小白手套的 Docker 奇幻旅行之探秘 Namespace

最新推荐文章于 2024-08-12 22:53:14 发布
最新推荐文章于 2024-08-12 22:53:14 发布
阅读量988 收藏 22
点赞数 32
文章标签： docker 容器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ningyipro/article/details/135492803
版权

喜迎周三

让我们在一个舒缓的 BGM 中开始今日话题 Docker Namespaces

前情提要

随着现在云原生蓬勃发展，Docker 成为每个技术伙伴必须要掌握的一项技能，当然小白手套也不例外，有天小白手套想，为什么每次容器运行起来，不管我在当前容器内怎么修改，对于同样运行在宿主机的其他容器毫无影响，同时，我也看不到其他容器中的内容，它究竟是怎么做到的，本章让我们跟随小白手套走进 NameSpace 的世界。

主角介绍

  • 小李-某司技术一把手，年纪轻轻，财务自由，开小米 SU7
  • 小白手套-某司技术 家财万贯，只为体验生活，上级小李，开法拉利

什么是 Namespaces

参考维基百科对 Namespaces 的定义

image-20240109211256496

大致意思是：

  • 命名空间是 Linux 的一个功能，它对内核资源进行分区，便于一组进程看到一组资源，另一组进程看到另一组资源。
  • 它的工作原理是一组资源和进程使用相同的命名空间，但这些命名空间引用不同的资源。

用大白话翻译过可以这样理解：

  • 我有一台 Windows 电脑，电脑上我可以有多个用户，比如 玩游戏的用户 Game 、打工的用户 Work、看电影的用户 Video
  • 切换到不同的用户，他们都有共同的文件夹 Document，但 Document 内相同的文件名彼此不会冲突，互不干扰。

Linux 命名空间是 2002 年 2.4.19 内核开始，主要针对挂载命名空间的类型，从 2006 年开始持续至今。

Linux 内核 5.6 开始 支持 8 种命名空间

命名空间隔离资源
Mount (mnt)隔离挂载点
Process ID (pid)隔离进程
Network (net)隔离网络
Inter-process Communication (ipc)隔离进程与商业版 Unix System V
UTS隔离主机名和域名
User ID (user)隔离用户
Control group (cgroup) Namespace隔离CPU、内存等
Time Namespace隔离系统时间

华为工程师瑞翔提出 syslog namespace，并没有合并到 linux 内核

实战 Namespaces

unshare 命令是 Linux 中的一个命令行工具，用于在新的命名空间中执行命令。它允许你将进程从当前的命名空间中分离出来，使得它在一个新的、隔离的环境中运行。

unshare 命令的基本用法：

cssCopy code
unshare [options] [command [args...]]
  • options: 是一些控制命名空间的选项。
  • command: 是在新的命名空间中执行的命令。
  • args...: 是命令的参数。

一些常见的选项包括：

  • -m 或 --mount[=mount_options]：创建新的挂载命名空间。
  • -u 或 --uts[=utsname]：创建新的 UTS 命名空间，用于修改系统主机名。
  • -n 或 --net[=hostname]：创建新的网络命名空间。
  • -i 或 --ipc：创建新的 IPC 命名空间。

Mnt

  • Mount Namespace

  • 创建后，当前挂载命名空间中的挂载将复制到新命名空间，但随后创建的挂载点不会在命名空间之间传播（使用共享子树，可以在命名空间之间传播挂载点）。

我们的操作

  • 首先，在宿主机创建一个 mount namespace，并且访问创建好的 mount namespace
unshare --mount --fork /bin/bash
  • 然后，在 mount namespace 中创建挂载目录，并查看 namespace 信息
mkdir -p /maomao/mount

mount -t tmpfs -o size=10m tmpfs /maomao/mount

df -h 

ls -l /proc/self/ns/

可以看到已经成功挂载，关注 namespace mount id

image-20240109222841023
  • 最后，在主机上检查是否存在挂载目录
df -h

ls -l /proc/self/ns/

可以看到，宿主机是不存在 maomao/mount 这个挂载目录的，并且 mnt id 也是不一致的

image-20240109223032131

Pid

Process ID Namespace

  • 不同 Process ID Namespace 中 PID 号是可以相同的

  • 在 PID 命名空间中创建的第一个进程被分配进程 ID 号 1，并接受与正常init进程相同的大部分特殊处理，最值得注意的是命名空间内的孤立进程附加到它。这也意味着终止此 PID 1 进程将立即终止其 PID 命名空间中的所有进程及其任何后代.

