На чем основана изоляция в Docker?

Изоляция в Docker основана на использовании возможностей ядра Linux: namespaces и cgroups.

• Namespaces (Пространства имен) предоставляют изоляцию ресурсов на уровне имен. Каждый контейнер получает свой набор пространств имен, что позволяет ему "видеть" только свои ресурсы и процессы. Основные namespaces:

  • PID (Process ID): Изоляция списка процессов. Внутри контейнера PID 1 является init-процессом.
  • NET (Network): Изоляция сетевого стека. У контейнера есть свой сетевой интерфейс(ы), IP-адрес(а), таблица маршрутизации, правила iptables.
  • UTS (Unix Time-sharing System): Изоляция имени хоста и доменного имени.
  • MNT (Mount): Изоляция файловой системы. Контейнер имеет свое корневое пространство монтирования.
  • USER: Изоляция идентификаторов пользователей и групп (UID/GID). Позволяет root в контейнере быть обычным пользователем на хосте.
  • IPC (Inter-Process Communication): Изоляция средств межпроцессного взаимодействия (семафоры, разделяемая память).

• Cgroups (**Control Groups