Kako Docker funkcionira ispod haube?

Question

Accepted Answer

Docker koristi Linux kernelske značajke — **namespaces** (izolacija), **cgroups** (kontrola resursa) i **union filesystems** (slojevite slike) — za stvaranje laganjih kontejnera. Razumijevanje temeljnih mehanizama objašnjava kako kontejneri postižu izolaciju i učinkovitost.

## Namespaces — izolacija

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — kontrola resursa

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — slojevite slike

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Arhitektura

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Zašto je to važno

Razumijevanje kako Docker funkcionira ispod haube je vrijedna znanja na razini seniora jer **demistificira kontejnere** i objašnjava njihova ključna svojstva (izolacija, učinkovitost, kontrola resursa), što dubinski produbljuje mogućnost razmišljanja o, konfiguriranja i otklanjanja grešaka u kontejneriziranima sustavima.

Klučni je uvid da su **kontejneri nisu VM-i — to su izolirani procesi na domaćinu** koji koriste Linux kernelske značajke, što je razlog zašto su lagani i brzi (dijele host kernel umjesto pokretanja odvojenih OS-a).

Razumijevanje **triju temeljnih mehanizama** objašnjava svojstva: **namespaces** izoliraju što proces može vidjeti (svoje stablo procesa, mrežu, filesystem, hostname — što je *razlog* zašto kontejner izgleda kao odvojena mašina iako dijeli kernel), **cgroups** ograničavaju i broje uporabu resursa (što je *razlog* zašto možete postaviti CPU i memory limitacije — kernel ih provodi), i **union/overlay filesystems** slažu slojevite slike (što je *razlog* zašto su slike slojevite, cacheirane i dijelive, a kontejneri lagani — slojevi samo za čitanje dijeljeni su među kontejnerima s tankim slojem za pisanje na vrhu).

Razumijevanje **arhitekture** (CLI → daemon → containerd → runc, s daemonom koji upravlja sve) pruža potpunu sliku kako Docker funkcionira.

Ovo dublje razumijevanje pomaže pri razmišljanju o granama izolacije (i njihovim sigurnosnim implikacijama, budući da kontejneri dijele kernel), objašnjava karakteristike performansi i učinkovitosti te pomaže pri otklanjanju grešaka.

Budući da razumijevanje temeljnih mehanizama (namespaces, cgroups, union filesystems) objašnjava *zašto* se kontejneri ponašaju kako se ponašaju — njihova izolacija, učinkovitost, kontrola resursa i važna činjenica da dijele host kernel (sa sigurnosnim implikacijama) — i produbljuje mogućnost rada s kontejneriziranima sustavima sa samopouzdanjem, razumijevanje kako Docker funkcionira ispod haube je vrijedna znanja na razini seniora koja vas vodi od korištenja Dockera k stvarnom razumijevanju njega, teme koja odražava dubinu očekivanu za senior uloge i korisna za razmišljanje o ponašanju kontejnera, sigurnosnim granicama i performansama.