  • 首先在宿主机上创建一个 Porcess ID Namespace
unshare --pid --fork --mount-proc /bin/bash

  • 查看宿主机进程

Net

Network Namespace

  • 网络命名空间虚拟化网络堆栈。创建时，网络命名空间仅包含一个环回接口。
  • 每个命名空间都有一组私有IP 地址、自己的路由表、套接字列表、连接跟踪表、防火墙和其他网络相关资源。
  • 首先，创建一个 Net Namesapce，并查看网络信息
unshare --net --fork /bin/bash

  • 然后查看宿主机网络

Ipc

Inter-process Communication Namespace

PC 命名空间将进程与 SysV 样式的进程间通信隔离。这可以防止不同 IPC 命名空间中的进程使用 SHM 系列函数等在两个进程之间建立一系列共享内存。相反，每个进程将能够对共享内存区域使用相同的标识符，并生成两个这样的不同区域。

  • 首先创建一个 IPC Namespace
unshare --ipc --fork /bin/bash
  • 然后查看 Namespace 中当前系统通信队列列表，如果没有队列就给它创建一个，
image-20240109235336179
  • 最后到宿主机查看通信队列，可以看到已经实现隔离
image-20240109235402603

UTS

UTS Namespace

允许单个系统对于不同的进程看起来具有不同的主机名

  • 首先，创建一个 UTS Namespace 命名空间，并设置主机名
unshare --uts --fork /bin/bash
image-20240109235726507
  • 然后查看宿主机主机名
image-20240109235743807

User

User ID Namespace

  • 为了促进管理操作的权限隔离，每个命名空间类型都被视为由基于创建时活动用户命名空间的用户命名空间拥有。在适当的用户命名空间中具有管理权限的用户将被允许在其他命名空间类型中执行管理操作。

  • 如果进程具有更改网络接口的 IP 地址的管理权限，则只要其自己的用户命名空间与拥有该网络命名空间的用户命名空间相同（或其祖先），它就可以这样做。因此，初始用户命名空间对系统中的所有命名空间类型具有管理控制权。

  • 非 root 权限就可以创建 user namespace

  • 首先，创建一个 User ID Namespace
unshare --user -r /bin/bash
image-20240110001811410
  • 然后，在宿主机用普通用户执行高权限命令
image-20240110001921579

