Namespace’ler (Linux)
Linux çekirdeğinin bir süreç grubuna sistemin yalıtılmış kendi görünümünü — kendi süreç kimlikleri, kendi ağı, kendi dosya sistemi vb. — verme mekanizması. Bir konteynerin makinede yalnız olduğunu “sanmasını” sağlayan budur. cgroups ile birlikte konteynerlerin diğer temelidir.
Mekanizma: çekirdek, her biri sistemin bir yönünü yalıtan birkaç namespace türünü destekler: PID (kendi süreç kimlikleri, ana makinenin süreçlerini göremez), NET (kendi ağ yığını, kendi arayüzleri/IP’si), MNT (kendi dosya sistemi/bağlama noktaları), UTS (kendi ana makine adı), IPC (kendi paylaşılan belleği/kuyrukları) ve USER (kendi UID eşlemesi — rootless’ın temeli). Konteyner, kendi namespace’leri içinde çalışan ve cgroups ile sınırlanan bir süreçten ibarettir.
Kazanç: tam bir sanal makine olmadan hafif yalıtım (paylaşılan çekirdek, hızlı başlangıç). Sınırlama: çekirdek paylaşıldığından yalıtım bir sanal makineninkinden zayıftır; güvenilmeyen kodu çalıştırırken daha güçlü yalıtım için gVisor/Kata bu yüzden vardır. Namespace’ler (ne gördüğünüz) + cgroups (ne kadar aldığınız) = konteyner.