Quels sont les moyens d'isolation fournis par Linux pour les conteneurs?

Linux offre plusieurs mécanismes d'isolation utilisés pour la conteneurisation:

• Namespaces — isolent différents aspects du système:

  • Namespace PID — isolation des processus.
  • Namespace Mount — isolation du système de fichiers.
  • Namespace réseau — isolation des interfaces réseau.
  • Namespace UTS — isolation du nom d'hôte et du domaine.
  • Namespace IPC — isolation de l'interaction entre processus.
  • Namespace utilisateur — isolation des utilisateurs et des groupes.

• Control Groups (cgroups) — limitent et contrôlent l'utilisation des ressources (CPU, mémoire, disque, réseau) pour un groupe de processus.

• Capabilities — permettent de limiter les privilèges des processus, réduisant les droits par rapport à root.

• Seccomp — filtrage des appels système pour renforcer la sécurité.

Ensemble, ces mécanismes assurent isolation et contrôle, permettant de lancer des conteneurs avec des ressources limitées et des droits minimaux, ce qui augmente la sécurité et la gestion.