Docker 如何实现资源隔离？

alankuo

于 2024-10-03 10:08:11 发布

阅读量302

点赞数 7

分类专栏：运维文章标签： docker 容器运维

本文链接：https://blog.csdn.net/alankuo/article/details/142685363

版权

运维专栏收录该内容

17 篇文章 0 订阅

订阅专栏

Docker通过多种技术实现资源隔离：

一、命名空间（Namespaces）

进程命名空间（PID Namespace）
- 功能
  - 进程命名空间用于隔离进程ID。在Docker容器内部，每个容器都有自己独立的进程空间，容器内的进程从1开始编号，就像在一个独立的操作系统中一样。
- 示例
  - 在主机系统中，进程ID是全局唯一的，但在Docker容器内，相同的进程ID可以被不同容器复用。例如，容器A中的进程1和容器B中的进程1是完全独立的，它们在各自的进程命名空间中运行，互不干扰。
网络命名空间（Net Namespace）
- 功能
  - 网络命名空间为容器提供独立的网络环境。每个容器可以有自己的网络接口、IP地址、路由表和防火墙规则等。
- 示例
  - 当创建一个Docker容器时，可以为其指定特定的网络模式，如桥接模式（--net=bridge）。在桥接模式下，容器连接到Docker主机创建的虚拟网桥（如docker0）上，容器会被分配一个与主机网络不同的IP地址，并且可以通过网络命名空间中的网络配置与其他容器或外部网络进行通信。
挂载命名空间（Mount Namespace）
- 功能
  - 挂载命名空间用于隔离文件系统挂载点。容器可以有自己独立的文件系统视图，它可以挂载主机文件系统的特定部分或者使用自己的存储卷（Volumes）。
- 示例
  - Docker容器可以挂载主机的一个目录到容器内的某个目录，如docker run -v /host/dir:/container/dir。在容器内部，只能看到挂载点下的文件系统，而对主机文件系统的其他部分是不可见的，实现了文件系统的隔离。
UTS命名空间（UTS Namespace）
- 功能
  - UTS命名空间用于隔离主机名和域名。每个容器可以有自己的主机名和域名，这有助于在多容器环境中区分不同的容器实例。
- 示例
  - 可以在创建容器时使用--hostname参数指定容器的主机名，如docker run --hostname=mycontainer。容器内部看到的主机名就是mycontainer，而与主机系统的主机名相互独立。
IPC命名空间（IPC Namespace）
- 功能
  - IPC命名空间用于隔离进程间通信（IPC）资源，如共享内存、信号量和消息队列等。不同容器内的进程不能直接使用其他容器内的IPC资源。
- 示例
  - 在容器A内部创建的共享内存段，容器B内的进程无法直接访问，确保了不同容器间进程间通信的独立性。

二、控制组（cgroups）

资源限制原理
- cgroups是Linux内核的一个特性，用于对进程组进行资源限制和管理。在Docker中，通过cgroups来限制容器可以使用的资源，如CPU、内存、磁盘I/O等。
- 例如，对于CPU资源，可以设置容器的CPU配额（如容器可以使用的CPU核心数或CPU时间片比例）；对于内存资源，可以设定容器的内存使用上限，当容器内的进程试图使用超过限制的资源时，会受到相应的限制，如被暂停或被终止。
资源限制示例
- CPU限制
  - 可以在创建容器时使用--cpu - shares参数来设置CPU份额，如docker run --cpu - shares=512。这表示容器相对于其他容器在CPU资源分配上的相对权重。
- 内存限制
  - 使用--memory参数来设置容器的内存限制，如docker run --memory=1g，表示容器最多可以使用1GB的内存。

三、内核安全机制

Seccomp（Secure Computing Mode）
- 功能
  - Seccomp是一种内核安全机制，用于限制容器内进程可以执行的系统调用。Docker可以利用Seccomp来创建一个安全的执行环境，只允许容器内的进程执行必要的系统调用，从而减少潜在的安全风险。
- 示例
  - Docker默认使用一个基本的Seccomp配置文件，也可以自定义Seccomp配置文件来满足特定的安全需求。例如，可以创建一个配置文件，禁止容器内进程执行某些危险的系统调用，如mount系统调用（防止容器内进程随意挂载主机文件系统）。
AppArmor和SELinux（可选的安全增强）
- 功能
  - AppArmor和SELinux是Linux系统中的强制访问控制（MAC）机制。在支持这些机制的系统上，Docker可以与它们集成，为容器提供额外的安全层。
- 示例
  - 在Ubuntu系统（支持AppArmor）中，可以为Docker容器创建特定的AppArmor配置文件，限制容器对主机资源的访问权限。在CentOS系统（支持SELinux）中，SELinux策略可以用来确保容器的安全操作。