小白手套靓照

image-20240109234943052

结语

尽情享受技术带来的乐趣吧，祝你好运。

参考文献：

不懂前端的运维不是好架构
关注
  • 32
    点赞
  • 踩
  • 22
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
理解 docker 容器中的 uid 和 gid
weixin_34176694的博客
09-10 1430
默认情况下，容器中的进程以 root 用户权限运行，并且这个 root 用户和宿主机中的 root 是同一个用户。听起来是不是很可怕，因为这就意味着一旦容器中的进程有了适当的机会，它就可以控制宿主机上的一切！本文我们将尝试了解用户名、组名、用户 id(uid)和组 id(gid)如何在容器内的进程和主机系统之间映射，这对于系统的安全来说是非常重要的。说明：本文的演示环境为 ubuntu 16.04...
Kubernetes生产实践系列之二十九：Kubernetes基础技术之容器关键技术实践
cloudvtech的博客
09-26 1259
一、前言 转载自https://blog.csdn.net/cloudvtech 转载自https://blog.csdn.net/cloudvtech 转载自https://blog.csdn.net/cloudvtech
【docker】理解 docker 容器中的 uid 和 gid
michaelwoshi的博客
11-28 683
理解 docker 容器中的 uid 和 gid https://www.cnblogs.com/sparkdev/p/9614164.html 隔离 docker 容器中的用户 https://www.cnblogs.com/sparkdev/p/9614326.html How uid mapping works in Docker containers? https:/...
docker: user namespace
Eureka
11-16 361
One of the problem I met yesterday is that I add my user on GPU server to the docker group and run a DL docker container. Although I once firmly believed that the root in docker is virtual for the rea...
Docker核心原理之namespace
我不是大牛
01-12 1万+
Docker背后的内核知识 当谈论docker时，常常会聊到docker的实现方式。很多开发者都知道，docker容器本质上是宿主机的进程，Docker通过namespace实现了资源隔离，通过cgroups实现了资源限制，通过写时复制机制（copy-on-write）实现了高效的文件操作。当进一步深入namespace和cgroups等技术细节时，大部分开发者都会感到茫然无措。尤其是接下来解释l...
Docker技术原理之Linux Namespace（容器隔离）
__一叶__的博客
09-17 9023
0.前言 首先要知道一个运行的容器，其实就是一个受到隔离和资源限制的Linux进程——对，它就是一个进程。而本文主要来探讨Docker容器实现隔离用到的技术Linux Namespace。 1.关于 Linux Namespace Linux提供如下Namespace: Namespace Constant Isolates Cgroup CLONE_NEWCGRO...
docker基础:从chroot理解namespace的隔离
知行合一 止于至善
08-31 1万+
docker与linux内核的两个重要特性关系无比密切：namespace和cgroup。namespace实现了资源的隔离，而cgroup实现了控制。而namespace中隔离分为pid/net/ipc/mnt/uts/user，而mnt namespace，则是将一个进程放到指定的目录执行。其使得不同namespace的进程看到的文件结构不同，从而实现了隔离。
一文彻底搞懂Docker中的namespace
神技圈子的博客
12-08 7217
什么是namespace namespace是对全局系统资源的一种封装隔离。这样可以让不同namespace的进程拥有独立的全局系统资源。这样改变一个namespace的系统资源只会影响当前namespace中的进程，对其它namespace中的资源没有影响。以前Linux也有一个。之前有一个系统调用chroot和namespace类似。 namespcae分类 chroot内部不能访问外部的内容，namespce在此基础上提供了UTS、IPC、mount、PID、network、User等隔离机制。
云原生系列之Docker常用命令
Java 技术专栏，从入门到精通，熟悉企业级开发
06-15 1万+
🌹作者主页：青花锁 🌹简介：Java领域优质创作者🏆、Java微服务架构公号作者😄🌹简历模板、学习资料、面试题库、技术互助🌹文末获取联系方式 📝。
深入浅出之Docker Compose详解
热门推荐
qq_43649937的博客
06-06 3万+
docker, 云原生
Docker基础知识之Linux namespace图文详解
09-15
### Docker基础知识之Linux Namespace 图文详解 #### 一、前言 Docker 是一项基于 Linux 内核技术的容器化工具，它利用了一系列的技术来实现资源的隔离与封装，其中包括 chroot、namespace 和 cgroup。其中，Linux ...
Docker底层服务之NameSpace、Cgroup、存储、网络.docx
01-02
**NameSpace** 是 Docker 实现容器隔离的关键技术之一。在 Linux 内核中，NameSpace 提供了一种将系统资源组织成不同视图的方法，使得不同的进程看到的是彼此独立的系统资源。这种隔离性对于容器化来说至关重要，...
Docker相关配置记录
qq_43269093的博客
08-12 182
修改文件 vim /etc/systemd/system/docker.service.d/proxy.conf。设置代理改为对应的配置端口。
微服务实战系列之玩转Docker（九）
splendid_java的专栏
08-07 1601
伙伴们，立秋了，有何收获？每当节气更替之时，意味着半个月又过去了。“士别三日当刮目相待”，那就让心中的忖量，再多激几层浪。有梦想，必有回响。——碎碎念在博主的玩转docker系列中，前八回重在介绍docker的基础概念、核心机制、重要组成、原理以及相关实践过程。掌握了这些内容，我想各位盆友能够独立完成小型项目的部署了。可我们总是在前一个目标达成之时，期待再次“点火”，奔赴“星辰大海”。那么容器的大海又是啥？容器云呗。何谓容器云？简单理解是把一堆容器“组合”
Dockerfile 制作镜像
qq_36729594的博客
08-12 104
模拟 JDK17 运行一个app.jar的包。
【docker】Dockerfile练习
翡翠泪滴的博客
08-12 232
修改 merged 层的 a.txt 文件，可以看到 merged 层的 a.txt 内容虽然改变，但 A 目录（只读层）下的 a.txt 内容并没有发生变化，而在 C 目录（读写层）下多了一个 a.txt 文件，内容就是我们修改过的 a.txt 的内容，这就是只读层与读写层的关系，在 merged 目录对文件进行修改并不会影响到只读层的源文件，只会在读写层进行编辑。
Docker Compose与私有仓库
最新发布
weixin_67764171的博客
08-12 473
Docker Compose的前身是Fig，它是一个定义及运行多个Docker容器的工具。使用Docker Compose时，只需要在一个配置文件中定义多个Docker容器，然后使用一条命令启动这些容器。Docker Compse会通过解析容器间的依赖关系按先后顺序启动所定义的容器Docker Compose 是一个用于定义和运行多容器 Docker 应用的工具。通过一个 YAML 文件来配置服务、网络和卷，用户可以一次性启动或停止整个应用的所有服务，简化了开发和部署流程。
Docker高级应用讲解
lssffy的博客
08-07 689
Docker是一种开源的容器化平台，用于自动化应用的部署、扩展和管理。虽然Docker的基本使用已经能够满足大多数开发和测试需求，但在生产环境中，往往需要更高级的特性和配置来确保系统的高可用性、安全性和性能。本篇文章将深入探讨Docker的高级应用，包括网络、存储、编排、安全、性能优化以及与CI/CD和Kubernetes的集成。自定义网络允许用户创建具有特定配置的网络，以满足复杂的网络需求。
Docker容器技术深度解析：namespace的秘密
"深入解析Docker背后的namespace技术" 在理解Docker如何利用namespace技术构建容器之前，首先需要了解namespace的基本概念。Linux namespace是操作系统提供的一种隔离机制，它允许在一个进程中创建和控制一组全局...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

不懂前端的运维不是好架构

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值