docker隔離機制
Docker容器通過以下機制實現隔離：
1. 命名空間隔離
命名空間是一種Linux內核機制，允許創建獨立的虛擬環境，其中進程可以擁有自己的資源視圖。Docker容器使用以下命名空間類型：
PID 命名空間：隔離進程ID，使得容器中的進程擁有自己的PID空間。
網絡命名空間：隔離網絡接口，允許每個容器擁有自己的IP地址和路由表。
掛載命名空間：隔離文件系統掛載點，防止容器訪問主機文件系統。
2. 控制組（cgroups）
控制組是一種Linux內核機制，用于限制和隔離資源使用。Docker使用控制組限制容器對CPU、內存、塊設備和網絡等資源的訪問。
3. Union文件系統
Union文件系統（例如AUFS、OverlayFS和Devmapper）允許多個文件系統層疊在一起。Docker使用Union文件系統將容器鏡像和主機的底層文件系統結合起來，使得容器可以訪問鏡像中的文件，同時仍然能夠覆蓋主機文件系統中的某些文件。
4. SELinux
SELinux（安全增強型Linux）是一種安全模塊，可以強制實施訪問控制策略。Docker使用SELinux來進一步限制容器與主機及其他容器之間的交互。
5. AppArmor
AppArmor是一種基于策略的訪問控制機制。Docker使用AppArmor來限制容器內進程對文件的訪問、網絡訪問和系統調用。
6. 用戶命名空間
用戶命名空間隔離用戶ID和組ID，使得容器中進程擁有自己的用戶和組環境，與主機隔離。
通過這些隔離機制，Docker容器可以相互獨立地運行，并與主機隔離，從而確保安全性、性能和可移植性。
