[Docker][NameSpace][PID 隔离][Mount 隔离]详细讲解

于 2024-07-29 00:15:19 发布
阅读量6.1k 收藏 33
点赞数 47
分类专栏： [Docker] 文章标签： docker 容器 NameSpace PID隔离 Mount隔离 新手向 详细讲解
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_37281656/article/details/140746027
版权

目录

1.什么是NameSpace

  • namespace是Linux内核用来隔离内核资源的方式
  • 是一种将全局系统资源划分为独立单元的资源隔离方法，对文件系统、进程、网络、设备等资源进行隔离，使得在不同命名空间中运行的进程看到的资源是不同的，彼此之间相互隔离，容器内的进程认为它们运行在独立的环境中，而不会看到主机上其他容器的影响
  • 具体的实现方式是把一个或多个进程的相关资源指定在同一个namespace中

2.NameSpace操作

  • Linux提供了多个API来操作namespace，分别为：clone()、setns()、unshare()，为了确定隔离的是哪项namespace，在使用以上API时，需要指定调用参数

    namespace系统调用参数被隔离的全局系统资源
    UTSCLONE_NEWUTS主机名和域名
    IPCCLONE_NEWIPC通信资源 - 信号量、消息队列、共享内存
    PIDCLONE_NEWPID进程编号
    NetworkCLONE_NEWNET网络资源 - 网络设备、网络栈、端口
    MountCLONE_NEWNS文件系统挂载点
    UserCLONE_NEWUSER用户和用户组

  • 以上命名空间在容器环境下的隔离效果

    • UTS：每个容器能看到自己的hostname，拥有独立的主机名和域名
    • IPC：同一个IPC namespace的进程之间能互相通讯，不同的 IPC namespace 之间不能通信
    • PID：每个PID namespace中的进程可以有其独立的PID，每个容器可以有其PID为1的root进程
    • Network：每个容器拥有其独立的网络设备，IP地址，IP路由表，/proc/net目录，端口号
    • Mount：每个容器能看到不同的文件系统层次结构
    • User：每个Container可以有不同的user和group id

  • 如果要隔离两个进程需要怎么办？

    • 容器进程与进程之间需要隔离，所以需要PID隔离
    • 容器A进程不能读取容器B进程通讯内容需要隔离信号量等，所以需要IPC隔离
    • 容器A进程不能读取容器B进程的文件，所以需要Mount隔离
    • 容器A进程不能读取容器B进程的 socket，所以需要网络隔离、主机隔离
    • Docker允许用户在主机和容器间共享文件夹，同时不需要限制容器的访问权限， 这就容易让容器突破资源限制。需要借助用户空间来完成用户之间的隔离

3.基础语法

1.dd 命令

  • 功能：用于读取、转换并输出数据，可从标准输入或文件中读取数据，根据指定的格式来转换数据，再输出到文件、设备或标准输出
  • 语法
    dd OPTION
  • 参数
    • if=文件名：输入文件名，默认为标准输入
      • 即：指定源文件
    • of=文件名：输出文件名，默认为标准输出
      • 即：指定目的文件
    • ibs=bytes：一次读入bytes个字节
      • 即：指定一个块大小为bytes个字节
    • obs=bytes：一次输出bytes个字节
      • 即：指定一个块大小为bytes个字节
    • bs=bytes：同时设置读入/输出的块大小为bytes个字节
    • cbs=bytes：一次转换bytes个字节
      • 即：指定转换缓冲区大小
    • skip=blocks：从输入文件开头跳过blocks个块后再开始复制
    • seek=blocks：从输出文件开头跳过blocks个块后再开始复制
    • count=blocks：仅拷贝blocks个块，块大小等于ibs指定的字节数
    • conv=<关键字>，关键字可以有以下11种
      • conversion：用指定的参数转换文件
      • ascii：转换ebcdic为ascii
      • ebcdic：转换 ascii 为 ebcdic
      • ibm：转换 ascii 为 alternate ebcdic
      • block：把每一行转换为长度为cbs，不足部分用空格填充
      • unblock：使每一行的长度都为 cbs，不足部分用空格填充
      • lcase：把大写字符转换为小写字符
      • ucase：把小写字符转换为大写字符
      • swap：交换输入的每对字节
      • noerror：出错时不停止
      • notrunc：不截短输出文件
      • sync：将每个输入块填充到ibs个字节，不足部分用空（NUL）字符补齐
    • --help：显示帮助信息
    • --version：显示版本信息
  • 示例
    # 生成一个镜像文件
dd if=/dev/zero of=SnowK.img bs=8k count=1024

