Jakimi metodami Docker zapewnia izolację między uruchomionymi kontenerami?

Docker zapewnia izolację między kontenerami za pomocą kilku kluczowych mechanizmów systemu operacyjnego Linux:

1. Namespaces (przestrzenie nazw) — izolują procesy, sieć, system plików i inne zasoby. Na przykład:

   • Namespace PID — izoluje procesy, aby procesy w jednym kontenerze nie widziały procesów innych.
   • Namespace sieci — oddzielne interfejsy sieciowe i adresy IP dla każdego kontenera.
   • Namespace montowania — izoluje system plików.

2. Control Groups (cgroups) — ograniczają i kontrolują wykorzystanie zasobów (CPU, pamięć, dysk, sieć) przez każdy kontener, zapobiegając wpływowi jednego kontenera na wydajność innych.

3. Systemy plików union (OverlayFS, AUFS itp.) — umożliwiają tworzenie izolowanych systemów plików dla każdego kontenera na wspólnej bazowej obrazie.

4. Capabilities i moduły bezpieczeństwa (np. SELinux, AppArmor) — ograniczają prawa procesów wewnątrz kontenera, zwiększając bezpieczeństwo.

W ten sposób Docker korzysta z możliwości jądra systemu operacyjnego, aby tworzyć lekkie, izolowane środowiska, które działają niezależnie od siebie.