Kaip Docker veikia po žaliužu?

Question

Accepted Answer

Docker naudoja Linux branduolio funkcijas — **namespaces** (izoliacija), **cgroups** (išteklių kontrolė) ir **union filesystems** (sluoksniuotos nuotraukos) — siekdamas sukurti lengvai sveria konteinerius. Supratimas apie pagrindinius mechanizmus paaiškina, kaip konteineriai pasiekia izoliaciją ir efektyvumą.

## Namespaces — izoliacija

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — išteklių kontrolė

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — sluoksniuotos nuotraukos

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Architektūra

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Kodėl tai svarbu

Supratimas, kaip Docker veikia po žaliužu, yra vertinga aukštos klasės žinios, nes tai **supranta konteinerius** ir paaiškina jų pagrindinius bruožus (izoliacija, efektyvumas, išteklių kontrolė), pagilindama gebėjimą svarstyti apie, konfigūruoti ir šalinti konteineriuotų sistemų problemas.

Principinis suvokimas yra tas, kad **konteineriai nėra virtuolinės mašinos — jie izoliuoti procesai šeimininko sistemoje**, naudojant Linux branduolio funkcijas, dėl ko jie yra lengvi ir greiti (dali šeimininko branduoliu, o ne paleidžia atskirus operacines sistemas).

Supratimas apie **tris pagrindinius mechanizmus** paaiškina savybes: **namespaces** izoliuoja tai, ką procesas gali matyti (savo procesų medį, tinklą, failų sistemą, pagrindinį kompiuterio vardą — kas *yra priežastis*, kodėl konteineris atrodo kaip atskira mašina, nepaisant branduolio pasidalinimo), **cgroups** riboja ir skaičiuoja išteklių naudojimą (kurie *yra priežastis*, kodėl galite nustatyti CPU ir atminties ribas — branduolys jas nustato) ir **union/overlay filesystems** sukrauna nuotraukų sluoksnius (kurie *yra priežastis*, kodėl nuotraukos yra sluoksniuotos, talpinkos ir bendrinamos, o konteineriai yra lengvi — tik skaitomi sluoksniai bendrinami per konteinerius su plonu rašomu sluoksniu viršuje).

Supratimas apie **architektūrą** (CLI → daemon → containerd → runc, kurie daemon valdo viską) suteikia pilną Docker veikimo vaizdą.

Šis gilesnis supratimas padeda svarstyti apie izoliaciją ribas (ir jų saugumo pasekmes, kadangi konteineriai naudoja branduolį), paaiškina našumo ir efektyvumo charakteristikas ir padeda šalinti klaidas.

Kadangi pagrindinių mechanizmų supratimas (namespaces, cgroups, union filesystems) paaiškina *kodėl* konteineriai veikia taip, kaip jie veikia — jų izoliacija, efektyvumas, išteklių kontrolė ir svarbus faktas, kad jie naudoja šeimininko branduolį (su saugumo pasekme) — ir pagilina gebėjimą dirbti su konteineriuotomis sistemomis su pasitikėjimu, Docker veikimo po žaliužu supratimas yra vertinga aukštos klasės žinios, kuri pakeičia Docker naudojimą jo tikru supratimu, temą, atspindinti gilumą, kurios tikimasi aukštos klasės vaidmenyse, ir naudinga svarstyti konteinerių elgesį, saugumo ribas ir našumą.