7 Min. de lecture<\/p>\n
Tu appuies sur le bouton d’alimentation et quelques secondes plus tard, ton curseur bouge. Ce qui se passe entre les deux est le logiciel le plus sous-estim\u00e9 au monde – et c’est exactement ce sur quoi repose chaque pod, chaque conteneur et chaque VM cloud.<\/strong><\/p>\n En rapport :<\/span>Kubernetes 1.31 Conteneurs Sidecar \/<\/span> Comparaison des environnements d’ex\u00e9cution de conteneurs<\/p>\n Un syst\u00e8me d’exploitation n’est pas un programme unique, mais une s\u00e9quence chor\u00e9graphi\u00e9e de dix \u00e9tapes. Quiconque d\u00e9bogue des conteneurs ou planifie des clusters Kubernetes travaille chaque jour avec le r\u00e9sultat – la plupart du temps sans savoir ce qui se passe dans la salle des machines.<\/p>\n Tu appuies sur le bouton d’alimentation. Le courant \u00e9lectrique arrive sur la carte m\u00e8re, la CPU se r\u00e9veille et ex\u00e9cute la toute premi\u00e8re instruction \u00e0 une adresse c\u00e2bl\u00e9e. \u00c0 ce stade, il n’y a ni gestion de la m\u00e9moire ni fichiers – juste un seul c\u0153ur qui ex\u00e9cute un firmware. Sur les ordinateurs modernes, il s’appelle UEFI, auparavant c’\u00e9tait le BIOS.<\/p>\n Le firmware r\u00e9veille juste assez de mat\u00e9riel pour trouver un disque dur et passe ensuite la main au chargeur de d\u00e9marrage : Grub sous Linux, iBoot sur Mac, Boot Manager sous Windows. Le chargeur de d\u00e9marrage a exactement une t\u00e2che – charger le noyau dans la RAM. D\u00e8s que cela est fait, la CPU fonctionne en anneau 0<\/strong>, le mode avec contr\u00f4le total du mat\u00e9riel.<\/p>\n L’anneau 0 contre l’anneau 3 est la ligne de d\u00e9marcation la plus importante de ton ordinateur. Les CPU x86 ont quatre anneaux, mais seuls deux comptent vraiment : l’anneau 0 pour le noyau, l’anneau 3 pour tout le reste. Un bogue dans le code de l’anneau 0 paralyse toute la machine – la c\u00e9l\u00e8bre panne de Crowdstrike \u00e0 l’\u00e9t\u00e9 2024 \u00e9tait pr\u00e9cis\u00e9ment cela : un pilote d\u00e9fectueux dans l’anneau 0 qui a provoqu\u00e9 l’\u00e9cran bleu de la mort sur des machines Windows dans le monde entier.<\/p>\n Lorsqu’un programme demande une adresse m\u00e9moire, cette adresse est presque toujours un mensonge. Il s’agit d’une adresse virtuelle qu’un composant mat\u00e9riel appel\u00e9 MMU (Unit\u00e9 de gestion de la m\u00e9moire) traduit en une v\u00e9ritable adresse physique. La traduction se fait via une structure de donn\u00e9es appel\u00e9e Table des pages, que le noyau g\u00e8re par processus. La m\u00e9moire est fournie en pages de 4 kilo-octets, chaque processus obtient son propre espace d’adressage virtuel.<\/p>\n La MMU met en cache les traductions fr\u00e9quentes dans un tampon minuscule, le TLB. Lorsqu’un processus acc\u00e8de \u00e0 une page qui n’est pas en RAM, la MMU d\u00e9clenche une erreur de page, le noyau charge la page depuis le disque et le processus continue comme si de rien n’\u00e9tait. C’est pr\u00e9cis\u00e9ment ce m\u00e9canisme qui est \u00e0 la base des limites de m\u00e9moire des conteneurs : lorsqu’un pod d\u00e9passe sa limite de cgroup, l’OOM Killer intervient et tue le processus – pas de swap, pas d’avertissement.<\/p>\n D\u00e8s que le noyau conna\u00eet la m\u00e9moire et le syst\u00e8me de fichiers, il charge les pilotes. Les pilotes traduisent les requ\u00eates g\u00e9n\u00e9riques du noyau en commandes sp\u00e9cifiques aux puces pour le GPU, la carte Wi-Fi, le clavier. Ils s’ex\u00e9cutent dans l’anneau 0, ce qui est pratique pour les performances, mais dangereux pour la stabilit\u00e9. L’incident Crowdstrike mentionn\u00e9 pr\u00e9c\u00e9demment est un rappel \u00e0 l’industrie de l’importance de prendre au s\u00e9rieux les r\u00e9visions des pilotes.<\/p>\n Avec les pilotes, le noyau active les interruptions<\/strong>. Comment un syst\u00e8me d’exploitation sait-il que tu viens d’appuyer sur une touche ? Il ne le demande pas dans une boucle infinie. Au lieu de cela, le clavier envoie un signal \u00e9lectrique qui interrompt la t\u00e2che actuelle du processeur et fait sauter le noyau dans un gestionnaire d’interruptions. Chaque mouvement de souris, chaque paquet Wi-Fi, chaque r\u00e9ponse du disque est une interruption.