Изоляция контейнера докеров, не заботятся ли о базовой ОС Linux?

Question

Если я запустил Docker Engine и тот же контейнер в наборе разных дистрибутивов Linux, будет ли контейнер работать таким же образом? Я спрашиваю, потому что во многих случаях приложения зависят от конкретного дистрибутива Linux для некоторых ресурсов, таких как шрифты. Если мое приложение, запущенное внутри контейнера Docker, зависит от шрифта, используемого в Ubuntu (и может быть много других зависимостей), как это управляется? Нужно ли мне устанавливать шрифт внутри контейнера, мне нужно запустить Ubuntu внутри контейнера, запускающего приложение, или приложение использует шрифты из базовой операционной системы, запускающей контейнер?

Answer 1

Любые недостающие ресурсы должны быть установлены в Docker image (который может начинаться с изображения ubuntu).
Он не должен полагаться на хост для зависимостей.

Идея состоит в том, чтобы иметь возможность воспроизводить среду каждый раз, когда контейнер запускается из изображения.

Контейнер не видит ресурсы хоста (рядом с установленными томами), поскольку он имеет механизм Docker между контейнером и хостом, чтобы настроить cgroups и namespaces, чтобы контролировать, какие ресурсы контейнер может видеть и получать.

The "fedora" image referenced in jboss/base является base image:

В терминологии Докер, только для чтения слой называется изображение. Изображение никогда не меняется.

Поскольку Docker использует файловую систему Union, процессы считают, что вся файловая система смонтирована read-write. Но все изменения идут на самый верхний слой, который можно записать, и под ним исходный файл в режиме только для чтения остается неизменным.
Поскольку изображения не меняются, изображения не имеют состояния.

См "What is the relationship between the docker host OS and the container base image OS?":

Единственная связь между хостовой ОС и контейнером является ядром.

Поскольку ядро ​​по-прежнему является ядром хоста, у вас не будет никакого конкретного модуля/патчей ядра, предоставляемого дистрибутивом.

Answer 2

Что вам нужно быть осторожным является

• зависимости ядра,
• и некоторых управления обязательным доступа (SELinux, Apparmor) конфигурацией, которые распределения зависят и может оказать влияние на то, как ваш Докерные контейнеры работают.