Kādiem veidiem Docker nodrošina izolāciju starp darbojošiem konteineriem?

Docker nodrošina konteineru izolāciju, izmantojot vairākus galvenos Linux operētājsistēmas mehānismus:

1. Namespaces (vārdu telpas) — izolē procesus, tīklu, failu sistēmu un citus resursus. Piemēram:

   • PID namespace — izolē procesus, lai procesu konteinerā redzētu tikai savus procesus.
   • Tīkla namespace — atsevišķas tīkla saskarnes un IP adreses katram konteineram.
   • Mount namespace — izolē failu sistēmu.

2. Control Groups (cgroups) — ierobežo un kontrolē katra konteineru resursu (CPU, atmiņa, disks, tīkls) izmantošanu, novēršot ietekmi uz citiem konteineriem.

3. Union File Systems (OverlayFS, AUFS un citi) — ļauj izveidot izolētas failu sistēmas katram konteineram virs kopīgas bāzes attēla.

4. Capabilities un drošības moduļi (piemēram, SELinux, AppArmor) — ierobežo procesu tiesības konteinerā, lai uzlabotu drošību.

Tādējādi Docker izmanto Linux kodola iespējas, lai izveidotu vieglas, izolētas vides, kas darbojas neatkarīgi viena no otras.