# 将SnowK文件中的所有英文字母转化为大写，然后转成为Die文件
dd if=SnowK of=Die conv=ucase

2.mkfs 命令

  • 功能：用于在设备上创建Linux文件系统，俗称格式化
    • 比如使用U盘的时候可以格式化
  • 语法：
    mkfs [-V] [-t fstype] [fs-options] filesys [blocks]
  • 参数
    • -V : 详细显示模式
    • -t fstype：指定要建立何种文件系统
      • 如：ext3，ext4
    • fs-options：传递给具体的文件系统的参数
    • filesys：指定要创建的文件系统对应的设备文件名
    • blocks：指定文件系统的磁盘块数
  • 示例
    # 格式化镜像文件为ext4
mkfs -t ext4 SnowK.img

3.df 命令

  • 功能：显示目前在Linux系统上的文件系统磁盘使用情况统计
  • 语法
    df [OPTION]... [FILE]
  • 常见参数
    • -a：包含所有的具有0 Blocks的文件系统
    • -h：使用人类可读的格式
    • -H：很像-h，但是用1000为单位而不是用1024
    • -t：--type=TYPE，限制列出文件系统的TYPE
    • -T：显示文件系统的形式
  • 示例
    # 查看磁盘使用情况
df -h

# 查看磁盘的系统类型
df -Th

4.mount 命令

  • 功能：用于加载文件系统到指定的加载点，此命令的也常用于挂载光盘，使我们可以访问光盘中的数据
    • 因为将光盘插入光驱中，Linux并不会自动挂载，必须使用mount命令来手动完成挂载
    • 挂载的实质：为磁盘添加入口(挂载点)
  • 注意：Linux系统下不同目录可以挂载不同分区和磁盘设备，它的目录和磁盘分区是分离的， 可以自由组合(通过挂载)
  • 常见语法
    mount [-l]
mount [-t vfstype] [-o options] device dir
  • 常见参数
    • -l：显示已加载的文件系统列表
    • -t：加载文件系统类型
      • 支持常见系统类型的ext3，ext4，iso9660，tmpfs，xfs等
      • 大部分情况可以不指定，mount可以自己识别
    • -o options：主要用来描述设备或档案的挂接方式
      • loop：用来把一个文件当成硬盘分区挂接上系统
      • ro：采用只读方式挂接设备
      • rw：采用读写方式挂接设备
    • device：要挂接(mount)的设备
    • dir：挂载点的目录
  • 示例
#将SnowK.img镜像挂载到/test目录下，需要确保挂载点(目录)存在
mkdir /test
mount ./SnowK.img /data

5.unshare 命令

  • 功能：使用与父程序不共享的名称空间运行程序

  • 语法

    unshare [options] program [arguments]

  • 常用参数

    参数含义
    -i, --ipc不共享IPC空间
    -m, --mount不共享Mount空间
    -n, --net不共享Net空间
    -p, --pid不共享PID空间
    -u, --uts不共享UTS空间
    -U, --user不共享用户
    -V, --version版本查看
    --fork执行unshare的进程fork一个新的子进程，在子进程里执行unshare传入的参数
    --mount-proc执行子进程前，将proc优先挂载过去

  • 示例

    # 隔离hostname
snowk@SnowKYP:~$ unshare -u /bin/bash
root@SnowKYP:/home/snowk# hostname SnowK
root@SnowKYP:/home/snowk# hostname
SnowK
root@SnowKYP:/home/snowk# exit
exit
snowk@SnowKYP:~$ hostname
SnowKYP

4.PID 隔离实战

  • 命令
    unshare --fork --pid --mount-proc /bin/bash
  • 解释
    • --fork：新建一个bash进程，是因为如果不建新进程，新的namespace会用unshare的 PID作为新的空间的父进程，而这个unshare进程并不在新的namespace中，所以会报错Cannot allocate memory
    • --pid：隔离PID
    • --mount-proc：Linux下的每个进程都有一个对应的/proc/PID目录，该目录包含了大量的有关当前进程的信息
      • 对一个PID namespace而言，/proc目录只包含当前namespace和它所有子孙后代namespace里的进程的信息
      • 创建一个新的PID namespace后，如果想让子进程中的top、ps等依赖/proc 文件系统的命令工作，还需要挂载/proc 文件系统
      • 而文件系统隔离是mount namespace管理的，所以Linux特意提供了一个选项--mount-proc来解决这个问题
        • 如果不带这个看到的进程还是系统的进程信息

