На каких технологиях основана контейнеризация Docker, в том числе?

Основана на следующих ключевых технологиях:

• Cgroups (Control Groups): Механизм ядра Linux, позволяющий ограничивать, изолировать и отслеживать использование ресурсов (CPU, память, дисковый ввод-вывод, сетевой ввод-вывод) группами процессов. Позволяет Docker управлять ресурсами, выделяемыми каждому контейнеру.
• Namespaces (Пространства имен): Еще один механизм ядра Linux, используемый для изоляции ресурсов операционной системы. Docker использует следующие пространства имен:
  • Pid (Process ID): Изоляция процессов, каждый контейнер имеет свое независимое пространство PID.
  • Net (Networking): Изоляция сетевого стека, каждый контейнер имеет свои сетевые интерфейсы, IP-адреса и маршруты.
  • Mnt (Mount): Изоляция точек монтирования, файловая система внутри контейнера не видит файловую систему хоста (кроме явно примонтированных).
  • Uts (Unix Time-sharing System): Изоляция имени хоста и доменного имени.
  • Ipc (Inter-Process Communication): Изоляция межпроцессного взаимодействия.
  • User: Изоляция пользовательских ID (в некоторых конфигурациях).
• Union File Systems (UnionFS): Файловая система, которая позволяет прозрачно накладывать одну файловую систему поверх другой. Docker использует UnionFS (например, OverlayFS, AUFShistorically) для создания слоистых образов. Каждый слой образа представляет собой набор изменений, а контейнер создается путем объединения этих слоев с дополнительным доступным для записи слоем.
• Container Runtime (Контейнерный рантайм): Компонент, ответственный за запуск и управление жизненным циклом контейнера. Docker раньше использовал свой собственный рантайм (LXC, а затем docker-containerd). В настоящее время Docker использует стандартизированный рантайм containerd, который соответствует спецификации Open Container Initiative (OCI).

// Пример концепции использования Cgroups и Namespaces на низком уровне (концептуальный)
package main

import (
	"os"
	"os/exec"
	"syscall"
)

func main() {
	// Создание команды для запуска нового процесса
	cmd := exec.Command("/bin/sh")

	// Применение новых пространств имен: PID для изоляции процессов, UTS для имени хоста
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Cloneflags: syscall.CLONE_NEWPID | syscall.CLONE_NEWUTS,
	}

	// Запуск команды
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.Stderr = os.Stderr

	// Этот код не включает конфигурацию cgroups для ограничения ресурсов
	// или union file systems для слоистого хранилища, что является ключевыми частями Docker.
	// Это лишь демонстрация базовых концепций Namespaces.

	if err := cmd.Run(); err != nil {
		panic(err)
	}
}