Ποια είναι η βάση της απομόνωσης των κοντέινερ στο Docker;

Ο απομονωτισμός κοντέινερς στο Docker βασίζεται στις ακόλουθες βασικές τεχνολογίες και μηχανισμούς του πυρήνα Linux:

1. Namespaces (Χώροι ονομάτων): Επιτρέπουν την απομόνωση της ορατότητας και της πρόσβασης στους πόρους του συστήματος. Το Docker χρησιμοποιεί διάφορους τύπους Namespaces:

   • PID namespace: Απομονώνει τις διεργασίες, κάθε κοντέινερ βλέπει μόνο τις δικές του διεργασίες (PID 1 μέσα στο κοντέινερ).
   • Net namespace: Απομονώνει το δίκτυο (δικτυακές διεπαφές, διευθύνσεις IP, θύρες, κανόνες δρομολόγησης).
   • Mnt namespace: Απομονώνει τα σημεία τοποθέτησης του συστήματος αρχείων.
   • UTS namespace: Απομονώνει το hostname και το όνομα τομέα.
   • IPC namespace: Απομονώνει τους πόρους επικοινωνίας μεταξύ διεργασιών (σεμαφόροι, κοινή μνήμη).
   • User namespace: Απομονώνει τα IDs χρηστών και ομάδων.

2. Control Groups (cgroups): Επιτρέπουν τον περιορισμό και τον έλεγχο της κατανάλωσης πόρων του συστήματος (CPU, μνήμη, I/O, κυκλοφορία δικτύου) για ομάδες διεργασιών. Το Docker χρησιμοποιεί cgroups για:

   • Περιορισμό του αριθμού CPU ή του μεριδίου χρόνου επεξεργαστή.
   • Περιορισμό της διαθέσιμης μνήμης.
   • Προτεραιοποίηση ή περιορισμό εισόδου/εξόδου δίσκου.
   • Περιορισμό της κυκλοφορίας δικτύου.

3. Union File Systems (UnionFS): Δημιουργούν στρώματα του συστήματος αρχείων. Το Docker χρησιμοποιεί UnionFS όπως OverlayFS, AUFS (παλαιότερο), Btrfs. Αυτά επιτρέπουν:

   • Δημιουργία ελαφρών στρωμάτων για εικόνες Docker.
   • Αποτελεσματική χρήση του χώρου δίσκου μέσω κοινής χρήσης βασικών στρωμάτων.
   • Κατά την εγγραφή αλλαγών στο κοντέινερ, δημιουργία στρωμάτων COW (Copy-on-Write) χωρίς να αλλάζει η βασική εικόνα.

4. Seccomp (Ασφαλής λειτουργία υπολογισμού): Περιορίζει τις συστημικές κλήσεις (syscalls) που μπορεί να εκτελέσει μια διαδικασία μέσα στο κοντέινερ, μειώνοντας έτσι την επιφάνεια επίθεσης. Το Docker χρησιμοποιεί προεπιλεγμένα προφίλ seccomp για τα περισσότερα κοντέινερ.

5. AppArmor / SELinux: Για πρόσθετη ασφάλεια και απομόνωση, μπορούν να χρησιμοποιηθούν modules ελέγχου πρόσβασης (MAC), όπως το AppArmor ή το SELinux. Παρέχουν πιο λεπτομερή έλεγχο πάνω σε ό,τι μπορούν να κάνουν οι διαδικασίες (π.χ., πρόσβαση σε αρχεία, πόρους δικτύου). Το Docker μπορεί να χρησιμοποιεί προφίλ AppArmor ή SELinux αν είναι διαμορφωμένα στο σύστημα-υποδοχής.