Bagaimanakah Docker berfungsi di sebalik tabir?

Question

Accepted Answer

Docker menggunakan ciri kernel Linux — **namespace** (pengasingan), **cgroup** (kawalan sumber), dan **sistem fail kesatuan (union filesystem)** (imej berlapis) — untuk mencipta kontena yang ringan. Memahami mekanisme asas menjelaskan cara kontena mencapai pengasingan dan kecekapan.

## Namespace — pengasingan

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroup — kawalan sumber

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — imej berlapis

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Seni bina

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Mengapa ia penting

Memahami cara Docker berfungsi di sebalik tabir adalah pengetahuan peringkat senior yang bernilai kerana ia **menyahmisteri kontena** dan menjelaskan ciri utamanya (pengasingan, kecekapan, kawalan sumber), memperdalam keupayaan seseorang untuk menaakul, mengkonfigurasi, dan menyelesaikan masalah sistem berasaskan kontena.

Wawasan penting ialah **kontena bukanlah VM — ia adalah proses terasing pada hos** yang menggunakan ciri kernel Linux, itulah sebabnya ia ringan dan pantas (berkongsi kernel hos dan bukannya menjalankan OS berasingan).

Memahami **tiga mekanisme teras** menjelaskan ciri-ciri ini: **namespace** mengasingkan apa yang boleh dilihat oleh sesuatu proses (pokok prosesnya sendiri, rangkaian, sistem fail, hostname — yang merupakan *sebab* sesuatu kontena terasa seperti mesin berasingan walaupun berkongsi kernel), **cgroup** mengehadkan dan mengakaunkan penggunaan sumber (yang merupakan *sebab* anda boleh menetapkan had CPU dan memori — kernel menguatkuasakannya), dan **union/overlay filesystem** menyusun lapisan imej (yang merupakan *sebab* imej berlapis, di-cache, dan boleh dikongsi, serta kontena adalah ringan — lapisan baca-sahaja dikongsi merentas kontena dengan lapisan boleh tulis yang nipis di atas).

Memahami **seni bina** (CLI → daemon → containerd → runc, dengan daemon menguruskan segala-galanya) memberikan gambaran lengkap tentang cara Docker beroperasi.

Pemahaman yang lebih mendalam ini membantu menaakul tentang sempadan pengasingan (dan implikasi keselamatannya, kerana kontena berkongsi kernel), menjelaskan ciri prestasi dan kecekapan, serta membantu penyelesaian masalah.

Memandangkan memahami mekanisme asas (namespace, cgroup, union filesystem) menjelaskan *mengapa* kontena berkelakuan seperti yang ia lakukan — pengasingan, kecekapan, kawalan sumber, dan fakta penting bahawa ia berkongsi kernel hos (dengan implikasi keselamatan) — dan memperdalam keupayaan bekerja dengan sistem berasaskan kontena dengan yakin, memahami cara Docker berfungsi di sebalik tabir adalah pengetahuan peringkat senior yang bernilai yang mengangkat seseorang daripada menggunakan Docker kepada benar-benar memahaminya, satu topik yang mencerminkan kedalaman yang diharapkan untuk peranan senior dan berguna untuk menaakul tentang kelakuan kontena, sempadan keselamatan, dan prestasi.