EP221: How Docker Works Under the Hood

KẾT LUẬN

Docker container không phải là máy ảo thu nhỏ mà chỉ là một tiến trình Linux thông thường được cách ly bằng namespaces và cgroups của kernel, không có guest OS hay hypervisor.

LUẬN ĐIỂM CHÍNH

• Docker hoạt động qua chuỗi 3 thành phần: dockerd → containerd → runc, mỗi thành phần đảm nhiệm một tầng trách nhiệm riêng biệt
• Container thực chất là một tiến trình Linux bình thường, được cách ly thông qua các tính năng của kernel (namespaces, cgroups) chứ không phải ảo hóa phần cứng
• Hệ thống filesystem của container là một stack các layer read-only chồng lên nhau, với một lớp writable trên cùng để lưu thay đổi mà không ảnh hưởng đến image gốc
• Cơ chế isolation của container đến từ kernel: namespaces cô lập tiến trình, cgroups giới hạn tài nguyên, network namespaces tạo interface mạng riêng

LUẬN ĐIỂM PHỤ

• dockerd kiểm tra image local trước, nếu không có mới pull từ registry (Docker Hub, ECR)
• containerd quản lý vòng đời container và tạo bundle gồm OCI config + root filesystem trước khi gọi runc
• runc tạo namespaces và mounts, khởi động tiến trình bên trong, rồi thoát ra – container tiếp tục chạy như tiến trình Linux độc lập

LUẬN CỨ & VÍ DỤ

• The running container is a regular Linux process with its own PID, network, and mount namespaces
• Its filesystem is a stack of read-only image layers with a writable layer on top, so changes inside the container do not modify the image
• There is no guest OS and no hypervisor

Nguồn: ByteByteGo | Phân tích bởi AI