Контейнер

Определение простыми словами

Контейнер — это упакованное приложение со всеми зависимостями, которое работает на любом сервере с той же архитектурой. Внутри собственная корневая ФС, свой PID-1, свой сетевой стек. Снаружи — обычный процесс, разделяющий ядро Linux с десятками других контейнеров.

В отличие от виртуальной машины, контейнер не эмулирует железо: вместо гипервизора используются механизмы ядра — namespaces (изоляция) и cgroups (квоты CPU/RAM/IO). Запуск занимает 50–200 мс, образ весит от 5 МБ. Самый известный движок — Docker, low-level рантайм — runc/containerd, оркестратор — Kubernetes.

Сравнение

Кейсы использования

• Микросервисная архитектура: каждый сервис в своём контейнере с собственной версией зависимостей.
• CI/CD: тесты прогоняются в чистом контейнере, который удаляется после сборки.
• Локальная разработка: команда поднимает Postgres + Redis + бэкенд одной командой docker compose up.
• Размещение Telegram-бота, парсера или скрипта на VPS — компактный образ + автозапуск через systemd.
• Негативный сценарий: запуск контейнера от root и пробрасывание /var/run/docker.sock внутрь — компрометация контейнера = root на хосте. Лечится rootless-режимом и user namespaces.

Технические детали

# Запуск контейнера с лимитами на CPU и память
docker run -d --name api 
  --cpus="1.5" --memory="512m" 
  -p 8080:8080 
  -v $(pwd)/data:/app/data 
  myorg/api:1.4.2

# Посмотреть процессы внутри
docker top api

# Изоляция в чистом виде через runc + namespaces
sudo unshare --pid --net --mount --uts --ipc --fork 
  chroot /opt/rootfs /bin/sh

# Бэкап образа
docker save myorg/api:1.4.2 | gzip > api-1.4.2.tar.gz

Стек обычно дополняет реестр (Harbor, GHCR) и оркестратор. Подробнее о среде запуска — в статьях про Docker и LXC.

Частые вопросы