Windows 容器与 Linux 容器：隔离模型与混合部署

Linux 容器：所有容器共享宿主 Linux 内核
  - 镜像层 = 文件系统差异（OverlayFS CoW）
  - 隔离 = namespaces + cgroups

Windows 容器：容器与宿主共享 Windows 内核（进程隔离）
  - 镜像基于 Windows OS 组件（System + 服务层）
  - 隔离 = Job Objects + 命名空间（Windows 的进程与内核隔离）
  - 或 Hyper-V 隔离：每个容器跑在独立轻量 VM 上（独立内核）

宿主 Windows Server 2022（10.0.20348）：
  - 可运行 2022、2019、2016（LTSB）的容器镜像
  - 不能运行 2025 的镜像（版本更高，拒绝加载）

宿主 Windows Server 2025（10.0.26100）：
  - 可运行 2025 及以下所有历史镜像

# 查看宿主 OS 版本（决定可用的基础镜像版本）
[System.Environment]::OSVersion.Version

# Docker 检测 Windows 容器模式
docker info --format "{{.OSType}} {{.OperatingSystem}}"

# 进程隔离（默认，需 Windows 容器模式）
docker run --isolation=process -d mcr.microsoft.com/windows/servercore:ltsc2022

# Hyper-V 隔离（每个容器一个轻量 VM）
docker run --isolation=hyperv -d mcr.microsoft.com/windows/servercore:ltsc2022

# 查看当前模式
docker info --format "{{.Isolation}}"

Hyper-V 隔离 = 每个容器配一个精简 VM
  - 有独立 Windows 内核（从镜像中引导）
  - 有独立的内存分配（VM 内存，非共享）
  - 启动时间与 VM 引导相关，通常 2-10 秒

对比进程隔离：
  进程隔离共享宿主内核，快但隔离薄
  "Windows 容器和 Linux 容器一样都跑在轻量 VM" 是常见误读：
    只有 Hyper-V 隔离才如此，进程隔离不是

# Nano Server + .NET 8（推荐新应用）
FROM mcr.microsoft.com/dotnet/aspnet:8.0-nanoserver-ltsc2022
WORKDIR /app
COPY --from=build /app/out .
ENTRYPOINT ["dotnet", "MyApp.dll"]

# Server Core + 传统 .NET Framework（旧应用迁移）
FROM mcr.microsoft.com/dotnet/framework/aspnet:4.8-windowsservercore-ltsc2022
WORKDIR /inetpub/wwwroot
COPY --from=build /app/_PublishedWebsites/MyApp ./MyApp

LCOW 架构：
  Windows Docker Engine
    └── Moby Linux VM（运行 Linux 容器）  ← 每个 Linux 容器共享此 VM
    └── Windows 容器（进程/Hyper-V 隔离）

现状：LCOW 曾长期 experimental，官方已转向 WSL2 方案

WSL2 = Windows Subsystem for Linux 2
  - 真正的 Linux 内核（微软维护的 WSL2 内核）运行在轻量 VM 中
  - Docker Desktop 基于 WSL2 跑完整 Linux Docker Engine
  - 宿主与 Linux 之间通过 /mnt/wsl 与 localhost 互通

好处：
  - 与生产 Linux Docker 完全一致的镜像/命令
  - 文件 IO 大幅快于旧 Hyper-V WSL1
  - 支持 Docker Compose、Buildx 等完整功能

# 启用 WSL2（管理员 PowerShell）
wsl --install -d Ubuntu-24.04
wsl --set-default-version 2

# 安装后验证
wsl -l -v
# NAME            STATE           VERSION
# Ubuntu-24.04    Running         2

# 查看镜像的 OS 平台
docker manifest inspect mcr.microsoft.com/windows/servercore:ltsc2022 \
  | jq -r '.manifests[].platform | "\(.os)/\(.architecture)/\(.variant)"'

