Dockerのimage, container, Dockerfile

はじめに

Dockerのイメージ(image)、コンテナ(container)、Dockerfileの違いがよく分からなかったので調べてみた。

巷ではよく、コンテナはイメージをレイヤーごとに重ねたもので、Dockerfileは設計書と言われる。 イメージには

• Linuxファイルシステムや
• アプリケーションといったファイルやディレクトリ が含まれていて、build/runすることでコンテナという形になり、アプリが実行可能になる。

このような説明を聞いて、私はすっと内容が頭に入ってこなかった。 分からない点は

• ファイルシステムとは？
• レイヤーとは何を表しているのか？
• イメージの集合がコンテナなのか？ という点である。

LLMと問答していると、数学の言葉で説明したほうが個人的にわかりやすいと感じたので、この記事にメモした。 先行研究が見つからなかったので、必ずしも正しい話ではないことに注意しながら読んでほしい。

結論をいえば、ファイルシステムとはパスからノードへの部分関数であり、レイヤーとはそのファイルシステム状態への変更操作（差分）である。イメージは差分の列と実行設定の組であり、コンテナはイメージを評価したファイルシステム状態の上に書き込み可能な差分を重ねた実行中の状態である。「イメージの集合がコンテナ」ではなく、「イメージから生成された一時的な実行環境」がコンテナである。

ファイルシステム

パス

パス全体の集合を$\mathcal{P}$とすると、その元$p \in \mathcal{P}$は例えば

$$\mathrm{/bin/sh}, \qquad \mathrm{/etc/os-release}, \qquad \mathrm{tmp/x}$$

のような名前付きの位置を表す。

対象

ファイルシステム上の対象（ノード）全体の集合を$\mathcal{N}$とする。各ノード$n \in \mathcal{N}$には、

$$n = (\mathrm{type}, \mathrm{content}, \mathrm{metadata})$$

という組みであると考える。ここで、

• $\mathrm{type}$はファイル、ディレクトリ、symlinkなどの種別
• $\mathrm{content}$は内容
• $\mathrm{metadata}$は権限、所有者、時刻 を表す。

ファイルシステム

ファイルシステム状態とは、パスからノードへの部分関数

$$F : \mathcal{P} \rightharpoonup \mathcal{N}$$

である。パスがあるからと言って、ファイルが必ずしも存在するとは限らないので、部分関数という取り扱いをしている。すなわち、あるパス$p$に対して、$F(p)$が定義されていないことがある。例えば、次のような例である：

$$F_0 = \{ \text{/bin/sh} \mapsto n_\mathrm{sh}\,, \text{/etc/os-release} \mapsto n_\mathrm{os} \}$$

これは二つのみ対象が存在するファイルシステム状態である。

/bin/sh
/etc/os-release

という構成のほうが見やすいかもしれない。ここで$\text{/bin/sh}\mapsto n_\mathrm{sh}$は「パス$\text{/bin/sh}$にノード$n_\mathrm{sh}$が対応している」という意味である。

ファイルシステム状態

ファイルシステム状態全体の集合を$\mathcal{F}$と書く。したがって、上記のファイルシステム状態は$F \in \mathcal{F}$であった。

差分

差分$\delta$とは、ファイルシステム状態を別の状態に移す写像である：

$$\delta: \mathcal{F} \to \mathcal{F}$$

である。差分全体の集合を$\Delta$とし、$\delta$は$\delta \in \Delta$である。差分には「追加」「変更」「削除」の三つがある。

差分：追加

差分「$\text{/tmp/x}$に内容helloを持つファイルを追加する差分」を$\delta_\mathrm{add}$とし、状態$F$に対して適用したものを$\delta_\mathrm{add}(F)$としてみよう。これは、状態$F$に対して、$\text{/tmp/x}$が新たに定義された状態を返す。

たとえば、

$$F_0 = \{ \text{bin/sh} \mapsto n_\mathrm{sh} \}$$

なら、

$$F_1 = \delta(F_0) = \{ \text{bin/sh} \mapsto n_\mathrm{sh}\,, \text{tmp/x} \mapsto n_\mathrm{hello} \}$$