5.Mount 隔离实战

  • 命令
    unshare --mount --fork /bin/bash
  • 解释
    • --mount：隔离Mount命名空间
    • --fork：新建进程
DieSnowK
关注
专栏目录
namespace与mount namespace
github_35600552的博客
03-30 1206
原文：《Namespaces in operation, part 1: namespaces overview》 部分译文： namspaces（命名空间） 目前，Linux实现了六种不同的namespaces。每一种namespace的目的是为了抽象地包装出某种特定的全局系统资源，来让在对应namespace下的进程中，看起来像是拥有自己的独立全局资源实例。namespaces的一个主要目的之...
Docker学习四：资源隔离——Namespace
weixin_41402069的博客
07-20 2349
Docker学习系列
Linux namespace之：mount namespace
小胡子
02-25 4882
理解mount namespace 用户通常使用mount命令来挂载普通文件系统，但实际上mount能挂载的东西非常多，甚至连现在功能完善的Linux系统，其内核的正常运行也都依赖于挂载功能，比如挂载根文件系统/。其实所有的挂载功能和挂载信息都由内核负责提供和维护，mount命令只是发起了mount()系统调用去请求内核。 mount namespace可隔离出一个具有独立挂载点信息的运行环境，内核知道如何去维护每个namespace的挂载点列表。即「每个namespace之间的挂载点列表是独立的，各自
【Docker】资源隔离（四）：Mount namespace & Network namespace
书山有路，学海无涯。记录成长，追逐梦想
10-14 995
mount namespace 通过隔离文件系统挂载点对隔离文件系统提供支持，它是历史上第一个 Linux namespace，所以标识位比较特殊，就是 CLONE_NEWNS。隔离后，不同 mount namespace 中的文件结构发生变化也互不影响。可以通过 /proc/[pid]/mounts 查看到所有挂载在当前 namespace 中的文件系统，还可以通过 /proc/[pid]/mountstats 看到 mount namespace 中文件设备的统计信息，包括挂载文件的名字、文件系统类型、
Docker 学习笔记11 容器技术原理 Mount Namespace
编程圈子-谢厂节的博客
06-15 1141
Docker 学习笔记11 容器技术原理 Mount Namespace一、Mount Namespace作用二、通过ios文件挂载来演示mount namespace1. 安装 mkisofs2. 演示过程3. 演示 shared subtree 功能三、使用clone 实现 Mount Namespace 一、Mount Namespace作用 Mount Namespace为进程提供独立的文件系统视图。 进程的mount namespace中的挂载点信息可以在/proc/[pic]/mounts ,/
mount在namespace中应用的四种不同特性
qq_40345614的博客
09-30 876
实验环境 内核版本：3.10.0-957.27.2.el7.x86_64 系统版本：CentOS Linux release 7.6.1810 (Core) 创建新的mnt namespace的命令：unshare -m --propagation unchanged sh 实验内容 --make-shared --make-shared：共享挂载，不同namespace的进程对同一个目录进行挂载、卸载等操作时，会相互影响。比如说在主机上新建一个目录/home/mnt_test，这时..
Docker探索namespace详解
09-30
本文将详细介绍Docker如何利用namespace进行资源隔离，并讨论如何通过API进行namespace操作。 1. **Namespace资源隔离** Linux内核提供了六种类型的namespace，用于不同层面的隔离： - **UTS (Un*x Time-...
Docker底层基石namespace与cgroup
lingshengxiyou的博客
02-01 574
Docker是使用容器container的平台，容器其实只是一个隔离的进程，除此之外啥都没有。这个进程包含一些封装特性，以便和主机还有其他的容器隔离开。一个容器依赖最多的是它的文件系统也就是image，image提供了容器运行的一切包括 code or binary, runtimes, dependencies, and 其他 filesystem 需要的对象。容器在Linux上本地运行，并与其他容器共享主机的内核。它运行一个独立的进程，占用的内存不比其他的filesystem多，因此它是轻量级的。
自己动手写docker——实现六个namespace隔离
DoloresOOO的博客
07-06 633
自己动手写docker <<自己动手写docker>>阅读实践笔记 docker理论基础这部分不再赘述，可以看我这篇文章一文带你全方位入门docker。 此次实践使用的IDE为Goland，操作系统为mac，代码运行环境为Cent OS7，内核版本为3.10.0-957.21.3.el7.x86_64 开始前，需要修改Goland，Preferences–>Go–>OS改为linux，内核版本为。否则代码编写时一些linux only的系统调用会报错。 https:/
