Quali metodi utilizza Docker per garantire l'isolamento tra i container in esecuzione?

Docker fornisce isolamento tra i contenitori attraverso diversi meccanismi chiave del sistema operativo Linux:

1. Namespaces (spazi dei nomi) — isolano processi, rete, sistema di file e altre risorse. Ad esempio:

   • Namespace PID — isola i processi, in modo che quelli in un contenitore non vedano quelli di un altro.
   • Namespace di rete — interfacce di rete e indirizzi IP separati per ogni contenitore.
   • Namespace di montaggio — isola il sistema di file.

2. Control Groups (cgroups) — limitano e controllano l'uso delle risorse (CPU, memoria, disco, rete) di ogni contenitore, impedendo che un contenitore influenzi le prestazioni degli altri.

3. Sistemi di file union (OverlayFS, AUFS, ecc.) — permettono di creare sistemi di file isolati per ogni contenitore sopra un'immagine di base condivisa.

4. Capacità e moduli di sicurezza (ad esempio, SELinux, AppArmor) — limitano i permessi dei processi all'interno del contenitore per aumentare la sicurezza.

In questo modo, Docker utilizza le funzionalità del kernel del sistema operativo per creare ambienti leggeri e isolati che funzionano indipendentemente l'uno dall'altro.