2-컨테이너에서 사용되는 기술

namespaces

다른 네임스페이스의 PID집합과 독릭접인 프로세스 집합을 프로세스에 할당함
새 네임스페이스에서 생성된 첫번째 프로세스는 PID 1을 가지며, 하위 프로세스는 후속 PID를 할당받음
자식 프로세스가 자체 PID 네임스페이스를 사용하여 생성된 경우, 해당 네임스페이스의 PID 1과 부모 프로세스의 네임프로세스에 있는 PID를 가짐

독립적인 네트워스택을 가짐
자체 private routing table, IP 주소 집합, 소켓 목록(socket list), 연결 추적 테이블(connect tracking table), 방화벽 및 기타 네트워크 관련 리소스를 가짐

프로세스 list들의 CPU, 메모리, 디스크I/O, 네트워크 등 리소스 사용량을 제한, 설명(account for) 격리하는 Linux 커널의 기능
프로세스 또는 프로세스 집합에서 특정 주요 리소스에 엑세스하거나 사용할 수 있는 양을 제어함
컨테이너에서 함께 제어해야 하는 에러 프로세스가 실행되는 경우가 많기에, cgroup은 컨테이너에서 핵심 구성요소임

V1 vs V2
v2의 가장 큰 변화는 간소화된 트리 아키텍처, cgroup 계층 구조의 새로은 기능 및 인터페이스, rootless 컨테이너의 더 나은 수용임

1
chroot [OPTION] NEWROOT [COMMAND [ARG]...]

ubuntu에서 테스트를 위해 apt install libcap2-bin 필요

Capability	의미
CAP_CHOWN	사용자가 파일의 UID/GID를 임의로 변경할 수 있도록 허용
CAP_KILL	다른 사용자에게 속한 프로세스에 신호를 보낼 수 있도록 허용
CAP_SETUID	UID를 변경할 수 있도록 허용
CAP_SETPCAP	실행 중인 프로세스의 Capability를 설정할 수 있도록 허용
CAP_NET_ADMIN	인터페이스 구성과 같은 다양한 네트워크 관련 작업을 허용
CAP_NET_RAM	RAW 와 PACKET 소켓의 사용을 허용
CAP_SYS_CHROOT	chroot 호출 허용
CAP_SYS_ADMIN	파일 시스템 마운트를 포함한 시스템 관리 작업을 허용
CAP_SYS_PTRACE	strace를 사용하여 프로세스를 디버그할 수 있도록 허용
CAP_SYS_MODULE	커널 모듈의 로딩을 허용