Kako deluje Docker v ozadju?

Question

Accepted Answer

Docker uporablja funkcionalnosti Linux jedra — **namespaces** (izolacija), **cgroups** (nadzor virov) in **union filesystems** (razslojene slike) — za ustvarjanje lahkih kontejnerjev. Razumevanje osnovnih mehanizmov pojasnjuje, kako kontejnerji dosegajo izolacijo in učinkovitost.

## Namespaces — izolacija

```text
Linux NAMESPACES isolate what a process can SEE — giving each container its own view:
  PID namespace     → its own process tree (container sees only its processes)
  NET namespace     → its own network interfaces, IPs, ports
  MNT namespace     → its own filesystem mounts
  UTS namespace     → its own hostname
  IPC, USER namespaces → isolated IPC, user/group ID mapping
→ Namespaces are WHY a container feels like a separate machine (isolated view),
  while actually sharing the host kernel.
```

## cgroups — nadzor virov

```text
Control Groups (CGROUPS) LIMIT and account for resource usage per container:
  → CPU, memory, disk I/O, network bandwidth
→ cgroups are WHY you can set resource limits (-m, --cpus) — the kernel enforces them.
```

## Union filesystem — razslojene slike

```text
UNION/OVERLAY filesystems (overlayfs) stack image LAYERS:
  → read-only image layers + a thin writable container layer on top, merged into one view
  → layers are SHARED between images/containers (one copy on disk) → space-efficient
→ This is WHY images are layered, cached, and shareable, and containers are lightweight.
```

## Arhitektura

```text
Docker CLI → Docker DAEMON (dockerd) → containerd → runc (creates containers using
  namespaces + cgroups). The daemon manages images, containers, networks, volumes.
→ Containers are just ISOLATED PROCESSES on the host (not VMs) — using kernel features,
  sharing the host kernel → lightweight and fast.
```

## Zakaj je to pomembno

Razumevanje, kako Docker deluje v ozadju, je dragoceno znanje na ravni starejšega razvojnega inženirja, ker **demistificira kontejnerje** in pojasnjuje njihove ključne lastnosti (izolacija, učinkovitost, nadzor virov), kar poglablja sposobnost razmišljanja o, konfiguriranja in odpravljanja napak v containeriziranih sistemih.

Odločilno spoznanje je, da so **kontejnerji ne navidezne naprave — ampak izolirani procesi na gostitelju**, ki uporabljajo funkcionalnosti Linux jedra, zato so lahki in hitri (delijo jedro gostitelja namesto da bi poganjali ločene operacijske sisteme).

Razumevanje **treh temeljnih mehanizmov** pojasnjuje njihove lastnosti: **namespaces** izolirajo to, kar lahko vidi proces (njihovo lastno drevo procesov, omrežje, datotečni sistem, ime gostitelja — zato se kontejner počuti kot ločen stroj, čeprav deli jedro), **cgroups** omejujejo in spremljajo porabo virov (zato lahko nastavite omejitve CPU-ja in pomnilnika — jedro jih uveljavljuje), in **union/overlay filesystems** zlagajo plasti slik (zato so slike razslojene, predpomnjena in deljive, kontejnerji pa so lahki — bralne plasti, deljene med kontejnerji, s tanko zapisljivo plastjo na vrhu).

Razumevanje **arhitekture** (CLI → daemon → containerd → runc, pri čemer daemon upravlja z vsem) zagotavlja celotno sliko delovanja Dockerja.

To poglobljeno razumevanje pomaga pri razmišljanju o mejah izolacije (in njihovih varnostnih posledicah, saj kontejnerji delijo jedro), pojasnjuje značilnosti delovanja in učinkovitosti ter pomaga pri odpravljanju napak.

Ker razumevanje osnovnih mehanizmov (namespaces, cgroups, union filesystems) pojasnjuje *zakaj* se kontejnerji obnašajo, kot se — njihova izolacija, učinkovitost, nadzor virov in pomembno dejstvo, da delijo jedro gostitelja (z varnostnimi posledicami) — in poglablja sposobnost samozavesti pri delu s containeriziranimi sistemi, je razumevanje, kako Docker deluje v ozadju, dragoceno znanje na ravni starejšega razvojnega inženirja, ki vas dvigne od uporabe Dockerja k pravemu razumevanju, tema, ki odraža globino pričakovano za starejše vloge in je koristna za razmišljanje o obnašanju kontejnerjev, varnostnih mejah in zmogljivosti.