Quais métodos o Docker usa para garantir o isolamento entre os contêineres em execução?

O Docker fornece isolamento entre contêineres usando vários mecanismos-chave do sistema operacional Linux:

1. Namespaces (espaços de nomes) — isolam processos, rede, sistema de arquivos e outros recursos. Por exemplo:

   • Namespace PID — isola processos para que os processos em um contêiner não vejam os de outro.
   • Namespace de rede — interfaces de rede e endereços IP separados para cada contêiner.
   • Namespace de montagem — isola o sistema de arquivos.

2. Control Groups (cgroups) — limitam e controlam o uso de recursos (CPU, memória, disco, rede) por cada contêiner, evitando que um contêiner afete o desempenho de outros.

3. Sistemas de arquivos union (OverlayFS, AUFS, etc.) — permitem criar sistemas de arquivos isolados para cada contêiner sobre uma imagem base comum.

4. Capacidades e Módulos de Segurança (por exemplo, SELinux, AppArmor) — limitam os direitos dos processos dentro do contêiner para melhorar a segurança.

Assim, o Docker usa as capacidades do núcleo do sistema operacional para criar ambientes leves e isolados que funcionam de forma independente.