3、容器技术全解析：从基础概念到应用优势

容器技术全解析：从基础概念到应用优势

1. 容器的本质

容器并不用于存储数据，其核心功能是为应用程序提供一个稳定且一致的运行时环境。数据需通过容器内的绑定挂载或网络存储（如NFS、S3、iSCSI等）进行外部访问。

容器的挂载隔离和镜像分层设计提供了一致的不可变基础设施，但为防止恶意进程逃离容器沙箱窃取主机敏感信息或利用主机攻击其他机器，还需更多安全限制。相关安全考虑如下：
- 强制访问控制 ：可使用SELinux或AppArmor来增强容器与父主机的隔离。这些子系统及其相关命令行工具基于策略，能更好地在文件系统和网络访问方面隔离运行进程。
- 能力机制 ：当系统中执行非特权进程（有效UID不为0）时，会根据进程凭证进行权限检查。这些权限被称为能力，可独立启用，为非特权进程分配访问特定资源的有限特权。运行容器时，可添加或删除能力。
- 安全计算模式（Seccomp） ：这是内核的原生功能，可限制进程从用户空间向内核空间发起的系统调用。管理员通过确定进程运行所需的严格必要特权，应用seccomp配置文件来缩小攻击面。

手动应用这些安全特性并非易事，需要一定学习成本。能自动化和简化（可能以声明方式）这些安全约束的工具具有很高价值。

2. 容器引擎与运行时

手动运行和保障容器安全既不可靠又复杂，难以在生产环境中重现和自动化，还易导致不同主机间的配置漂移。因此，容器引擎和运行时应运而生，用于自动化容器创建及相关任务。

容器引擎和运行时是两个不同概念，常被混淆：
-