Dockerの隔離を達成する方法

Docker分離メカニズム

Dockerコンテナは、次のメカニズムを通じて分離されます。

1。名前空間分離

名前空間は、プロセスが独自のリソースビューを持つことができるスタンドアロン仮想環境を作成できるLinuxカーネルメカニズムです。 Dockerコンテナは、次の名前空間タイプを使用します。

• PID名空間：コンテナ内のプロセスに独自のPIDスペースがあるように、プロセスIDを分離します。
• ネットワークネームスペース：分離ネットワークインターフェイスで、各コンテナが独自のIPアドレスとルーティングテーブルを持つことができます。
• マウントネームスペース：ファイルシステムマウントポイントを隔離し、コンテナがホストファイルシステムにアクセスしないようにします。

2。コントロールグループ（cgroups）

コントロールグループは、リソースの使用を制限および分離するために使用されるLinuxカーネルメカニズムです。 Dockerは、コントロールグループを使用して、CPU、メモリ、ブロックデバイス、ネットワークなどのリソースへのコンテナアクセスを制限します。

3。ユニオンファイルシステム

AUFS、OverlayFS、DevMapperなどのユニオンファイルシステムにより、複数のファイルシステムを一緒に積み重ねることができます。 Dockerはユニオンファイルシステムを使用して、コンテナ画像とホストの基礎となるファイルシステムを組み合わせて、コンテナがイメージ内のファイルにアクセスできるようにしながら、ホストファイルシステムの特定のファイルを上書きできるようにします。

4。Selinux

SELINUX（Security Enhanced Linux）は、アクセス制御ポリシーを実施するセキュリティモジュールです。 DockerはSELINUXを使用して、コンテナとホスト、その他のコンテナ間の相互作用をさらに制限します。

5。Apparmor

Apparmorは、ポリシーベースのアクセス制御メカニズムです。 DockerはApparmorを使用して、コンテナ内のプロセスによるファイル、ネットワークアクセス、およびシステムコールを制限します。

6。ユーザー名空間

ユーザーネームスペースはユーザーIDとグループIDを分離するため、コンテナ内のプロセスには独自のユーザー環境があり、ホストから分離されます。

これらの分離メカニズムを通じて、Dockerコンテナは互いに独立して実行され、ホストから分離され、セキュリティ、パフォーマンス、および移植性が確保されます。

以上がDockerの隔離を達成する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。