である。

差分：削除

差分「$\text{/tmp/x}$に内容helloを持つファイルを削除する差分」を$\delta_\mathrm{del}$とする。つまり、

$$\delta_\mathrm{del}(F_1) = F_1\backslash \{ \text{tmp/x} \mapsto n_\mathrm{hello} \} =F_0$$

差分：変更

差分「$\text{/tmp/x}$に内容helloを持つファイルを変更する差分」を$\delta_\mathrm{mod}$とする。つまり、

$$\delta_\mathrm{mod}(F_1) = F_1 \backslash \{ \text{tmp/x} \mapsto n_\mathrm{hello} \} \cap \{ \text{/tmp/x} \mapsto n^\mathrm{(new)}_\mathrm{hello} \}$$

レイヤーとイメージ

Dockerにおけるレイヤーは、この意味での差分$\delta \in \Delta$として理解できる。すなわち、レイヤーとはファイルシステム状態全体に対する変更操作である。

差分列とイメージ

差分の有限列全体の集合を$\Delta^\ast$とする。その元は$L = (\delta_1, \ldots , \delta_n) \in \Delta^\ast$の形をしている。

イメージに埋め込まれる実行設定の集合を$\mathcal{E}$としよう。その元$e \in \mathcal{E}$には、たとえば次のようなコマンドが含まれる：

• CMD
• ENTRYPOINT
• ENV
• WORKDIR
• USER

イメージ全体の集合を

$$\mathcal{I} = \Delta^\ast \times \mathcal{E}$$

と定める。すなわち、あるイメージ$I \in \mathcal{I}$は$I = (L, e)$という組みである。ここで、

• $L$はファイルシステムの差分の列
• $e$は実行設定 を表す。

イメージは「一つの完成済みのディレクトリ」ではなく

1. ルートファイルシステムを作る差分列
2. その上で対象がどう起動するかの設定 の組である。

An OCI Image is an ordered collection of root filesystem changes and the corresponding execution parameters for use within a container runtime. This specification outlines the JSON format describing images for use with a container runtime and execution tool and its relationship to filesystem changesets, described in Layers. OCI Image Configurationより引用

Dockerfile

実際にDockerを使うとき、すでに存在するイメージを利用することがある。そのようなイメージをベースイメージ$I_\mathrm{base} \in \mathcal{I}$とする。たとえば、alpine、ubuntu、python:3.13などは、この意味でのベースイメージである。

DockerfileにあるコマンドFROM alpineは既存のイメージ$I_\mathrm{alpine} \in \mathcal{I}$を初期として採用する操作である。

COPYやADDによって参照される入力ファイル集合を$X$とする。これをビルドコンテキストと呼ぶこととする。

Dockerfile $D$のbuildは、概念的には

$$B_D: \mathcal{I} \times X \to \mathcal{I}$$

である。すなわち、Dockerfileによるビルドはベースイメージとビルドコンテキストを入力として、新しいイメージを返す操作である。したがって、Dockerfileはコンテナの設計書ではなく、厳密にはイメージを生成する規則である。

---

Dockerfileの各命令をもう少し詳しくみるために、現在のイメージを$I = (L, e)$としておこう。

FROM

FROM bは、既存イメージ$b \in \mathcal{I}$を初期値として採用する操作である。

COPY

COPY a:tは、ビルドコンテキストのファイル$a$をターゲットパス$t$に配置する差分 $\delta_\mathrm{copy}$ を生成し、

$$(L, e) \mapsto (L +\!\!+ [\delta_\mathrm{copy}], e)$$

へ写す。ここで$+\!\!+$は列の連結を表す。

RUN

RUN cmdは、ビルド時にコマンドを実行し、その結果生じる差分 $\delta_\mathrm{run} \in \Delta$ を追加する操作である。すなわち

