Jak Docker funguje pod kapotou?

Question

Accepted Answer

Docker používá funkce jádra Linuxu — **namespaces** (izolace), **cgroups** (kontrola zdrojů) a **union filesystémy** (vrstvené image) — k vytváření lehkých kontejnerů. Pochopení základních mechanismů vysvětluje, jak kontejnery dosahují izolace a efektivity.

## Namespaces — izolace

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — kontrola zdrojů

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — vrstvené image

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Architektura

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Proč je to důležité

Pochopení, jak Docker funguje pod kapotou, je cenné znalosti na úrovni senior vývojáře, protože **demystifikuje kontejnery** a vysvětluje jejich klíčové vlastnosti (izolace, efektivita, kontrola zdrojů), což prohloubuje schopnost uvažovat o, konfigurovat a řešit problémy kontejnerizovaných systémů.

Klíčová myšlenka je, že **kontejnery nejsou virtuální stroje — jsou to izolované procesy na hostiteli** používající funkce jádra Linuxu, což je důvod, proč jsou lehké a rychlé (sdílejí jádro hostitele namísto spuštění samostatných OS).

Pochopení **tří základních mechanismů** vysvětluje vlastnosti: **namespaces** izolují, co může proces vidět (jeho vlastní strom procesů, síť, filesystem, hostname — proto se kontejner cítí jako samostatný stroj přestože sdílí jádro), **cgroups** omezují a účtují využití zdrojů (proto můžete nastavit limity CPU a paměti — jádro je vynucuje), a **union/overlay filesystémy** vrství image vrstvy (proto jsou image vrstvené, cachované a sdílitelné, a kontejnery jsou lehké — read-only vrstvy sdílené mezi kontejnery s tenkou zapisovatelnou vrstvou navrchu).

Pochopení **architektury** (CLI → daemon → containerd → runc, přičemž daemon spravuje vše) poskytuje úplný obraz toho, jak Docker funguje.

Toto hlubší porozumění pomáhá uvažovat o hranicích izolace (a jejich bezpečnostních implikacích, jelikož kontejnery sdílejí jádro), vysvětluje charakteristiky výkonu a efektivity a napomáhá řešení problémů.

Jelikož pochopení základních mechanismů (namespaces, cgroups, union filesystémy) vysvětluje *proč* se kontejnery chují tak, jak se chovají — jejich izolace, efektivita, kontrola zdrojů a důležitá skutečnost, že sdílejí jádro hostitele (s bezpečnostními implikacemi) — a prohloubuje schopnost pracovat s kontejnerizovanými systémy sebevědomě, pochopení toho, jak Docker funguje pod kapotou, je cenné znalosti na úrovni senior vývojáře, které vás přesouvají od používání Dockeru k jeho skutečnému pochopení, tématu odrážejícímu hloubku očekávanou pro senior pozice a užitečné pro uvažování o chování kontejnerů, bezpečnostních hranicích a výkonu.