[%] 도커 컨테이너 생성이 사실상 운영체제안에 거대한 프로세스

[익명(118.235)]

하나 더 돌리는거?

[Riey(rerereq)]

더 통제된 프로세스인걸로앎

[익명(146.56)]

그렇다고 더 안전하진 않은게 함정ㅋㅋㅋ

[익명(125.251)]

프로세스(컨테이너) 안에 프로세스들이 도는게 아니라 linux kernel의 cgroup이랑 namespace 추가하는거임. 전자가 리소스 제한, 후자가 네임스페이스 제한. namespace들의 종류에는 mnt, pid, net, ipc 등등이 있는데 mnt를 제한해서 파일시스템이 격리된것처럼, pid를 제한해서 proc fs가 격리된것처럼 보이게 하는거임.

[익명(118.235)]

와 딱 내가 원하는 대답이야.. 복받아라!

[익명(125.251)]

그래서 아마 각 컨테이너마다 /sys/fs/cgroup 여기서 하나씩 확인해볼 수 있을거임