<\/p>\n Ce n’est qu’\u00e0 ce moment-l\u00e0 que le noyau cr\u00e9e le premier processus en espace utilisateur : PID 1, g\u00e9n\u00e9ralement systemd<\/strong> sous Linux moderne. PID 1 est l’anc\u00eatre de tous les autres processus – si PID 1 meurt, le noyau panique et l’ordinateur s’arr\u00eate. \u00c0 partir de ce moment, tout s’ex\u00e9cute dans l’anneau 3 et doit demander l’autorisation au noyau via des appels syst\u00e8me<\/strong> chaque fois qu’il souhaite acc\u00e9der au syst\u00e8me de fichiers, au r\u00e9seau ou au mat\u00e9riel.<\/p>\n Une VM cloud moderne dispose peut-\u00eatre de huit ou seize vCPU, mais de centaines de processus. Pour que cela fonctionne, il existe l’ordonnanceur<\/strong> (Scheduler<\/strong>). Il d\u00e9cide \u00e0 l’\u00e9chelle de la milliseconde quel processus s’ex\u00e9cute sur quel c\u0153ur. L’ordonnanceur Linux actuel s’appelle EEVDF (Earliest Eligible Virtual Deadline First) et garantit \u00e0 chaque processus sa juste part de CPU.<\/p>\n Lorsque tu tapes kubectl get pods<\/strong> dans Kubernetes, le m\u00eame m\u00e9canisme s’ex\u00e9cute en arri\u00e8re-plan, un niveau plus haut : l’ordonnanceur Kubernetes r\u00e9partit les pods sur les n\u0153uds, de la m\u00eame mani\u00e8re que l’ordonnanceur Linux r\u00e9partit les processus sur les c\u0153urs. Les requ\u00eates et limites de ressources dans K8s sont les \u00e9quivalents des valeurs nice<\/strong> et des quotas cgroup au niveau du syst\u00e8me d’exploitation.<\/p>\n Au sein d’un processus, il arrive souvent que plus d’un chemin s’ex\u00e9cute – via des threads<\/strong>. Les threads partagent la m\u00e9moire, mais disposent de leurs propres piles. C’est puissant, mais dangereux : si deux threads \u00e9crivent simultan\u00e9ment sur la m\u00eame variable, des conditions de course apparaissent. Les langages modernes tentent de pr\u00e9venir cela, Go via les goroutines avec canaux, Rust via le v\u00e9rificateur d’emprunt qui refuse le code non s\u00fbr pour les threads d\u00e8s la compilation.<\/p>\n Lorsque deux processus compl\u00e8tement distincts doivent communiquer entre eux, l’IPC<\/strong> – la communication inter-processus – est utile. La forme la plus simple est la pipe, invent\u00e9e en 1973 par Doug McIlroy chez Bell Labs et toujours incontournable aujourd’hui : cat log.txt | grep ERROR<\/strong> en est un exemple. Il existe \u00e9galement des sockets et des files de messages – toute l’architecture des microservices est conceptuellement de l’IPC, mais \u00e9tendue au r\u00e9seau.<\/p>\n Un conteneur n’est pas un syst\u00e8me d’exploitation \u00e0 part enti\u00e8re. Il s’agit d’un processus d’espace utilisateur sur un noyau h\u00f4te, isol\u00e9 via des namespaces et limit\u00e9 en ressources via des cgroups. C’est pr\u00e9cis\u00e9ment pour cela que les conteneurs d\u00e9marrent en millisecondes au lieu de secondes comme une VM – le v\u00e9ritable syst\u00e8me d’exploitation est d\u00e9j\u00e0 en cours d’ex\u00e9cution. Une fois compris, cela permet de d\u00e9boguer les pods OOMKilled, les workloads critiques en latence et les architectures Sidecar avec un regard compl\u00e8tement diff\u00e9rent.<\/p>\n La vid\u00e9o Fireship \u00ab\u00a0Every operating system concept in one video\u00a0\u00bb<\/a> pr\u00e9sente les dix \u00e9tapes en onze minutes – un excellent compl\u00e9ment visuel sous forme de crash course. Pour aller plus loin, la documentation du noyau Linux<\/a> et la lecture classique \u00ab\u00a0Operating Systems: Three Easy Pieces\u00a0\u00bb de Remzi Arpaci-Dusseau, disponible gratuitement en ligne, sont tr\u00e8s utiles. Pour approfondir les implications de s\u00e9curit\u00e9 des pilotes Ring-0, vous trouverez sur le portail s\u0153ur SecurityToday l’analyse de la fa\u00e7on dont les agents KI d\u00e9couvrent les zero-days du noyau Linux<\/a>.