user1620696's questions

我刚刚开始学习 Docker，有些事情让我很困惑。正如我在 Docker 网站上所读到的，容器与虚拟机不同。据我了解，容器只是一个沙箱，在其中运行整个隔离的文件系统。

我还读到容器没有安装来宾操作系统。相反，它依赖于底层操作系统内核。

这一切都很好。我感到困惑的是，有一些以操作系统命名的 Docker 镜像。我们看到 Ubuntu、Debian、Fedora、CentOS 等镜像。

我的观点是：这些图像是什么，真的吗？基于 Debian 映像创建容器与创建虚拟机并安装 Debian 有何不同？

我认为容器没有安装来宾操作系统，但是当我们创建图像时，我们将它们基于以某个操作系统命名的某个图像。

此外，在我看到的示例中docker run ubuntu echo "hello world"，似乎我们正在使用 Ubuntu 启动 VM 并使其运行命令echo "hello world"。

以同样的方式，我们docker run -it ubuntu /bin/bash似乎正在使用 Ubuntu 启动虚拟机并使用命令行访问它。

无论如何，那些以操作系统命名的图像是什么？使用其中一个映像运行容器并使用相应的来宾操作系统启动 VM 有何不同？

是不是我们只是与主机操作系统共享内核（因此我们可以访问底层机器硬件资源，而不需要虚拟化硬件），但仍然按顺序使用容器上每个不同系统的文件和二进制文件支持我们想要运行的任何应用程序？

目前，我正在使用 Windows Server 2012 Active Directory 处理网络上文件的权限，如下所示：我设置了一个域控制器，在域控制器上创建用户和组。之后，我选择一个文件夹进行共享，并在共享选项中添加具有读/写访问权限的每个人（我这样做是因为有人告诉我这样做会带来问题）。

然后在子文件夹上，为了限制访问，我在文件夹属性的安全选项卡上添加了我想拒绝访问并拒绝读/写权限的组。

这很好，但是，我发现这不是一个好方法。实际上，如果不断添加组，并且一个文件夹仅由一组访问，我将始终需要添加新的并拒绝访问它们。

一种可能发生这种情况的现实生活场景如下：一家公司有项目文件夹，每个项目都有特定的员工子集。所以他们为每个项目创建一个组，然后在项目的文件夹中，只有该特定项目的组应该有权访问。如果添加了新项目，则需要在每个项目文件夹中添加新组，这可能很乏味。

那么，如何在添加新组时更有效地拒绝对文件和文件夹的访问，而无需编辑安全选项？