Как Docker работает под капотом?

Question

Accepted Answer

Docker использует функции ядра Linux — **namespaces** (изоляция), **cgroups** (контроль ресурсов) и **union filesystems** (многоуровневые образы) — для создания лёгких контейнеров. Понимание основных механизмов объясняет, как контейнеры достигают изоляции и эффективности.

## Namespaces — изоляция

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — контроль ресурсов

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — многоуровневые образы

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Архитектура

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Почему это важно

Понимание того, как Docker работает под капотом — это ценное знание для разработчика senior-уровня, потому что оно **демистифицирует контейнеры** и объясняет их ключевые свойства (изоляция, эффективность, контроль ресурсов), углубляя способность рассуждать о контейнеризированных системах, конфигурировать их и устранять неисправности.

Ключевое понимание состоит в том, что **контейнеры — это не виртуальные машины, а изолированные процессы на хосте** с использованием функций ядра Linux, что делает их лёгкими и быстрыми (они совместно используют ядро хоста вместо запуска отдельных ОС).

Понимание **трёх ключевых механизмов** объясняет их свойства: **namespaces** изолируют то, что видит процесс (собственное дерево процессов, сеть, файловую систему, имя хоста — что объясняет, *почему* контейнер ощущается как отдельная машина несмотря на то, что он разделяет ядро), **cgroups** ограничивают и отслеживают использование ресурсов (что объясняет, *почему* можно устанавливать лимиты CPU и памяти — ядро их enforces), а **union/overlay filesystems** складывают слои образов (что объясняет, *почему* образы многоуровневые, кэшируемые и совместно используемые, а контейнеры лёгкие — доступные для чтения слои совместно используются между контейнерами с тонким записываемым слоем сверху).

Понимание **архитектуры** (CLI → daemon → containerd → runc, где daemon управляет всем) даёт полную картину того, как Docker работает.

Это более глубокое понимание помогает рассуждать о границах изоляции (и их последствиях для безопасности, поскольку контейнеры разделяют ядро), объясняет характеристики производительности и эффективности и помогает в устранении неисправностей.

Поскольку понимание основных механизмов (namespaces, cgroups, union filesystems) объясняет, *почему* контейнеры ведут себя так, как они ведут себя — их изоляция, эффективность, контроль ресурсов и важный факт, что они разделяют ядро хоста (с последствиями для безопасности) — и углубляет способность уверенно работать с контейнеризированными системами, понимание того, как Docker работает под капотом, является ценным знанием senior-уровня, которое переводит разработчика от использования Docker к его истинному пониманию, тему, отражающую глубину, ожидаемую для senior-ролей и полезную для рассуждений о поведении контейнеров, границах безопасности и производительности.