Какви методи за изолация предоставя Linux за контейнери?

Linux предоставя няколко механизма за изолация, които се използват за контейнеризация:

• Namespaces — изолират различни аспекти на системата:

  • PID namespace — изолация на процесите.
  • Mount namespace — изолация на файловата система.
  • Network namespace — изолация на мрежовите интерфейси.
  • UTS namespace — изолация на името на хоста и домейна.
  • IPC namespace — изолация на межпроцесното взаимодействие.
  • User namespace — изолация на потребителите и групите.

• Control Groups (cgroups) — ограничават и контролират използването на ресурси (CPU, памет, диск, мрежа) за група процеси.

• Capabilities — позволяват да се ограничи привилегиите на процесите, намалявайки правата в сравнение с root.

• Seccomp — филтриране на системните извиквания за повишаване на сигурността.

Заедно тези механизми осигуряват изолация и контрол, позволявайки стартирането на контейнери с ограничени ресурси и минимални права, което повишава сигурността и управляемостта.