# 强制拉取指定平台
docker pull --platform windows/amd64 mcr.microsoft.com/dotnet/aspnet:8.0

# 当前引擎的平台信息
docker info --format "{{.OSType}} {{.Architecture}}"

□ 同一 tag 可承载多平台（manifest list），确保含 windows/amd64 条目
□ Harbor/ECR 的复制策略按平台区分，别把 Windows 镜像复制给 Linux 节点
□ 扫描工具：Trivy 支持 Windows 镜像，但漏洞库覆盖需留意
□ CI 中 Windows 镜像构建需 Windows Runner，别在 Linux Runner 上 build

# GitHub Actions 用 windows runner 构建 Windows 镜像
jobs:
  build-windows:
    runs-on: windows-latest
    steps:
      - uses: actions/checkout@v4
      - name: 构建 Windows 容器镜像
        run: docker build -t registry.example.com/app:$env:GITHUB_SHA .
      - name: 推送
        run: docker push registry.example.com/app:$env:GITHUB_SHA

# 启动 Docker（Windows 容器模式）
Start-Service docker
docker info --format "{{.OSType}}"   # 应为 windows

# 切换 Linux/Windows 容器模式（旧版 Docker EE 用 -SwitchDaemon）
# Docker Desktop：托盘图标切换；Server 上用 dockerd 配置

# 常见运维
docker ps
docker stats
docker logs <cid>
docker system prune -f

Windows 容器存储：
  - 默认层存储位于 C:\ProgramData\Docker
  - 层叠文件系统用 Windows 的 differ（非 OverlayFS）
  - Hyper-V 隔离：层存于虚拟磁盘（VHDX）

日志：
  - 默认与 Docker 一致（json-file / ETW）
  - 生产建议统一走 Fluentd/Loki 等日志驱动

# 给容器配置日志轮转（与 Linux 一致）
docker run -d --log-opt max-size=10m --log-opt max-file=3 myapp

# Windows 容器支持内存与 CPU 限制（--cpus/--memory 同样适用）
docker run -d --cpus=2 --memory=2g --isolation=hyperv myapp

# 查看容器实际资源占用
docker stats

# 查看容器最近事件（Windows 事件日志）
Get-WinEvent -LogName Microsoft-Windows-Docker-* | Select-Object -First 10

# 容器退出码与详情
docker inspect -f "{{.State.ExitCode}} {{.State.Error}}" <cid>

# 进入容器诊断（Server Core 内可用 powershell）
docker exec -it <cid> powershell -Command "Get-Process"

# 宿主侧检查容器进程（job object）
Get-Process -Id (docker inspect -f "{{.State.Pid}}" <cid>)

□ 无 nsenter / /proc 查看 cgroup——用 Windows 工具与事件日志
□ exec 默认进 powershell（非 bash），命令语法不同
□ 网络排查：Windows 容器默认 NAT，用 docker network ls 与 ipconfig
□ 抓包：容器内可用 pktmon（Windows 内置），而非 tcpdump

# Windows 容器内网络排查
docker exec -it <cid> powershell -Command "ipconfig /all"
docker exec -it <cid> powershell -Command "Test-NetConnection -ComputerName 10.0.0.5 -Port 5432"

# Windows 节点（nodeSelector 约束到 Windows 工作负载）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: legacy-iis
spec:
  replicas: 2
  selector:
    matchLabels: { app: legacy-iis }
  template:
    metadata:
      labels: { app: legacy-iis }
    spec:
      nodeSelector:
        kubernetes.io/os: windows
      containers:
        - name: legacy
          image: mcr.microsoft.com/dotnet/framework/aspnet:4.8-windowsservercore-ltsc2022

# Linux 工作负载走默认调度（无需 nodeSelector）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: api
spec:
  replicas: 3
  selector:
    matchLabels: { app: api }
  template:
    metadata:
      labels: { app: api }
    spec:
      containers:
        - name: api
          image: registry.example.com/api:1.4.2

□ 明确节点角色：Windows 节点只跑 Windows 镜像（污点/节点选择器锁定）
□ 网络：Windows 容器走 overlay/VXLAN 需确认 CNI 支持（calico/flannel 均支持）
□ 服务发现：两种容器统一用 DNS/K8s Service，跨 OS 也可互通
□ 监控：cAdvisor/Windows Exporter 分别采集，统一进 Prometheus
□ 存储：Windows 容器用 Windows 卷（NTFS），别期望 ext4 语义