Welke methoden gebruikt Docker om isolatie tussen draaiende containers te garanderen?

Docker biedt isolatie tussen containers door gebruik te maken van verschillende kernmechanismen van het Linux-besturingssysteem:

1. Namespaces (naamruimten) — isoleren processen, netwerk, bestandssysteem en andere bronnen. Bijvoorbeeld:

   • PID namespace — scheidt processen zodat processen in één container de processen van een andere niet zien.
   • Netwerk namespace — aparte netwerkinterfaces en IP-adressen voor elke container.
   • Mount namespace — scheidt het bestandssysteem.

2. Control Groups (cgroups) — beperken en controleren het gebruik van bronnen (CPU, geheugen, schijf, netwerk) door elke container, zodat de prestaties van andere containers niet worden beïnvloed.

3. Union File Systems (OverlayFS, AUFS, enz.) — maken het mogelijk om geïsoleerde bestandssystemen voor elke container te creëren bovenop een gedeeld basisbeeld.

4. Capabilities en Security Modules (bijvoorbeeld SELinux, AppArmor) — beperken de rechten van processen binnen de container om de veiligheid te verhogen.

Op deze manier gebruikt Docker de mogelijkheden van de kernel van het besturingssysteem om lichte, geïsoleerde omgevingen te creëren die onafhankelijk van elkaar werken.