На чем основана изоляция контейнеров в Docker?

Изоляция контейнеров в Docker основана на следующих основных технологиях и механизмах ядра Linux:

1. Namespaces (Пространства имен): Позволяют изолировать видимость и доступ к системным ресурсам. Docker использует несколько типов Namespaces:

   • PID namespace: Изолирует процессы, каждый контейнер видит только свои процессы (PID 1 внутри контейнера).
   • Net namespace: Изолирует сетевой стек (сетевые интерфейсы, IP-адреса, порты, правила маршрутизации).
   • Mnt namespace: Изолирует точки монтирования файловой системы.
   • UTS namespace: Изолирует hostname и доменное имя.
   • IPC namespace: Изолирует inter-process communication (IPC) ресурсы (семафоры, разделяемая память).
   • User namespace: Изолирует ID пользователей и групп.

2. Control Groups (cgroups): Позволяют ограничивать и контролировать потребление системных ресурсов (CPU, память, I/O, сетевой трафик) для групп процессов. Docker использует cgroups для:

   • Ограничения количества CPU или доли процессорного времени.
   • Ограничения доступной памяти.
   • Приоритизации или ограничения ввода/вывода диска