$$(L, e) \mapsto (L +\!\!+ [\delta_\mathrm{run}], e)$$

へ写す。

CMD, ENTRYPOINT, ENV, WORKDIR, USER

CMD、ENTRYPOINT、ENV、WORKDIR、USERはファイルシステムの差分を増やすのではなく、設定$e$を更新する操作である。たとえば、CMD cは

$$(L, e) \mapsto (L, e^\prime)$$

という形の更新であり、新しいファイルシステムのレイヤーを作らない。

コンテナ

イメージの評価

イメージ$I = (L, e)$の差分列$L = (\delta_1, \ldots, \delta_n)$を空のファイルシステム状態$F_\emptyset$に順次適用することで得られるファイルシステム状態を

$$F_I = \delta_n(\cdots(\delta_1(F_\emptyset))\cdots)$$

と書く。これはイメージを「評価」した結果であり、読み取り専用として固定される。

書き込み可能レイヤー

コンテナが起動すると、$F_I$の上に新たな書き込み可能な差分$\delta_\mathrm{rw} \in \Delta$が追加される。コンテナ上でのファイル操作はすべてこの$\delta_\mathrm{rw}$に反映される。コンテナ上でのファイルシステムの実効状態は

$$\delta_\mathrm{rw}(F_I)$$

である。

コンテナ

コンテナ全体の集合を$\mathcal{C}$とする。コンテナ$c \in \mathcal{C}$は

$$c = (F_I,\ \delta_\mathrm{rw},\ e,\ \sigma)$$

という組みである。ここで、

• $F_I$はイメージから得られる読み取り専用のファイルシステム状態
• $\delta_\mathrm{rw}$はコンテナ起動後の書き込み可能な差分（初期値は恒等写像$\mathrm{id}$）
• $e$は実行設定
• $\sigma$はプロセスの実行状態（$\mathrm{running}$, $\mathrm{stopped}$, $\mathrm{exited}$など）

を表す。

docker run

docker runはイメージからコンテナを生成する操作であり、

$$\mathrm{run}: \mathcal{I} \to \mathcal{C}$$

と書ける。具体的には、$I = (L, e)$に対して

$$\mathrm{run}(I) = (F_I,\ \mathrm{id},\ e,\ \mathrm{running})$$

である。$\mathrm{id}$は恒等写像（何も変更しない差分）を表す。

一つのイメージ$I$から複数のコンテナを起動できる。各コンテナは独立した$\delta_\mathrm{rw}$を持つため、互いのファイルシステムへの書き込みは干渉しない。

コンテナの停止と削除

docker stopでコンテナを停止しても、$\delta_\mathrm{rw}$は保持される。docker rmでコンテナを削除すると、$\delta_\mathrm{rw}$は破棄される。イメージ$I$は不変であるため、コンテナを削除しても$F_I$は影響を受けない。

まとめ

本記事で導入した概念を整理する。

概念	形式的な定義	役割
ファイルシステム状態	$F : \mathcal{P} \rightharpoonup \mathcal{N}$	パスからノードへの部分関数
レイヤー（差分）	$\delta : \mathcal{F} \to \mathcal{F}$	ファイルシステム状態への変更操作
イメージ	$I = (L, e) \in \Delta^\ast \times \mathcal{E}$	差分列と実行設定の組
Dockerfile	$B_D : \mathcal{I} \times X \to \mathcal{I}$	イメージを生成する規則
コンテナ	$c = (F_I,\ \delta_\mathrm{rw},\ e,\ \sigma)$	イメージを評価し実行中の状態

これらの関係は次のように図示できる：

$$X,\ I_\mathrm{base} \xrightarrow{\ B_D\ } I \xrightarrow{\ \mathrm{run}\ } c$$

• Dockerfileはベースイメージとビルドコンテキストから新しいイメージを生成する規則である。「コンテナの設計書」ではなく、正確には「イメージを生成する規則」である。
• イメージは差分列と実行設定の組であり、不変（immutable）である。
• コンテナはイメージを評価したファイルシステム状態$F_I$の上に書き込み可能な差分$\delta_\mathrm{rw}$を重ねた、実行中の状態である。コンテナを削除すると$\delta_\mathrm{rw}$は失われるが、イメージ$I$は影響を受けない。