docker - linux namespace

1.概述

Linux Namespace 是kernel的一个功能，它可以隔离一系列的系统资源，当前可隔离的资源有：

类型	Namespace 类型	系统调用参数	内核版本
文件系统	Mount Namespace	CLONE_NEWNS	2.4.19
主机名hostname	UTS Namespace	CLONE_NEWUTS	2.6.19
System V IPC,POSIXmessage queue	IPC Namespace	CLONE_NEWIPC	2.6.19
进程ID	PID Namespace	CLONE_NEWIPC	2.6.24
网络	Network Namespace	CLONE_NEWNET	2.6.29
用户	user Namespace	CLONE_NEWUSER	3.8

namespace API主要使用以下三个系统调用：

• clone() 创建新进程
• unshare()将进程移除namespace
• setns()将进程加入namespace

2.UTS namespace

UTS namespace主要用来隔离 nodename和domainname，在UTS 中，每个namespace都有自己的hostname。go语言版实现如下：

package main

import (
    "log"
    "os"
    "os/exec"
    "syscall"
)

func main() {
    cmd := exec.Command("sh")
    cmd.SysProcAttr = &syscall.SysProcAttr{
        Cloneflags: syscall.CLONE_NEWUTS,
    }
    cmd.Stdin = os.Stdin
    cmd.Stdout = os.Stdout
    cmd.Stderr = os.Stderr
    if err := cmd.Run(); err != nil {
        log.Fatal(err)
    }
}

执行：sudo go run main.go 运行go程序：
执行：pstree -pa 查看进程树，如下图结果：

用命令验证一下是否同一个UTS中：

验证结果表明，两个进程UTS不同，达到了隔离效果。修改hostname相互不会影响，命令如下：
hostname -b test1

3.IPC Namespace

用来隔离System V IPC,POSIXmessage queue，上一节的代码，直接加一个flag：CLONE_NEWIPC，代码如下：

package main
import (
    "log"
    "os"
    "os/exec"
    "syscall"
)
func main() {
    cmd := exec.Command("sh")
    cmd.SysProcAttr = &syscall.SysProcAttr{
        Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC,
    }
    cmd.Stdin = os.Stdin
    cmd.Stdout = os.Stdout
    cmd.Stderr = os.Stderr
    if err := cmd.Run(); err != nil {
        log.Fatal(err)
    }
}

执行验证命令：查询ipc：ipcs -q，创建ipc：ipcmk -Q
如下如：

4.PID Namespace

PID Namespace用来隔离进程ID的，同一个进程在不同的PID Namespace中拥有不同的PID，在宿主机上为：211，在容器中为：1
go代码实现在上一节基础上，增加CLONE_NEWIPC标签，此处省略。。。
验证方式：
pstree -pl
echo $$

5.Mount Namespace

Mount Namespace用来隔离各个进程看到的挂载点。因为是第一个实现的namespace类型，所以系统调用的参数是CLONE_NEWNS。
验证方式：
ls /proc
mount -t proc proc /proc
ls /proc

6.User Namespace

User Namespace用于用户和用户组隔离.
验证方式： id

7. Network Namespace

Network Namespace 用于网络隔离。在上面的代码中加入标识：CLONE_NEWNET即可实现。

验证方式：
ifconfig

二、Cgroup

1、cgroup
2、subsystem –查看限制的项目： lssubsys -a
3、hierarchy

1.创建cgroup：
mkdir cgroup-test
sudo mount -t cgroup -o none,name=cgroup-test cgroup-test ./cgroup-test/
创建两个子cgroup
sudo mkdir cgroup1
sudo mkdir cgroup2
tree

2、把进程加入到cgroup1中

cd cgroup1
echo $$
sudo sh -c "echo $$ >> tasks"

cat /proc/8628/cgroup

3、验证资源限制
查看内存的hierarchy：

mount | grep memory
cd /sys/fs/cgroup/memory

stress --vm-bytes 200m --vm-keep -m 1
修改内存限制

sudo mkdir limit-memory
cd limit-memory
sudo sh -c  "echo '100m' > memory.limit_in_bytes"
stress --vm-bytes 200m --vm-keep -m 1
sudo sh -c "echo $$ >tasks"
stress --vm-bytes 200m --vm-keep -m 1