObject -Namespace root\virtualization\v2
-Class ` Msvm_VirtualSystemManagementService
$vm = Get-WmiObject -Namespace root\virtualization\v2
-Class ` Msvm_ComputerSystem -Filter {ElementName='MobyLinuxVM'}
($vm.GetRelated("Msvm_KvpExchangeComponent")[0] `
).GetRelated("Msvm_KvpExchangeComponentSettingData").HostExchangeItems | % { `
$GuestExchangeItemXml = ([XML]$_).SelectSingleNode(`
"/INSTANCE/PROPERTY[@NAME='Name']/VALUE[child::text() = 'cifsmount']")
if ($GuestExchangeItemXml -ne $null)
{
$GuestExchangeItemXml.SelectSingleNode(`
"/INSTANCE/PROPERTY[@NAME='Data']/VALUE/child::text()").Value
}
}
目前为止，我还没有弄清楚在Alpine主机上是由哪个进程去监控 var/lib/hyperv/.kv_pool_0 这个文件的。
私有仓库
现在的Windows Beta版本目前还不支持 DOCKER_OPTS 和TLS证书。像下面一样，我们可以获得到MobyLinuxVM的根账号访问权限：
#get a privileged container with access to Docker daemon docker run --privileged -it --rm -v /var/run/docker.sock:/var/run/docker.sock -v /usr/bin/docker:/usr/bin/docker alpine sh #run a container with full root access to MobyLinuxVM and no seccomp profile (so you can mount stuff) docker run --net=host --ipc=host --uts=host --pid=host -it --security-opt=seccomp=unconfined --privileged --rm -v /:/host alpine /bin/sh #switch to host FS chroot /host
闲逛该VM的时候发现了下面的一些东西：
这个基于Alpine的VM使用OpenRC作为它的 初始化系统 。
rc-status
显示所有的服务状态的时候，我们会发现一些定义的脚本并没有部署状态，并且显示是“崩溃的”，尽管这些进程看起来其实是运行的（ps -a）。
Docker初始化脚本依赖于 /usr/bin/mobyconfig 脚本。该脚本要求内核伴随着 com.docker.database 标签定义的文件配置的位置启动。如果该标签存在- /Database 使用 Docker for Mac的原始文件系统 Plan 9 Filesystem Protocol 挂载。
该 mobyconfig 可以检索网络并且为Docker守护进程取消加密，或者从 /etc/docker/daemon.json 中获取配置文件。一旦全面实施，将会是一个很有前景的解决方案。
由于整个磁盘是一个只有 /var/ 固定挂载点的临时文件的系统是固定存在的（挂载到 /dev/sda2 ），更改的任何脚本在重新引导时不会持续运行。这将可以临时改变Docker选项并且通过 /etc/init.d/docker restart 命令重启守护进程。
总结
许多的改进将会随着基于Windows的Docker客户端而来，我们期待下次在MAC上的Docker客户端的测试。原文链接：Docker For Windows Beta （翻译：薛开成）
===========================================
译者介绍
薛开成 ，趋势科技南京研发中心工程工具服务事业部基础架构高级工程师，负责容器仓库实施及落地。
原文发布时间为：2016-04-25
本文作者：绝地魔影
本文来自云栖社区合作伙伴DockerOne，了解相关信息可以关注DockerOne。
原文标题：Windows的Docker Beta版本
