容器镜像原理-根目录的替换

容器镜像原理-根目录的替换

容器系列文章

容器系列视频

限制进程看见的文件范围

之前提到，容器的文件系统本质上是在镜像文件的基础上加上一个读写层文件夹构成的联合文件系统。

而为了容器只能看到指定挂载目录内的范围，可将进程的文件系统根节点目录指定为特定的挂载目录。

由于进程寻找文件总是从其根目录节点开始的，所以改变了进程根节点目录后，进程所能看见的文件视图便发生了变化。

pivot_root 系统调用实现根目录的替换

pivot_root 可让当前进程的mnt namespace中的根节点目录和进程的根节点目录都发生改变。

parallels@worker1:~$ pivot_root -h

Usage:
 pivot_root [options] new_root put_old

Change the root filesystem.

pivot_root 需要传入两个参数，new_root是新的root节点目录，put_old是需要将旧的根节点目录存放的位置。

使用pivot_root还有一些前提条件，new_root 和当前需要更换的root节点必须在不同的挂载命名空间(mnt namespace)中，并且put_old 的目录和new_root的目录是属于同一个mnt namespace。

mnt namespace 和 进程的根目录节点共同组成了进程的文件视图，进程看不到不属于它的mnt namespace中的文件，内核启动后，会有一个默认的mnt namespace，所以进程默认都属于这个mnt namespace中。

接下来用shell来模拟下替换过程

shell模拟替换过程

## 提前下载好linux版本的rootfs 作为后续的new_root文件夹
root@ecs-295280:~# wget http://dl-cdn.alpinelinux.org/alpine/v3.9/releases/x86_64/alpine-minirootfs-3.9.3-x86_64.tar.gz
root@ecs-295280:~# mkdir rootfs
root@ecs-295280:~# tar zxf alpine-minirootfs-3.9.3-x86_64.tar.gz  -C rootfs/

unshare 命令可以创建一个新的mnt namespace，并且可以让当前进程进入新mnt namespace中

root@ecs-295280:~# unshare -m 

直接使用完这个命令后，如果使用pivot_root命令切换会出现错误。

root@ecs-295280:~# mkdir -p rootfs/.old
root@ecs-295280:~# pivot_root rootfs/ rootfs/.old/
pivot_root: failed to change root from `rootfs/' to `rootfs/.old/': Device or resource busy

这是这是因为，新的mnt namespace默认继承了主机的mnt namespace挂载点，所以挂在点是一样的，还是同样的挂载命名空间 。而pivot_root要求 new_root 和当前需要更换的root节点必须在不同的挂载命名空间(mnt namespace)中。

所以需要为rootfs 目录创建新的挂载点。

root@ecs-295280:~# mount --bind rootfs/ rootfs/

注意由于我们使用了unshare命令，此时的mount bind 已经是在新的mnt namespace中执行了，所以通过mount bind 我们为rootfs生成了一个新的挂载点，并且这个挂载点，主机上是看不见的。

root@ecs-295280:~# pivot_root rootfs/ rootfs/.old/

再执行pivot_root 命令就成功了，但是此时还没有完全结束，当前进程的工作目录还未改变，所以此时如果用ls命令还能看见主机上的文件。

root@ecs-295280:~# /bin/ls alpine-minirootfs-3.9.3-x86_64.tar.gz  rootfs

改变工作目录

rootfsroot@ecs-295280:~# cd
root@ecs-295280:~# /bin/ls
root@ecs-295280:~#

改变工作目录后,ls 去看/root 目录已经没有alpine-minirootfs-3.9.3-x86_64.tar.gz文件了，说明修改成功，这样就成功修改了进程的根节点目录，并且用linux rootfs作为根节点目录，让进程看起来就像是在一个linux系统中一样。

注意这里用ls命令是用/bin/ls，因为在新的根节点目录下去寻找直接输入的ls命令，会找寻不到，所以直接采用全路径的方式