Quelles méthodes Docker utilise-t-il pour assurer l'isolation entre les conteneurs en cours d'exécution?

Docker assure l'isolation entre les conteneurs à l'aide de plusieurs mécanismes clés du système d'exploitation Linux :

1. Namespaces (espaces de noms) — isolent les processus, le réseau, le système de fichiers et d'autres ressources. Par exemple :

   • Namespace PID — isole les processus pour que ceux d'un conteneur ne voient pas ceux d'un autre.
   • Namespace réseau — interfaces réseau et adresses IP séparées pour chaque conteneur.
   • Namespace de montage — isole le système de fichiers.

2. Cgroups (groupes de contrôle) — limitent et contrôlent l'utilisation des ressources (CPU, mémoire, disque, réseau) par chaque conteneur, empêchant un conteneur d'affecter la performance des autres.

3. Systèmes de fichiers union (OverlayFS, AUFS, etc.) — permettent de créer des systèmes de fichiers isolés pour chaque conteneur sur une image de base commune.

4. Capacités et modules de sécurité (par exemple, SELinux, AppArmor) — limitent les droits des processus à l'intérieur du conteneur pour renforcer la sécurité.

Ainsi, Docker utilise les fonctionnalités du noyau du système d'exploitation pour créer des environnements légers et isolés qui fonctionnent indépendamment les uns des autres.