Hoje em dia é muito comum o uso de containers em projetos de software, porém o que poucas pessoas sabem é como funciona a tecnologia por trás.

Containers isolam o processo do resto dos recursos do sistema operacional como a rede, filesystem, cgroup (linux control group), Process ID, usuários, entre outros.

Isolar processos em containers possui 2 objetivos principais: 1 - Garantir que o processo executará no mesmo ambiente e com as mesmas dependências independente de onde seja executado; 2 - Impedir que um processo possa afetar de alguma forma a execução de um outro processo, trazendo mais segurança e estabilidade para a aplicação.

Esses 2 objetivos são essenciais para que possamos utilizar serviços Cloud, aliás, todos estamos com nossas aplicações em mainframes compartilhados com outras aplicações.

Outra forma de atingir esses objetivos é através de máquinas virtuais.

As máquinas virtuais simulam a estrutura completa de uma máquina e traduz instruções para a máquina host, a grande diferença aqui é que os containers continuam compartilhando o mesmo kernel e não dependem de softwares que realizam a tradução de instruções, isso por si só garante a economia de recursos e o ganho de desempenho.

Todo esse isolamento do processo com o resto do sistema operacional ocorre através da funcionalidade do linux chamada de namespace. Com o namespace podemos isolar os recursos do sistema operacional para um determinado processo e com isso o processo isolado não sabe da existência dos recursos da máquina. É criado um mundo de mentirinha somente para ele.

Todo Dockerfile inicia com a instrução FROM onde indicamos alguma imagem disponível no hub.docker.com. Com isso podemos utilizar imagens de diferentes distribuições linux independente da distribuição sendo usada na máquina.

Isso só é possível pois com o isolamento dos recursos do sistema operacional todo o sistema de arquivos também é isolado. Dessa forma, dentro do container podemos montar uma nova distribuição com o comando mount e trocar a raiz do sistema operacional (diretório /) usando a system call pivot_root. A partir desse momento, o processo dentro do container passa a utilizar o sistema de arquivos da distribuição que foi montada. Detalhe importante, nenhuma dessas alterações afetam os recursos fora do container.

Outra coisa que também gera curiosidade, é a capacidade de limitar a quantidade de RAM e de CPU que um container pode utilizar (muito comum ao configurar PODs no Kubernetes). Isso só é possível por conta do namespace cgroup que nos dá o poder de isolar e limitar recursos como memória, CPU, uso de disco, uso de rede, etc.

Utilizar o Docker em outro S.O exige que exista uma VM com uma disto Linux. No caso do windows, isso é feito com o hyperV/WSL. No Mac isso pode ser feito utilizando o Lima.

Caso queira realmente implementar o seu próprio sistema de containers depois dessa introdução, recomendo que leia a fundo essa monografia com exemplos em Go.

Você sabia que toda a magia por trás dos containers é responsabilidade do linux?

Como criar o seu próprio Docker?

Aonde me encontrar