كيف يعمل Docker تحت الغطاء؟

Question

Accepted Answer

يستخدم Docker ميزات نواة Linux — **namespaces** (العزل)، **cgroups** (التحكم في الموارد)، و**union filesystems** (الصور ذات الطبقات) — لإنشاء حاويات خفيفة الوزن. فهم الآليات الأساسية يشرح كيف تحقق الحاويات العزل والكفاءة.

## Namespaces — العزل

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — التحكم في الموارد

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — الصور ذات الطبقات

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## البنية المعمارية

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## لماذا يهم هذا

فهم كيفية عمل Docker تحت الغطاء هو معرفة قيّمة على مستوى كبار المهندسين لأنه **يزيل الغموض عن الحاويات** ويشرح خصائصها الرئيسية (العزل والكفاءة والتحكم في الموارد)، مما يعمق القدرة على التفكير والتكوين وحل مشاكل الأنظمة المحتوية على حاويات.

الرؤية الحاسمة هي أن **الحاويات ليست أجهزة افتراضية — بل هي عمليات معزولة على المضيف** باستخدام ميزات نواة Linux، وهذا هو السبب في كونها خفيفة الوزن وسريعة (تشاركة نواة المضيف بدلاً من تشغيل أنظمة تشغيل منفصلة).

فهم **الآليات الأساسية الثلاث** يشرح الخصائص: **namespaces** تعزل ما يمكن لعملية أن ترى (شجرة العمليات الخاصة بها والشبكة ونظام الملفات واسم المضيف — وهذا هو **السبب** في أن الحاوية تبدو كآلة منفصلة رغم مشاركتها النواة)، **cgroups** تحد من استخدام الموارد وتحسبها (وهذا هو **السبب** في أنه يمكنك تعيين حدود CPU والذاكرة — النواة تفرضها)، و**union/overlay filesystems** تطبق طبقات الصور (وهذا هو **السبب** في أن الصور مرتبة بطبقات وقابلة للتخزين المؤقت والمشاركة، والحاويات خفيفة الوزن — طبقات للقراءة فقط مشتركة عبر الحاويات مع طبقة قابلة للكتابة رقيقة في الأعلى).

فهم **البنية المعمارية** (CLI → daemon → containerd → runc، مع إدارة daemon لكل شيء) يوفر الصورة الكاملة لكيفية عمل Docker.

هذا الفهم الأعمق يساعد على التفكير حول حدود العزل (والآثار الأمنية لها، حيث تشاركة الحاويات النواة)، ويشرح خصائص الأداء والكفاءة، ويساعد في استكشاف الأخطاء.

نظراً لأن فهم الآليات الأساسية (namespaces، cgroups، union filesystems) يشرح **لماذا** تتصرف الحاويات بالطريقة التي تتصرف بها — عزلتها وكفاءتها والتحكم في مواردها والحقيقة المهمة بأنها تشاركة نواة المضيف (مع آثار أمنية) — ويعمق القدرة على العمل مع الأنظمة المحتوية على حاويات بثقة، فإن فهم كيفية عمل Docker تحت الغطاء هو معرفة قيّمة على مستوى كبار المهندسين ترفع المستوى من استخدام Docker إلى فهم حقيقي له، وهو موضوع يعكس العمق المتوقع للأدوار العليا ومفيد للتفكير حول سلوك الحاويات وحدود الأمان والأداء.