Les conteneurs depuis les premiers principes

Ce que vous allez vraiment apprendre

docker run fonctionne grâce à deux primitives du noyau Linux que la plupart des utilisateurs de conteneurs ne voient jamais directement : les namespaces, qui donnent à un processus sa propre vue privée du système de fichiers, du réseau et de l'arborescence des processus, et les cgroups, qui plafonnent le CPU et la mémoire qu'il a le droit de toucher. Ce parcours construit un conteneur à partir de ces deux primitives, au lieu de partir de la CLI Docker — à la fin, « conteneur » cesse de vouloir dire « VM allégée » et devient « processus Linux normal déguisé de façon très convaincante ».

Ce que vous serez capable de faire

Vous saurez expliquer — et reproduire — pourquoi un conteneur voit son propre PID 1 alors que l'hôte voit un numéro de processus complètement différent, pourquoi une limite mémoire est appliquée alors que rien n'a été « virtualisé », et pourquoi deux conteneurs partageant un même noyau constituent une frontière de sécurité fondamentalement différente de deux VM. C'est la différence entre utiliser Docker et comprendre réellement ce qui casse quand un conteneur s'échappe de son isolation.