Что хотят услышать интервьюеры:

Docker — это не полноценная виртуальная машина, а механизм изоляции процессов в Linux с помощью namespaces и cgroups. Контейнеры используют общее ядро хоста, но при этом выглядят как отдельные окружения с собственной сетью, файловой системой и PID-пространством. Управление контейнерами строится вокруг образов, слоёв, runtime и демона Docker.

Определение:

Docker — это платформа для упаковки приложения и его зависимостей в образ и запуска этого образа как контейнера. Внутри Docker опирается на несколько ключевых механизмов Linux: namespaces изолируют процессы, сеть и файловую систему, а cgroups ограничивают потребление CPU, памяти и других ресурсов. Файловая система контейнера обычно собирается из слоёв через union filesystem, что позволяет эффективно переиспользовать базовые образы.

На уровне управления Docker работает так: пользователь взаимодействует с docker CLI, который отправляет запросы демону dockerd. Демон создаёт контейнер, подготавливает файловую систему, сеть и ограничения ресурсов, а затем запускает процесс через низкоуровневый runtime, например runc. Контейнер живёт ровно столько, сколько живёт основной процесс внутри него.

Пример использования:

Типичный сценарий — запуск веб-приложения и базы данных в изолированных контейнерах, чтобы они не конфликтовали с системными библиотеками и версиями пакетов.

docker run -d --name web -p 8080:80 nginx:latest
docker run -d --name db -e POSTGRES_PASSWORD=secret postgres:16

В этом примере Docker скачивает образы, создаёт контейнеры, настраивает для них сеть и запускает процессы внутри изолированной среды.

Пояснение кода:

Код здесь не требуется, потому что вопрос про внутреннее устройство Docker и управление контейнерами, а не про написание программы.

Разбор примера по шагам:

docker run сообщает Docker создать и запустить контейнер на основе образа.
Если образа нет локально, Docker скачивает его из registry.
Docker создаёт writable-слой поверх набора read-only слоёв образа.
Через namespaces контейнер получает изолированные PID, сеть, mount namespace и другие области видимости.
Через cgroups Docker ограничивает ресурсы контейнера.
Runtime запускает основной процесс контейнера.
Пока этот процесс работает, контейнер существует; процесс завершился — контейнер остановился.

Ключевые моменты:

Docker-контейнеры изолируют процессы, но используют общее ядро хоста.
Namespaces отвечают за изоляцию окружения, cgroups — за лимиты ресурсов.
Образы состоят из слоёв, что ускоряет сборку и повторное использование.
Контейнер — это не “лёгкая VM”, а запуск процесса в изолированном пространстве.
Управление контейнерами идёт через dockerd и low-level runtime, а не напрямую через CLI.
Жизненный цикл контейнера привязан к главному процессу внутри него.

Могли бы вы объяснить внутренние механизмы работы Docker и как он управляет контейнерами?