cgroup membatasi sumber daya yang dapat digunakan oleh proses atau serangkaian proses sumber daya ini dapat berupa CPU,Memori, I/O Jaringan atau akses ke sistem file sementara namespace membatasi visibilitas grup proses ke seluruh sistem.
kunjungi untuk perincian lebih lanjut Bagaimana Grup Kernel Linux Dan Ruang Nama Membuat Kontainer Modern Menjadi Mungkin
Tautan yang sesuai untuk kedua gagasan tersebut telah diperbaiki di PR 14307:
Di bawah terpal, Docker dibangun di atas komponen berikut:
cgroup dan
namespaceskemampuan kernel Linux
Dengan:
- grup :Grup Kontrol menyediakan mekanisme untuk menggabungkan/mempartisi kumpulan tugas, dan semua turunannya di masa depan, ke dalam grup hierarkis dengan perilaku khusus.
- ruang nama :membungkus sumber daya sistem global dalam abstraksi yang membuatnya tampak bagi proses di dalam namespace bahwa mereka memiliki instance sumber daya global mereka sendiri yang terisolasi.
Singkatnya:
- Grup C =membatasi berapa banyak yang dapat Anda gunakan;
- ruang nama =membatasi apa yang dapat Anda lihat (dan karenanya gunakan)
Lihat lebih lanjut di "Anatomy of a Container:Namespaces, cgroups &Some Filesystem Magic" oleh Jérôme Petazzoni.
Cgroup melibatkan pengukuran dan pembatasan sumber daya:
- memori
- CPU
- blokir I/O
- jaringan
Ruang nama menyediakan proses dengan tampilan sistemnya sendiri
Beberapa ruang nama:
- pid
- bersih
- mnt
- uts
- ipc
- pengguna:pengguna itu lulus dari eksperimental di docker 1.10
(pemetaan ulang per-daemon-instance dari container root ke pengguna yang tidak memiliki hak sedang berlangsung:PR 12648:lihat desainnya)