Chroot vs Docker

Je suis en train d'apprendre les notions de base sur les conteneurs (Docker dans ce cas). Aussi loin que je apprendre à partir du menu fixe doc et plusieurs lectures, Docker fondamentalement fournit une isolation par l'exécution du conteneur à l'aide de runc (précédemment à l'aide d' LXC). Soit façons, il utilise le même noyau que la machine hôte. Ainsi, le conteneur de l'image doit être compatible avec le noyau de l'hôte. Je trouve cela très semblable à ce que l' chroot n'. Quelqu'un pourrait m'expliquer les différences et/ou des avantages sur l'utilisation de Docker plutôt que de chroot? (en outre, les compléments apportés par le Panneau que l'emballage, le docker hub, et toutes les fonctionnalités fournies par Docker)

  • Les points saillants de la (re: noyau de l'espace de noms de l'isolement), les réponses se trouvent déjà dans les pas de fin "comment Docker diffèrent de X?", questions, même si nous ne l'avons pas déjà en avoir un pour le chroot en particulier.
  • Je pense avoir cette question spécifique est bien parce que chroot était la "première" solution d'isolation sous Linux, autant que je sache. Et c'est la première question qui vient à l'esprit parce que chroot les actions du noyau hôte aussi.
  • Stack Overflow est un site pour la programmation et les questions de développement. Cette question semble être hors-sujet, car il n'est pas sur la programmation ou le développement. Voir Quels sont les sujets que pouvez-vous nous parler ici dans le Centre d'Aide. Peut-être Super-Utilisateur ou Unix & Linux Stack Exchange serait un meilleur endroit pour demander cela.
InformationsquelleAutor rkachach | 2017-09-27
  1. 29

    Panneau permet d'isoler un processus à plusieurs niveaux, à travers les espaces de noms:

    • mnt espace de noms fournit un système de fichiers racine (celui-ci peut être comparé à chroot je suppose)
    • pid espace de noms de sorte que le processus ne voit que lui-même et ses enfants
    • espace de noms réseau qui permet au conteneur de disposer de son réseau dédié pile
    • utilisateur de l'espace de noms (tout nouveau) qui permet à un non racine de l'utilisateur sur un ordinateur hôte pour être mappé avec l'utilisateur root à l'intérieur du conteneur
    • uts fournit un nom d'hôte
    • cib fournit un mémoire partagée

    Tout cela ajoute plus de l'isolement que de chroot fournit

    • Il y a aussi des cgroups (pour les cpu et les limites de la mémoire), la réduction des capacités, seccomp, selinux/apparmor, et ulimits. Le système de fichiers est également en couches, potentiellement en lecture seule, et peuvent être superposées avec un volume de montures.
    InformationsquelleAutor Luc