컨테이너와 OS — 네임스페이스와 cgroup으로 이해하는 Docker의 원리

┌─────────────────────────────────┐
│           App A    │   App B    │
│         Guest OS   │  Guest OS  │
│        (커널 포함)  │ (커널 포함) │
├─────────────────────────────────┤
│         하이퍼바이저 (VMM)       │
├─────────────────────────────────┤
│           호스트 OS + 커널       │
├─────────────────────────────────┤
│             하드웨어             │
└─────────────────────────────────┘

┌─────────────────────────────────┐
│   App A    │   App B   │ App C  │
│  (격리됨)   │  (격리됨)  │(격리됨)│
├─────────────────────────────────┤
│  컨테이너 런타임 (Docker/runc)   │
├─────────────────────────────────┤
│     호스트 OS + 커널 (공유!)     │
├─────────────────────────────────┤
│             하드웨어             │
└─────────────────────────────────┘

# 컨테이너는 자기만의 루트 파일시스템을 가짐
# 호스트의 / 와 컨테이너의 / 는 완전히 다른 파일시스템
$ docker exec my-container ls /
bin  dev  etc  home  lib  proc  root  sys  tmp  usr  var

# 호스트
$ hostname
my-server

# 컨테이너 내부
$ docker exec my-container hostname
a1b2c3d4e5f6  # 컨테이너 ID가 호스트명

# 호스트에서 보면
$ ps aux | grep nginx
root  12345  nginx: master process  # 호스트 PID

# 컨테이너 안에서 보면
$ docker exec my-nginx ps aux
PID  USER  COMMAND
  1  root  nginx: master process   # 컨테이너 내 PID 1
  8  nginx nginx: worker process

# 각 컨테이너는 독립적인 네트워크 인터페이스를 가짐
$ docker exec my-container ip addr
1: lo: <LOOPBACK,UP> ...
2: eth0@if10: <BROADCAST,UP> ...  # 가상 이더넷 (veth pair)

# 컨테이너 안에서 root(UID 0)로 보이지만
# 호스트에서는 일반 사용자(UID 65534 등)로 매핑

/sys/fs/cgroup/
├── cpu/          # CPU 컨트롤러 (별도 계층)
│   └── docker/
│       └── <container-id>/
├── memory/       # 메모리 컨트롤러 (별도 계층)
│   └── docker/
│       └── <container-id>/
└── blkio/        # IO 컨트롤러 (별도 계층)

/sys/fs/cgroup/
└── docker/
    └── <container-id>/
        ├── cgroup.controllers   # 사용 가능한 컨트롤러 목록
        ├── cpu.max              # CPU 제한
        ├── memory.max           # 메모리 제한
        └── io.max               # IO 제한

docker run nginx
    │
    ▼
Docker 데몬 (dockerd)
    │
    ▼
containerd (컨테이너 관리)
    │
    ▼
runc (OCI 런타임)
    │
    ├─ 1. clone() 시스템 콜 with 네임스페이스 플래그
    │     CLONE_NEWPID | CLONE_NEWNS | CLONE_NEWNET | ...
    │     → 새로운 네임스페이스를 가진 프로세스 생성
    │
    ├─ 2. /sys/fs/cgroup 디렉토리 생성
    │     → cgroup 트리에 새 그룹 생성
    │
    ├─ 3. 자원 제한 쓰기
    │     echo "512M" > /sys/fs/cgroup/docker/<id>/memory.max
    │     echo "200000 100000" > /sys/fs/cgroup/docker/<id>/cpu.max
    │
    ├─ 4. 프로세스를 cgroup에 할당
    │     echo <pid> > /sys/fs/cgroup/docker/<id>/cgroup.procs
    │
    └─ 5. pivot_root()로 루트 파일시스템 변경
          → 컨테이너 이미지를 루트로 마운트

// runc가 내부적으로 실행하는 것의 단순화
int flags = CLONE_NEWPID   // 새 PID 네임스페이스
          | CLONE_NEWNS    // 새 Mount 네임스페이스
          | CLONE_NEWNET   // 새 Network 네임스페이스
          | CLONE_NEWUTS   // 새 UTS 네임스페이스
          | CLONE_NEWIPC   // 새 IPC 네임스페이스
          | CLONE_NEWUSER; // 새 User 네임스페이스

pid_t child = clone(container_main, stack, flags, args);

VM:
  App → Guest 커널 → 하이퍼바이저 → Host 커널
  (커널 취약점이 Guest에만 영향)

컨테이너:
  App → Host 커널 (직접!)
  (커널 취약점이 모든 컨테이너에 영향)

# 절대 하면 안 되는 것
docker run --privileged my-app          # 거의 모든 격리 해제
docker run -v /:/host my-app            # 호스트 전체 파일시스템 노출
docker run --pid=host my-app            # 호스트 프로세스 전체 노출

# 권장 사항
docker run --read-only my-app           # 읽기 전용 파일시스템
docker run --security-opt=no-new-privileges my-app  # 권한 상승 방지
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE my-app  # 최소 권한