<\/p>\n Au plus tard lors du premier pod OOMKilled, lors de la premi\u00e8re limitation de CPU ou lors du premier bug de journalisation Sidecar. Kubernetes n’abstrait pas le syst\u00e8me d’exploitation, il s’y superpose. Tu ne peux d\u00e9finir de mani\u00e8re judicieuse les limites de ressources, les sondes de liveness et les politiques de r\u00e9seau que si tu comprends comment fonctionnent les cgroups, les namespaces et le planificateur Linux en dessous.<\/p>\n<\/details>\n Les conteneurs ont bien un syst\u00e8me d’exploitation – ils partagent simplement le noyau de l’h\u00f4te. Ce qui se trouve dans l’image du conteneur, c’est l’espace utilisateur : biblioth\u00e8ques, binaires, configuration. Une VM embarque un noyau complet qui lui est propre, ainsi que la surcharge de l’hyperviseur. C’est la principale raison pour laquelle les conteneurs d\u00e9marrent en millisecondes et les VM en secondes.<\/p>\n<\/details>\n Parce que les cgroups appliquent des limites de m\u00e9moire strictes. D\u00e8s qu’un conteneur d\u00e9passe sa limite, l’OOM Killer envoie un SIGKILL – sans avertissement, sans tentative de swap. C’est intentionnel : les performances pr\u00e9visibles sont plus importantes dans le cluster que la survie au mieux des pods individuels. Celui qui veut contourner cela doit soit augmenter les limites, soit effectuer un profilage de la m\u00e9moire.<\/p>\n<\/details>\n L’espace noyau s’ex\u00e9cute dans l’anneau 0 avec un contr\u00f4le total du mat\u00e9riel. Les pilotes, le planificateur et le module de syst\u00e8me de fichiers s’y trouvent. L’espace utilisateur s’ex\u00e9cute dans l’anneau 3, sans acc\u00e8s direct au mat\u00e9riel. Chaque serveur Web, chaque base de donn\u00e9es, chaque conteneur s’ex\u00e9cute dans l’espace utilisateur. S’il veut acc\u00e9der au mat\u00e9riel ou aux fichiers, cela ne peut se faire que par des appels syst\u00e8me – le seul pont entre les deux mondes.<\/p>\n<\/details>\n \u00c0 l’inverse du d\u00e9marrage : PID 1 envoie \u00e0 chaque processus un SIGTERM (demande polie de se terminer). Celui qui ne r\u00e9pond pas re\u00e7oit apr\u00e8s timeout un SIGKILL. Ensuite, les syst\u00e8mes de fichiers vident leurs journaux, les pilotes lib\u00e8rent le mat\u00e9riel, le noyau synchronise la m\u00e9moire sur le disque, d\u00e9sactive les interruptions et le firmware coupe l’alimentation. Tout cela en moins de deux secondes sur une machine normale.<\/p>\n<\/details>\n Source de la une : Pexels \/ Manuel Geissinger (px:2881229)<\/p>\n\n Source de l’image : g\u00e9n\u00e9r\u00e9e par IA (mai 2026), certificat C2PA int\u00e9gr\u00e9 \u00e0 l’image<\/em><\/p>","protected":false},"excerpt":{"rendered":"Tu appuies sur le bouton d’alimentation et quelques secondes plus tard, ton curseur bouge.","protected":false},"author":31,"featured_media":40983,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[944],"tags":[],"industry":[],"class_list":["post-40351","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-centres-de-donnees"],"evm_reading_time_minutes":11,"wpml_language":"fr","wpml_translation_of":40253,"acf":[],"yoast_head":"\nLes points cl\u00e9s en bref<\/h2>\n
\n
Alimentation : chargeur de d\u00e9marrage et anneaux de privil\u00e8ges<\/h2>\n
Le plus grand mensonge en informatique : la m\u00e9moire virtuelle<\/h2>\n
\nC’est pr\u00e9cis\u00e9ment cette s\u00e9paration qui explique pourquoi ton navigateur ne peut pas lire dans la m\u00e9moire de ton gestionnaire de mots de passe. Tous deux vivent dans des univers parall\u00e8les que seul le noyau peut surveiller.<\/blockquote>\n
Pilotes, interruptions et premier processus<\/h2>\n
Multit\u00e2che sur huit c\u0153urs pour des centaines de processus<\/h2>\n
Ce que les ing\u00e9nieurs cloud en retirent<\/h2>\n
Foire aux questions<\/h2>\n
Ai-je besoin de connaissances sur l’OS si je n’utilise que Kubernetes ?<\/strong><\/summary>\n
Les conteneurs sont-ils plus l\u00e9gers que les VM parce qu’ils n’ont pas de syst\u00e8me d’exploitation ?<\/strong><\/summary>\n
Pourquoi Linux tue-t-il mon conteneur au lieu d’utiliser le swap ?<\/strong><\/summary>\n
Quelle est la diff\u00e9rence entre l’espace noyau et l’espace utilisateur ?<\/strong><\/summary>\n
Que se passe-t-il r\u00e9ellement lors de l’arr\u00eat ?<\/strong><\/summary>\n