Koje metode Docker koristi za obezbeđivanje izolacije između pokrenutih kontejnera?

Docker obezbeđuje izolaciju između kontejnera pomoću nekoliko ključnih mehanizama Linux operativnog sistema:

1. Namespaces (prostor imena) — izoliraju procese, mrežu, sistem fajlova i druge resurse. Na primer:

   • PID namespace — izoluje procese, tako da procesi u jednom kontejneru ne vide procese drugog.
   • Mrežni namespace — odvojeni mrežni interfejsi i IP adrese za svaki kontejner.
   • Mount namespace — izoluje sistem fajlova.

2. Control Groups (cgroups) — ograničavaju i kontrolišu korišćenje resursa (CPU, memorija, disk, mreža) od strane svakog kontejnera, sprečavajući uticaj jednog kontejnera na performanse drugih.

3. Union File Systems (OverlayFS, AUFS i dr.) — omogućavaju kreiranje izolovanih fajl sistema za svaki kontejner na zajedničkoj osnovnoj slici.

4. Capabilities i sigurnosni moduli (npr. SELinux, AppArmor) — ograničavaju prava procesa unutar kontejnera radi povećanja sigurnosti.

Na ovaj način, Docker koristi mogućnosti jezgra OS za kreiranje laganih, izolovanih sredina koje rade nezavisno jedna od druge.