Docker和主控端作業系統檔案目錄互相隔離的實作原理

我們知道在Docker容器裡是無法通路到宿主作業系統的檔案目錄的，但這種隔離是怎麼實作的呢？

其實一點也不神奇——利用了Linux系統的内部指令chroot。

chroot能将程序的根目錄設定成任意指定的目錄。

使用chroot我們能建立一個新的程序，并且以chroot執行時傳入的參數作為新程序的根目錄。

因為新程序建立之後就無法通路除了新程序建立時傳入chroot參數之外的其他檔案目錄，為了確定這個新程序能夠正常工作，我們必須手動拷貝一些檔案到新程序的根目錄映射的舊目錄下。

做一個如下測試：

建立一個檔案夾，執行chroot . 意思是把檔案夾$HOME/container當作建立程序的根目錄。但是沒有成功，報錯誤消息chroot: failed to run command ‘/bin/bash’: No such file or directory

執行下面兩條指令：

執行指令ldd $HOME/container/bin/bash:

該指令為了檢視需要有哪些庫檔案得手動拷貝到檔案夾$/HOME/container/bin/bash下面：

根據ldd的輸出，再次執行下圖的八條指令：

再次執行chroot . ， 發現這次成功了：

pwd發現是在根目錄下，ls也隻能發現執行chroot時指定的container目錄下的子目錄：

這就是docker檔案目錄隔離的實作原理。