Ինչ մեթոդներով է Docker-ը ապահովում տարբեր կոնտեյներների միջև անջատում?

Docker-ը ապահովում է կոնտեյների միջև անջատում՝ օգտագործելով Linux օպերացիոն համակարգի մի քանի հիմնական մեխանիզմներ՝

1. Namespaces (անվանումների տարածքներ) — առանձնացնում են գործընթացները, ցանցը, ֆայլային համակարգը և այլ ռեսուրսները։ Օրինակ՝

   • PID namespace — առանձնացնում է գործընթացները, որպեսզի մեկ կոնտեյների մեջ գտնվող գործընթացները չտեսնեն մյուսների։
   • Ցանցային namespace — յուրաքանչյուր կոնտեյների համար առանձին ցանցային ինտերֆեյսներ և IP հասցեներ։
   • Mount namespace — առանձնացնում է ֆայլային համակարգը։

2. Control Groups (cgroups) — սահմանափակում և վերահսկում են յուրաքանչյուր կոնտեյների ռեսուրսների (CPU, հիշողություն, disk, ցանց) օգտագործումը՝ կանխելով մեկ կոնտեյների ազդեցությունը մյուսների վրա։

3. Union File Systems (OverlayFS, AUFS և այլ) — թույլ են տալիս ստեղծել առանձնացված ֆայլային համակարգեր յուրաքանչյուր կոնտեյների համար՝ ընդհանուր բազային պատկերի վրա։

4. Capabilities և անվտանգության մոդուլներ (օրինակ՝ SELinux, AppArmor) — սահմանափակում են կոնտեյների ներսում գործընթացների իրավունքները՝ անվտանգության բարձրացման համար։

Այսպիսով, Docker-ը օգտագործում է Linux միջուկի հնարավորությունները՝ ստեղծելու համար թեթև, առանձնացված միջավայրեր, որոնք աշխատում են անկախ մեկը մյուսից։