Какие механизмы использует операционная система для работы с контейнерами

Механизмы операционной системы для работы с контейнерами

Операционные системы, особенно Linux, используют несколько ключевых низкоуровневых механизмов для реализации контейнерной виртуализации, позволяя изолировать процессы и ресурсы, что является фундаментом для Docker, Kubernetes и других технологий. Эти механизмы позволяют запускать несколько независимых "контейнеров" на одном хосте, избегая накладных расходов полноценной виртуализации.

Ключевые компоненты Linux для контейнеров

1. Процессная изоляция и namespace

Namespace — это самый важный механизм, который позволяет процессам видеть только ограниченную часть системы. Linux предоставляет несколько типов namespace для изоляции разных ресурсов:

• PID namespace: Изолирует дерево процессов. Процессы в контейнере видят только свои PID и начинают с PID 1 внутри контейнера.
• Mount namespace: Изолирует точки монтирования файловой системы. Контейнер видит только своё собственное дерево файлов.
• Network namespace: Изолирует сетевые ресурсы (интерфейсы, IP-адреса, таблицы маршрутизации и порты). Каждый контейнер получает свою виртуальную сеть.
• IPC namespace: Изолирует ресурсы межпроцессного взаимодействия, например, очередь сообщений.
• UTS namespace: Изолирует идентификаторы хоста и домена (hostname, domainname).
• User namespace: Изолирует пространство пользовательских и групповых ID. Позволяет мапить пользователей внутри контейнера на другие UID/GID на хосте.

Пример создания нового PID namespace:

# Запуск процесса в новом PID namespace (unshare)
sudo unshare --fork --pid --mount-proc /bin/bash
# Внутри нового namespace процесс будет иметь PID 1
ps aux

2. Ограничение ресурсов и cgroups

Control Groups (cgroups) — это механизм для ограничения, учёта и изоляции использования ресурсов (CPU, память, диск, сеть) группой процессов. Cgroups позволяют предотвратить ситуацию, когда один контейнер монополизирует ресурсы хоста.

• CPU: Можно ограничить использование CPU (через cpu или cpuacct подсистемы).
• Memory: Ограничить максимальное использование памяти (memory подсистема).
• BlkIO: Контролировать операции ввода-вывода на блочные устройства.
• Network: Ограничить сетевой трафик (часто через net_cls).

Пример ограничения памяти для процесса через cgroups v2 (современный интерфейс):

# Создать новую группу
sudo mkdir /sys/fs/cgroup/container1
# Установить ограничение памяти в 100 МБ
sudo echo 100000000 > /sys/fs/cgroup/container1/memory.max
# Добавить процесс PID 12345 в эту группу
sudo echo 12345 > /sys/fs/cgroup/container1/cgroup.procs

3. Изоляция файловой системы и Copy-on-Write

Контейнеры часто используют комбинацию образов (immutable слои) и Copy-on-Write (CoW) механизмов для эффективного управления файлами.

• OverlayFS или Aufs: Эти драйверы объединённых файловых систем позволяют создать конечную файловую систему из нескольких слоёв (базовый образ + верхний слой изменений). Это реализует CoW — данные копируются только при изменении, что экономит место.
• chroot: Исторический механизм для изменения корневого каталога для процесса, часто используется совместно с mount namespace.

Пример структуры OverlayFS:

lowerdir=/base_image1,/base_image2  # Нижние, неизменяемые слои
upperdir=/container_changes          # Верхний, изменяемый слой
workdir=/work                        Рабочая директория для метаданных
merged=/merged_fs                    Итоговая объединённая файловая система

4. Сетевая изоляция и виртуализация

Для сетевой изоляции используются:

• Network namespace (основа): создаёт полностью независимый сетевой стек.
• Virtual Ethernet devices (veth): пары виртуальных устройств, соединяющих namespace. Они работают как туннель между сетью контейнера и хоста.
• Linux Bridge: для соединения нескольких veth-пар, создания виртуальной сети между контейнерами.
• iptables/nftables: для настройки правил маршрутизации и фильтрации трафика между сетями хоста и контейнеров.

Пример создания простой виртуальной сети между двумя контейнерами:

# Создать bridge
sudo brctl addbr br0
# Создать veth пары и присоединить их к namespace контейнеров
sudo ip link add veth1 type veth peer name ceth1
sudo ip link set ceth1 netns container1_ns
sudo ip link set veth1 master br0

5. Системные вызовы и capabilities

• seccomp: Фильтр системных вызовов, позволяющий ограничить набор доступных контейнеру системных вызовов Linux, уменьшая поверхность атаки.
• Linux Capabilities: Механизм для разбивания мощных прав суперпользователя (root) на более мелкие "способности". Контейнер может работать как root внутри namespace, но иметь ограниченные права на хосте (например, не может монтировать устройства).

Пример профиля seccomp, запрещающего опасные вызовы:

{
    "defaultAction": "SCMP_ACT_ALLOW",
    "syscalls": [
        {
            "names": ["chmod", "mount"],
            "action": "SCMP_ACT_ERRNO"
        }
    ]
}

Итог: Контейнеры в Linux — это не магия, а умное сочетание давно существующих механизмов ядра: namespace для изоляции, cgroups для ограничения ресурсов, CoW-файловые системы для управления образами и сетевых инструментов для виртуализации. Эти компоненты позволяют операционной системе создавать легковесные, безопасные и эффективные среды, которые мы называем контейнерами. Именно на них строятся все популярные контейнерные платформы.