Wie man Isolation von Docker erreicht

Docker -Isolationsmechanismus

Docker -Container werden durch die folgenden Mechanismen isoliert:

1. Namespace -Isolation

Ein Namespace ist ein Linux -Kernel -Mechanismus, der die Erstellung einer eigenständigen virtuellen Umgebung ermöglicht, in der Prozesse ihre eigenen Ressourcenansichten haben können. Docker -Container verwenden die folgenden Namespace -Typen:

• PID -Namespace: isoliert die Prozess -ID, damit die Prozesse im Container einen eigenen PID -Raum haben.
• Netzwerk -Namespace: Isoliert Netzwerkschnittstellen und ermöglicht jedem Container eine eigene IP -Adresse und Routing -Tabelle.
• Namespace: Isolieren Sie den Dateisystem -Mountspunkt und verhindern Sie, dass Container auf das Host -Dateisystem zugreifen.

2. Kontrollgruppen (CGroups)

Kontrollgruppen sind ein Linux -Kernel -Mechanismus, der zur Einschränkung und Isolierung der Ressourcenverwendung verwendet wird. Docker verwendet Kontrollgruppen, um den Zugriff des Containers auf Ressourcen wie CPU, Speicher, Blockgeräte und Netzwerke zu beschränken.

3. Gewerkschaftsdateisystem

Union -Dateisysteme wie AUFs, OverlayFs und DevMapper ermöglichen es, mehrere Dateisysteme zusammenzuschließen. Docker verwendet das Union -Dateisystem, um das Containerbild mit dem zugrunde liegenden Dateisystem des Hosts zu kombinieren, damit der Container auf Dateien im Bild zugreifen kann und gleichzeitig bestimmte Dateien im Hostdateisystem überschreiben kann.

4.. Selinux

Selinux (Security Enhanced Linux) ist ein Sicherheitsmodul, das die Richtlinien zur Zugriffskontrolle erzwingt. Docker verwendet Selinux, um die Interaktion zwischen Containern und Hosts und anderen Containern weiter zu begrenzen.

5. Apparmor

Apparmor ist ein politisch basierter Zugriffskontrollmechanismus. Docker verwendet Apparmor, um Dateien, Netzwerkzugriff und Systemaufrufe nach Prozessen in Containern einzuschränken.

6. Benutzernamenspace

Der Benutzernamenspace isoliert die Benutzer -ID und die Gruppen -ID, so dass Prozesse im Container eine eigene Benutzer- und Gruppenumgebung haben und vom Host isoliert sind.

Durch diese Isolationsmechanismen können Docker -Container unabhängig voneinander laufen und werden vom Host isoliert, um Sicherheit, Leistung und Portabilität zu gewährleisten.

Das obige ist der detaillierte Inhalt vonWie man Isolation von Docker erreicht. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!