Ce metode de izolare oferă Linux pentru containere?

Linux oferă mai multe mecanisme de izolare utilizate pentru containerizare:

• Namespaces — izolează diferite aspecte ale sistemului:

  • Namespace PID — izolare a proceselor.
  • Namespace Mount — izolare a sistemului de fișiere.
  • Namespace de rețea — izolare a interfețelor de rețea.
  • Namespace UTS — izolare a numelui gazdă și a domeniului.
  • Namespace IPC — izolare a interacțiunii între procese.
  • Namespace utilizator — izolare a utilizatorilor și grupurilor.

• Control Groups (cgroups) — limitează și controlează utilizarea resurselor (CPU, memorie, disc, rețea) pentru un grup de procese.

• Capabilities — permit limitarea privilegiilor proceselor, reducând drepturile comparativ cu root.

• Seccomp — filtrare a apelurilor sistem pentru creșterea securității.

Împreună, aceste mecanisme asigură izolare și control, permițând rularea containerelor cu resurse limitate și drepturi minime, ceea ce crește securitatea și gestionabilitatea.