Будова контейнерів: простори імен і cgroups

Коротко: Контейнер — не міні-комп’ютер, а звичайний процес Linux, відгороджений від решти просторами імен і обмежений у ресурсах cgroups.

Докладніше: Простори імен дають процесу власний погляд на системні ресурси: власні ідентифікатори процесів, мережу, файлову систему, ім’я хоста, користувачів. Cgroups обмежують CPU, пам’ять і введення-виведення. Файлова система overlay складає образ із шарів лише для читання та одного записуваного верхнього шару.

Подробиці

• Простори імен: pid, net, mnt, uts, ipc, user…

Див. також: системні виклики та режим ядра, безпека контейнерів