Namespace
我们想象一下,一个运行中的Docker容器是跟其他进程处在同一操作系统下的,那么黑客在A container中不就可以随意操作其他进程的文件、跟其他进程通信了吗,这岂不乱套了?所以Docker的核心就是隔离机制,有了隔离机制,才能让每一个Docker容器运行在独自的隔离环境中,保证系统的安全……
Docker的隔离机制主要由Linux的命名空间(Namespace)实现。Namespace由6个成员组成:
MNT Namespace 提供磁盘挂载点和文件系统的隔离能力
IPC Namespace 提供进程间通信的隔离能力
Net Namespace 提供网络隔离能力
UTS Namespace 提供主机名隔离能力
PID Namespace 提供进程隔离能力
User Namespace 提供用户隔离能力
当创建进程的时候,会将要创建的Namespace以参数的形式传入clone函数:
long clone(
unsigned long flags,
void *child_stack,
void *ptid,
void *ctid,
struct pt_regs *regs);
其中参数flags可以用表格里的参数进行按位或,以表明子进程需要创建哪些Namespace。
下图是Namespace的创建流程: