Docker işləyən konteynerlər arasında izolasyonu necə təmin edir?

Docker Linux əməliyyat sisteminin bir neçə əsas mexanizmi vasitəsilə konteynerlər arasında izolyasiya təmin edir:

1. Namespaces (adlar sahələri) — prosesləri, şəbəkəni, fayl sistemini və digər resursları izolyasiya edir. Məsələn:

   • PID namespace — prosesləri izolyasiya edir, beləliklə, bir konteynerdəki proseslər digər prosesləri görməz.
   • Şəbəkə namespace — hər konteyner üçün ayrı şəbəkə interfeysləri və IP ünvanları.
   • Mount namespace — fayl sistemini izolyasiya edir.

2. Control Groups (cgroups) — hər konteynerin CPU, yaddaş, disk, şəbəkə resurslarından istifadəsini məhdudlaşdırır və idarə edir, beləliklə, bir konteyner digərinin performansına təsir etməz.

3. Union File Systems (OverlayFS, AUFS və s.) — hər konteyner üçün ümumi əsas görüntü üzərində izolyasiya olunmuş fayl sistemləri yaratmağa imkan verir.

4. Capacities və Təhlükəsizlik Modulları (məsələn, SELinux, AppArmor) — konteyner daxilində proseslərin hüquqlarını məhdudlaşdırır, təhlükəsizliyi artırır.

Bu şəkildə, Docker əməliyyat sisteminin nüvəsinin imkanlarından istifadə edərək, yüngül və izolyasiya olunmuş mühitlər yaradır ki, onlar bir-birindən müstəqil işləyir.