Docker原理第二话--Namespace

Namespace

---

我们想象一下，一个运行中的Docker容器是跟其他进程处在同一操作系统下的，那么黑客在A container中不就可以随意操作其他进程的文件、跟其他进程通信了吗，这岂不乱套了？所以Docker的核心就是隔离机制，有了隔离机制，才能让每一个Docker容器运行在独自的隔离环境中，保证系统的安全……

Docker的隔离机制主要由Linux的命名空间（Namespace）实现。Namespace由6个成员组成：

MNT Namespace 提供磁盘挂载点和文件系统的隔离能力
IPC Namespace 提供进程间通信的隔离能力
Net Namespace 提供网络隔离能力
UTS Namespace 提供主机名隔离能力
PID Namespace 提供进程隔离能力
User Namespace 提供用户隔离能力

---

当创建进程的时候，会将要创建的Namespace以参数的形式传入clone函数：

long clone(
        unsigned long flags, 
        void *child_stack, 
        void *ptid, 
        void *ctid,
        struct pt_regs *regs);

其中参数flags可以用表格里的参数进行按位或，以表明子进程需要创建哪些Namespace。

---

下图是Namespace的创建流程：