Bagaimana cara kerja Docker di balik layar?

Question

IT Interview Practice · Accepted Answer

Docker menggunakan fitur kernel Linux — **namespaces** (isolasi), **cgroups** (kontrol sumber daya), dan **union filesystems** (image berlapis) — untuk membuat container yang ringan. Memahami mekanisme yang mendasarinya menjelaskan bagaimana container mencapai isolasi dan efisiensi.

## Namespaces — isolasi

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — kontrol sumber daya

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — image berlapis

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Arsitektur

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Mengapa ini penting

Memahami cara kerja Docker di balik layar adalah pengetahuan tingkat senior yang berharga karena **mendemistifikasi container** dan menjelaskan properti utamanya (isolasi, efisiensi, kontrol sumber daya), sehingga memperdalam kemampuan seseorang untuk bernalar tentang, mengonfigurasi, dan mengatasi masalah sistem terkontainerisasi.

Wawasan penting adalah bahwa **container bukan VM — container adalah proses terisolasi pada host** menggunakan fitur kernel Linux, itulah sebabnya container ringan dan cepat (berbagi kernel host daripada menjalankan OS terpisah).

Memahami **tiga mekanisme inti** menjelaskan propertinya: **namespaces** mengisolasi apa yang dapat dilihat oleh proses (pohon prosesnya sendiri, jaringan, filesystem, hostname — itulah *mengapa* container terasa seperti mesin terpisah meskipun berbagi kernel), **cgroups** membatasi dan mempertanggungjawabkan penggunaan sumber daya (itulah *mengapa* Anda dapat menetapkan batasan CPU dan memori — kernel memberlakukannya), dan **union/overlay filesystems** menumpuk layer image (itulah *mengapa* image berlapis, cached, dan dapat dibagikan, dan container ringan — layer read-only dibagikan di seluruh container dengan layer yang dapat ditulis tipis di atas).

Memahami **arsitektur** (CLI → daemon → containerd → runc, dengan daemon mengelola semuanya) memberikan gambaran lengkap tentang cara Docker beroperasi.

Pemahaman yang lebih dalam ini membantu bernalar tentang batas isolasi (dan implikasi keamanannya, karena container berbagi kernel), menjelaskan karakteristik performa dan efisiensi, dan membantu dalam penyelesaian masalah.

Karena memahami mekanisme yang mendasarinya (namespaces, cgroups, union filesystems) menjelaskan *mengapa* container berperilaku seperti yang mereka lakukan — isolasi mereka, efisiensi, kontrol sumber daya, dan fakta penting bahwa mereka berbagi kernel host (dengan implikasi keamanan) — dan memperdalam kemampuan untuk bekerja dengan sistem terkontainerisasi secara percaya diri, memahami cara kerja Docker di balik layar adalah pengetahuan tingkat senior yang berharga yang meningkatkan seseorang dari sekadar menggunakan Docker menjadi benar-benar memahaminya, sebuah topik yang mencerminkan kedalaman yang diharapkan untuk peran senior dan berguna untuk bernalar tentang perilaku container, batas keamanan, dan performa.

Namespaces — isolasi

cgroups — kontrol sumber daya

Union filesystem — image berlapis

Arsitektur

Mengapa ini penting

Pertanyaan terkait