Jak Docker działa pod maską?

Question

Accepted Answer

Docker wykorzystuje funkcje jądra Linuksa — **namespaces** (izolacja), **cgroups** (kontrola zasobów) i **union filesystems** (obrazy warstwowe) — aby tworzyć lekkie kontenery. Zrozumienie podstawowych mechanizmów wyjaśnia, jak kontenery osiągają izolację i efektywność.

## Namespaces — izolacja

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — kontrola zasobów

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — obrazy warstwowe

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Architektura

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Dlaczego to ważne

Zrozumienie, jak Docker działa pod maską, jest cenną wiedzą na poziomie senior, ponieważ **demistyfikuje kontenery** i wyjaśnia ich kluczowe właściwości (izolacja, efektywność, kontrola zasobów), pogłębiając zdolność do rozumowania na temat systemów konteneryzowanych, ich konfiguracji i rozwiązywania problemów.

Kluczowa intuicja polega na tym, że **kontenery to nie maszyny wirtualne — to izolowane procesy na hoście** wykorzystujące funkcje jądra Linuksa, dlatego są lekkie i szybkie (współdzielą jądro hosta zamiast uruchamiać oddzielne systemy operacyjne).

Zrozumienie **trzech podstawowych mechanizmów** wyjaśnia właściwości: **namespaces** izolują to, co proces widzi (jego własne drzewo procesów, sieć, system plików, hostname — dlatego **kontener wydaje się oddzielną maszyną pomimo współdzielenia jądra**), **cgroups** ograniczają i rejestrują użycie zasobów (dlatego **możesz ustawiać limity CPU i pamięci — jądro je egzekwuje**), a **union/overlay filesystems** układają warstwy obrazu (dlatego **obrazy są warstwowe, buforowane i udostępnialne, a kontenery są lekkie — warstwy tylko do odczytu współdzielone między kontenerami z cienką warstwą zapisywalną na górze**).

Zrozumienie **architektury** (CLI → daemon → containerd → runc, gdzie daemon zarządza wszystkim) zapewnia pełny obraz działania Dockera.

Ta głębsza wiedza pomaga w rozumowaniu o granicach izolacji (i ich implikacjach bezpieczeństwa, ponieważ kontenery współdzielą jądro), wyjaśnia charakterystykę wydajności i efektywności oraz wspomaga rozwiązywanie problemów.

Ponieważ zrozumienie podstawowych mechanizmów (namespaces, cgroups, union filesystems) wyjaśnia *dlaczego* kontenery zachowują się w określony sposób — ich izolacja, efektywność, kontrola zasobów i ważny fakt, że współdzielą jądro hosta (z implikacjami bezpieczeństwa) — i pogłębia zdolność do pewnej pracy z systemami konteneryzowanymi, zrozumienie, jak Docker działa pod maską, jest cenną wiedzą na poziomie senior, która podnosi się od używania Dockera do jego prawdziwego zrozumienia, temat odzwierciedlający głębię oczekiwaną na stanowiskach senior i przydatny do rozumowania dotyczącego zachowania kontenerów, granic bezpieczeństwa i wydajności.