도커와 리눅스 컨테이너

도커와 리눅스 컨테이너

November 5, 2024

커널360 기술 세미나

오늘은 도커 컨테이너에 대해 이야기해보겠습니다.

도커 컨테이너는 가상머신이 아니라 리눅스 프로세스입니다.

도커는 리눅스의 커널이 제공하는 기술을 활용합니다.

“컨테이너는 리눅스 프로세스이며, 도커는 리눅스 커널이 제공하는 기능을 사용하는 API 데몬이다.”
<Red Hat 컨퍼런스 발표 영상>

그래서 윈도우, 맥에서는 다음의 과정을 거쳐 도커가 실행됩니다.

컨테이너는 리눅스 커널이 제공하는 아래 2가지 기능을 이용해 격리됩니다.

프로세스가 자원을 얼마나 사용하게 할지 결정한다

cgroups는 프로세스들의 자원 사용(cpu, 메모리, 네트워크)를 제한하고 격리시키는 Linux 커널 기능입니다.

cgroups를 이용하면, 하드웨어 자원의 사용 범위를 어플리케이션마다 다르게 할당할 수 있습니다. (리눅스 메뉴얼)

프로세스가 어떤 자원을 볼 수 있는지 결정한다

프로세스의 다양한 측면을 격리하는 Linux 커널 기능입니다.

한 프로세스 집합은 한 리소스 집합을 보고 다른 프로세스 집합은 다른 리소스 집합을 보도록 리소스를 분할하는 기능입니다. (리눅스 메뉴얼)

위 6가지 네임스페이스 중, 2가지만 이야기해보겠습니다.

도커 컨테이너의 마운트는 커널의 mnt 네임스페이스 기능입니다.

따라서 도커 컨테이너에 exec -it bin/bash 명령어로 접속한 뒤, ls 명령어를 실행한 결과는 namesapace로 접속한 마운트 경로와 실제로 동일합니다.

1번 PID를 가진 프로세스는 특별한 프로세스입니다. pid 1은 init 프로세스로 커널이 생성합니다.

다음은 1번 프로세스의 특징입니다.

도커 프로세스는 자신의 PID 네임스페이스를 갖게 됩니다.

따라서 컨테이너 내부로 접속해서 ps 명령어를 실행하면, 컨테이너 실행 태스크가 곧 PID 1번을 갖게 됩니다.

우리가 컨테이너 Stop 명령어를 실행하면, 도커는 해당 PID 네임스페이스의 1번에게 종료 시그널을 보냅니다. 이로 인해 PID 1번이 종료되고, 해당 네임스페이스가 닫힙니다.

이때 주의할 점은, Init 프로세스와 다르게 컨테이너의 PID 1번은 자식 프로세스에게 종료 시그널을 전파하지 않는다는 점입니다. 따라서 컨테이너를 생성한 개발자가 직접 시그널을 전파하는 작업을 해줘야 합니다.

결국 도커는 리눅스의 기능을 활용하는 api 데몬이며, 내부적으로 리눅스 커널이 제공하는 Cgroups와 Namespace 기능을 이용해 컨테이너를 생성합니다.

이번 글에서 도커가 내부적으로 어떻게 컨테이너를 생성하는지 간략히 소개해보았습니다.

앞으로 프로젝트를 하며 도커를 사용함에 있어 작은 도움이 되셨길 바라며 글을 마치겠습니다.