docker隔离机制
Docker容器通过以下机制实现隔离：
1. 命名空间隔离
命名空间是一种Linux内核机制，允许创建独立的虚拟环境，其中进程可以拥有自己的资源视图。Docker容器使用以下命名空间类型：
- PID 命名空间：隔离进程ID，使得容器中的进程拥有自己的PID空间。
- 网络命名空间：隔离网络接口，允许每个容器拥有自己的IP地址和路由表。
- 挂载命名空间：隔离文件系统挂载点，防止容器访问主机文件系统。
2. 控制组（cgroups）
控制组是一种Linux内核机制，用于限制和隔离资源使用。Docker使用控制组限制容器对CPU、内存、块设备和网络等资源的访问。
3. Union文件系统
Union文件系统（例如AUFS、OverlayFS和Devmapper）允许多个文件系统层叠在一起。Docker使用Union文件系统将容器镜像和主机的底层文件系统结合起来，使得容器可以访问镜像中的文件，同时仍然能够覆盖主机文件系统中的某些文件。
4. SELinux
SELinux（安全增强型Linux）是一种安全模块，可以强制实施访问控制策略。Docker使用SELinux来进一步限制容器与主机及其他容器之间的交互。
5. AppArmor
AppArmor是一种基于策略的访问控制机制。Docker使用AppArmor来限制容器内进程对文件的访问、网络访问和系统调用。
6. 用户命名空间
用户命名空间隔离用户ID和组ID，使得容器中进程拥有自己的用户和组环境，与主机隔离。
通过这些隔离机制，Docker容器可以相互独立地运行，并与主机隔离，从而确保安全性、性能和可移植性。
