Espaces de noms (Linux) namespaces
Le mécanisme du noyau Linux qui donne à un groupe de processus sa propre vue isolée du système — ses propres identifiants de processus, son propre réseau, son propre système de fichiers, etc. C'est ce qui fait « croire » à un conteneur qu'il est seul sur la machine. Avec les cgroups, l'autre fondation des conteneurs.
Mécanique : le noyau prend en charge plusieurs types de namespaces, chacun isolant un aspect : PID (ses propres identifiants de processus, sans voir ceux de l'hôte), NET (sa propre pile réseau, ses propres interfaces et IP), MNT (son propre système de fichiers et ses points de montage), UTS (son propre nom d'hôte), IPC (ses propres mémoires partagées et files de messages) et USER (son propre mappage des UID — la base du mode rootless). Un conteneur n'est rien d'autre qu'un processus exécuté dans un ensemble de namespaces à lui, et limité par des cgroups. Gain : une isolation légère sans machine virtuelle complète (noyau partagé, démarrage rapide). Limite : puisque le noyau est partagé, l'isolation est plus faible que celle d'une VM — d'où gVisor et Kata, pour une isolation renforcée quand on exécute du code non fiable. La combinaison namespaces (ce qu'on voit) + cgroups (ce qu'on obtient) EST un conteneur. Voir aussi cgroups v2 et conteneur rootless.