Kokiais metodais Docker užtikrina izoliaciją tarp veikiančių konteinerių?

Docker užtikrina izoliaciją tarp konteinerių naudodamas keletą pagrindinių Linux operacinės sistemos mechanizmų:

1. Namespaces (vardų erdvės) — izoliuoja procesus, tinklą, failų sistemą ir kitus išteklius. Pavyzdžiui:

   • PID namespace — izoliuoja procesus, kad vieno konteinerio procesai nematytų kitų.
   • Tinklo namespace — atskiri tinklo sąsajos ir IP adresai kiekvienam konteineriui.
   • Mount namespace — izoliuoja failų sistemą.

2. Control Groups (cgroups) — riboja ir kontroliuoja kiekvieno konteinerio išteklių (CPU, atminties, disko, tinklo) naudojimą, užkertant kelią vieno konteinerio poveikiui kitiems.

3. Union File Systems (OverlayFS, AUFS ir kt.) — leidžia kurti izoliuotas failų sistemas kiekvienam konteineriui virš bendro pagrindinio vaizdo.

4. Capabilities ir saugumo moduliai (pvz., SELinux, AppArmor) — riboja procesų teises konteineryje, siekiant padidinti saugumą.

Taip Docker naudoja Linux branduolio galimybes kurti lengvus, izoliuotus aplinkos, kurios veikia nepriklausomai viena nuo kitos.