mount namespace和shared subtrees
阿仆的专栏
03-21 2617
mount namespace是一个强大并且复杂的机制，用来为每个用户和每个容器创建文件系统树．它是一个很复杂的特性．在我们关于namespaces的一系列文章中，我们将会解开它的复杂性，我们将会深入的研究shared subtrees特性，这个特性以自动，受控的方式允许mount/unmount事件在mount namespaces之间传播事件． 介绍 mount namespace在2...
linux挂载目录文件命名空间,mount namespace和共享子树
weixin_36217920的博客
04-29 941
原标题：mount namespace和共享子树没有一个mount namespace是一座孤岛2本文翻译自lwn上一个namespace系列文章的一篇，原文链接会在文末给出，各位看官开始进入mount namespace的世界吧！Mount namespaces用来创建一个用户或者容器独立的文件系统树，是一个强大且灵活的工具。同时，mount namespaces也有一些比较复杂的特点。本文，作...
linux 系统盘目录隔离,Docker 容器资源隔离 namespace(十)
weixin_33181159的博客
05-03 320
一、简介Linux Namespace 是 Linux 提供的一种内核级别环境隔离的方法。不知道你是否还记得很早以前的 Unix 有一个叫 chroot 的系统调用(通过修改根目录把用户 jail 到一个特定目录下)，chroot 提供了一种简单的隔离模式：chroot 内部的文件系统无法访问外部的内容。Linux Namespace 在此基础上，提供了对 UTS、IPC、mount、PID、ne...
linux mount命名空间,Linux – 了解mount命名空间并克隆CLONE_NEWNS标志
weixin_35293785的博客
05-07 501
一个进程的“mount命名空间”只是它看到的一组已安装的文件系统.一旦你从一个全局安装命名空间到具有每个进程挂载命名空间的传统情况出发,你必须决定在使用clone()创建一个子进程时该怎么做.传统上,安装或卸载文件系统改变了所有进程所看到的文件系统：所有进程都有一个全局安装命名空间,如果进行了任何更改(例如使用mount命令),所有进程将立即看到这种更改,无论他们与mount命令的关系.使用每进程...
linux namespace的概述
dizhegccl的博客
10-23 2153
1.namespace是Linux系统的底层概念，在内核层实现，即有一些不同类型的命名空间被部署在核内，各个docker容器运行在同一个docker主进程并且共 用同一个宿主机系统内核，各docker容器运行在宿主机的用户空间，每个容器都要有类似于虚拟机一样的相互隔离的运行空间，但是容器技术是在一个 进程内实现运行指定服务的运行环境，并且还可以保护宿主机内核不受其他进程的干扰和影响，如文件系统空间、网络空间、进程空间等，目前主要通过 以下8种技术实现容器运行空间的相互隔离.
linux的namespace实战，我们在k8s中切换到另一个namespace
qq_32783703的博客
05-27 995
我们有时候做中间件会遇到以下场景这种场景适应于 Docker 以及K8s 等等场景，但是linux 内对多个进程进行了隔离，大家都是用不同的namespace，每个namespace都是弱隔离的，他隔离了不同容器的net namespace 和 mount namespace。当我们做基础架构中间件的时候需要从 namespace 去切换到不同的namespace里，去读取他们的一些网络信息和 文件信息，这就需要我们去切换 net namespace 和 mount namespace。
挂载名称空间(Mount Namespace)
最新发布
tangzhangyin的专栏
02-23 498
linux mount namespace
15.namespace本质，cgroup本质，层结构，mount namespace介绍
Sai_BAN的博客
04-23 306
容器创建的时候，在cgroup的子系统下比如sys/fs/cgroup/cpu下创建一个子目录container, container里会自动生成和cpu目录下一致的配置文件，改变这些配置文件里的值，然后把被限制的进程(即容器进程)的PID写入tasks即可。这些配置文件的值一般是docker run的时候指定的。它最主要的作用，就是限制一个进程组能够使用的资源上限，包括 CPU、内存、磁盘、网络带宽等等。把宿主机的 /var/lib/lxcfs/proc/* 文件挂载到容器的/proc/*
深入理解Docker：Linux内核Namespace实现资源隔离
"Docker背后的内核知识主要集中在Linux Namespace资源隔离技术上，这是实现容器核心技术的关键之一。Namespace为Linux内核提供了一种机制，使得不同的进程看到的系统环境（如文件系统、网络、进程ID等）可以是独立的...
评论 12
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

DieSnowK

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值