Welche Methoden verwendet Docker, um die Isolierung zwischen laufenden Containern zu gewährleisten?

Docker sorgt für Isolation zwischen Containern durch mehrere wichtige Mechanismen des Linux-Betriebssystems:

1. Namespaces (Namensräume) — isolieren Prozesse, Netzwerk, Dateisystem und andere Ressourcen. Zum Beispiel:

   • PID-Namespace — isoliert Prozesse, sodass Prozesse in einem Container die Prozesse eines anderen nicht sehen.
   • Netzwerk-Namespace — separate Netzwerkschnittstellen und IP-Adressen für jeden Container.
   • Mount-Namespace — isoliert das Dateisystem.

2. Control Groups (cgroups) — begrenzen und steuern die Ressourcennutzung (CPU, Speicher, Festplatte, Netzwerk) jedes Containers, um die Leistung anderer Container nicht zu beeinträchtigen.

3. Union-Dateisysteme (OverlayFS, AUFS usw.) — ermöglichen die Erstellung isolierter Dateisysteme für jeden Container auf einer gemeinsamen Basis-Image.

4. Capabilities und Sicherheitsmodule (z.B. SELinux, AppArmor) — beschränken die Rechte der Prozesse innerhalb des Containers zur Erhöhung der Sicherheit.

Auf diese Weise nutzt Docker die Funktionen des Linux-Kernels, um leichte, isolierte Umgebungen zu schaffen, die unabhängig voneinander arbeiten.