cgroups와 namespace — 컨테이너 격리가 실제로 작동하는 방식

┌── 가상 머신 ────────────┐    ┌── 컨테이너 ──────────────┐
│  ┌── Guest OS ────────┐ │    │  ┌── 애플리케이션 ──────┐ │
│  │  ┌── App ────────┐ │ │    │  │                      │ │
│  │  └───────────────┘ │ │    │  └──────────────────────┘ │
│  └────────────────────┘ │    │  namespace + cgroups       │
│  하이퍼바이저             │    │  호스트 커널 공유          │
│  호스트 OS               │    │  호스트 OS               │
└─────────────────────────┘    └──────────────────────────┘

# 호스트에서 보이는 프로세스
ps aux | grep nginx
# root  12345  nginx: master process
# nginx 12346  nginx: worker process

# 컨테이너 내부에서 보이는 프로세스
docker exec mynginx ps aux
# PID  USER   COMMAND
# 1    root   nginx: master process    ← PID 1
# 7    nginx  nginx: worker process

# 컨테이너의 네임스페이스 확인
ls -la /proc/$(docker inspect --format '{{.State.Pid}}' mynginx)/ns/
# pid -> pid:[4026532xxx]
# net -> net:[4026532yyy]
# mnt -> mnt:[4026532zzz]
# ...

# 컨테이너의 네트워크 인터페이스
docker exec myapp ip addr
# 1: lo: <LOOPBACK,UP> inet 127.0.0.1/8
# 42: eth0@if43: <BROADCAST,UP> inet 172.17.0.2/16

# 호스트의 네트워크 인터페이스 (완전히 다름)
ip addr
# 1: lo: <LOOPBACK,UP> inet 127.0.0.1/8
# 2: eth0: <BROADCAST,UP> inet 192.168.1.10/24
# 3: docker0: <BROADCAST,UP> inet 172.17.0.1/16
# 43: vethXXX@if42: <BROADCAST,UP>

# 컨테이너 내부의 파일 시스템 (OverlayFS)
docker exec myapp mount | head -5
# overlay on / type overlay (rw,relatime,lowerdir=...,upperdir=...,workdir=...)
# proc on /proc type proc (rw,nosuid,nodev,noexec)
# tmpfs on /dev type tmpfs (rw,nosuid)

# 컨테이너의 호스트명
docker exec myapp hostname
# a1b2c3d4e5f6 (컨테이너 ID)

# 호스트의 호스트명
hostname
# my-server

컨테이너 내부:  root (UID 0)
     ↕ 매핑
호스트:         nobody (UID 65534) 또는 다른 일반 사용자

# User namespace 매핑 확인 (rootless Docker)
cat /proc/$(docker inspect --format '{{.State.Pid}}' myapp)/uid_map
# 0     100000     65536
# 컨테이너의 UID 0 → 호스트의 UID 100000

# 메모리 제한
docker run --memory 512m myapp

# CPU 제한
docker run --cpus 1.5 myapp

# 현재 cgroup 설정 확인
docker inspect myapp --format '{{.HostConfig.Memory}}'
# 536870912 (512MB in bytes)

# 리소스 사용량 모니터링
docker stats myapp
# CONTAINER  CPU %  MEM USAGE / LIMIT  MEM %
# myapp      0.50%  128MiB / 512MiB    25.00%

# cgroups v1: 각 서브시스템이 별도 계층
ls /sys/fs/cgroup/
# blkio/  cpu/  cpuset/  devices/  memory/  pids/  ...

# 특정 컨테이너의 메모리 제한 확인
cat /sys/fs/cgroup/memory/docker/<container-id>/memory.limit_in_bytes

# cgroups v2: 통합된 계층 구조
ls /sys/fs/cgroup/system.slice/docker-<container-id>.scope/
# memory.max  cpu.max  pids.max  ...

# 현재 cgroups 버전 확인
stat -fc %T /sys/fs/cgroup/
# cgroup2fs → v2
# tmpfs → v1

# 또는
mount | grep cgroup

docker run --memory 256m --memory-swap 256m myapp

┌── 메모리 cgroup ──────────────────────┐
│  memory.max = 256MB                   │
│  memory.swap.max = 0MB (스왑 없음)    │
│                                       │
│  사용량이 256MB 초과 시:               │
│  1. 커널이 reclaim 시도               │
│  2. reclaim 실패 시 OOM Killer 작동   │
│  3. 컨테이너 프로세스 종료 (OOMKilled)  │
└───────────────────────────────────────┘

# OOMKilled 확인
docker inspect myapp --format '{{.State.OOMKilled}}'
# true

1. 새 네임스페이스 생성 (PID, Net, Mount, UTS, IPC, User)
2. cgroup 생성 및 리소스 제한 설정
3. 루트 파일 시스템 구성 (OverlayFS)
4. 네트워크 인터페이스 연결 (veth pair)
5. 프로세스 실행 (ENTRYPOINT/CMD)

# PID + Mount 네임스페이스를 만들어 새 셸 실행 (개념 이해용)
sudo unshare --pid --mount --fork /bin/bash

# 새 네임스페이스 안에서
mount -t proc proc /proc
ps aux
# PID  COMMAND
# 1    /bin/bash   ← PID 1!

# 컨테이너의 네임스페이스 ID 확인
docker inspect --format '{{.State.Pid}}' myapp
# 12345

ls -la /proc/12345/ns/
# ipc -> ipc:[4026532xxx]
# mnt -> mnt:[4026532yyy]
# net -> net:[4026532zzz]
# pid -> pid:[4026532aaa]
# user -> user:[4026531837]  ← 호스트와 같으면 User NS 미사용
# uts -> uts:[4026532bbb]

# 호스트의 네임스페이스 ID와 비교
ls -la /proc/1/ns/
# 다른 숫자면 격리됨, 같으면 공유