理解Docker（3）：Docker 使用 Linux namespace 隔离容器的运行环境

最新推荐文章于 2022-07-20 09:52:29 发布
最新推荐文章于 2022-07-20 09:52:29 发布
阅读量144 收藏 1
点赞数
文章标签： 运维 操作系统 python
原文链接：https://yq.aliyun.com/articles/377862
版权

本系列文章将介绍Docker的有关知识

1Docker 安装及基本用法

2Docker 镜像

3Docker 容器的隔离性 - 使用 Linux namespace 隔离容器的运行环境

4Docker 容器的隔离性 - 使用 cgroups 限制容器使用的资源

5Docker 网络

 

1. 基础知识Linux namespace 的概念

    Linux 内核从版本 2.4.19 开始陆续引入了 namespace 的概念。其目的是将某个特定的全局系统资源global system resource通过抽象方法使得namespace 中的进程看起来拥有它们自己的隔离的全局系统资源实例The purpose of each namespace is to wrap a particular global system resource in an abstraction that makes it appear to the processes within the namespace that they have their own isolated instance of the global resource. 。Linux 内核中实现了六种 namespace按照引入的先后顺序列表如下

namespace引入的相关内核版本被隔离的全局系统资源在容器语境下的隔离效果
Mount namespacesLinux 2.4.19文件系统挂接点每个容器能看到不同的文件系统层次结构
UTS namespacesLinux 2.6.19nodename 和 domainname每个容器可以有自己的 hostname 和 domainame
IPC namespacesLinux 2.6.19特定的进程间通信资源包括System V IPC 和  POSIX message queues每个容器有其自己的 System V IPC 和 POSIX 消息队列文件系统因此只有在同一个 IPC namespace 的进程之间才能互相通信
PID namespacesLinux 2.6.24进程 ID 数字空间 process ID number space每个 PID namespace 中的进程可以有其独立的 PID 每个容器可以有其 PID 为 1 的root 进程也使得容器可以在不同的 host 之间迁移因为 namespace 中的进程 ID 和 host 无关了。这也使得容器中的每个进程有两个PID容器中的 PID 和 host 上的 PID。
Network namespaces始于Linux 2.6.24 完成于 Linux 2.6.29网络相关的系统资源每个容器用有其独立的网络设备IP 地址IP 路由表/proc/net 目录端口号等等。这也使得一个 host 上多个容器内的同一个应用都绑定到各自容器的 80 端口上。
User namespaces始于 Linux 2.6.23 完成于 Linux 3.8)用户和组 ID 空间 在 user namespace 中的进程的用户和组 ID 可以和在 host 上不同 每个 container 可以有不同的 user 和 group id一个 host 上的非特权用户可以成为 user namespace 中的特权用户

Linux namespace 的概念说简单也简单说复杂也复杂。简单来说我们只要知道处于某个 namespace 中的进程能看到独立的它自己的隔离的某些特定系统资源复杂来说可以去看看 Linux 内核中实现 namespace 的原理网络上也有大量的文档供参考这里不再赘述。

2. Docker 容器使用 linux namespace 做运行环境隔离

当 Docker 创建一个容器时它会创建新的以上六种 namespace 的实例然后把容器中的所有进程放到这些 namespace 之中使得Docker 容器中的进程只能看到隔离的系统资源。 

2.1 PID namespace

我们能看到同一个进程在容器内外的 PID 是不同的

  • 在容器内 PID 是 1PPID 是 0。
  • 在容器外 PID 是 2198 PPID 是 2179 即 docker-containerd-shim 进程.
复制代码

root@devstack:/home/sammy# ps -ef | grep python
root 2198 2179 0 00:06 ? 00:00:00 python app.py

root@devstack:/home/sammy# ps -ef | grep 2179
root 2179 765 0 00:06 ? 00:00:00 docker-containerd-shim 8b7dd09fbcae00373207f01e2acde45740871c9e3b98286b5458b4ea09f41b3e /var/run/docker/libcontainerd/8b7dd09fbcae00373207f01e2acde45740871c9e3b98286b5458b4ea09f41b3e docker-runc
root 2198 2179 0 00:06 ? 00:00:00 python app.py
root 2249 1692 0 00:06 pts/0 00:00:00 grep --color=auto 2179


root@devstack:/home/sammy# docker exec -it web31 ps -ef
UID PID PPID C STIME TTY TIME CMD
root 1 0 0 16:06 ? 00:00:00 python app.py

复制代码

关于 containerdcontainerd-shim 和 container 的关系文章 中的下图可以说明

  • Docker 引擎管理着镜像然后移交给 containerd 运行containerd 再使用 runC 运行容器。
  • Containerd 是一个简单的守护进程它可以使用 runC 管理容器使用 gRPC 暴露容器的其他功能。它管理容器的开始停止暂停和销毁。由于容器运行时是孤立的引擎引擎最终能够启动和升级而无需重新启动容器。
  • runC是一个轻量级的工具它是用来运行容器的只用来做这一件事并且这一件事要做好。runC基本上是一个小命令行工具且它可以不用通过Docker引擎直接就可以使用容器。

因此容器中的主应用在 host 上的父进程是 containerd-shim是它通过工具 runC 来启动这些进程的。

这也能看出来pid namespace 通过将 host 上 PID 映射为容器内的 PID 使得容器内的进程看起来有个独立的 PID 空间。

2.2 UTS namespace

类似地容器可以有自己的 hostname 和 domainname

root@devstack:/home/sammy# hostname
devstack
root@devstack:/home/sammy# docker exec -it web31 hostname
8b7dd09fbcae

2.3 user namespace

在 Docker 1.10 版本之前Docker 是不支持 user namespace。也就是说默认地容器内的进程的运行用户就是 host 上的 root 用户这样的话当 host 上的文件或者目录作为 volume 被映射到容器以后容器内的进程其实是有 root 的几乎所有权限去修改这些 host 上的目录的这会有很大的安全问题。

举例

  • 启动一个容器 docker run -d -v /bin:/host/bin --name web34 training/webapp python app.py
  • 此时进程的用户在容器内和外都是root它在容器内可以对 host 上的 /bin 目录做任意修改
root@devstack:/home/sammy# docker exec -ti web34 id
uid=0(root) gid=0(root) groups=0(root)
root@devstack:/home/sammy# id
uid=0(root) gid=0(root) groups=0(root)

而 Docker 1.10 中引入的 user namespace 就可以让容器有一个 “假”的  root 用户它在容器内是 root在容器外是一个非 root 用户。也就是说user namespace 实现了 host users 和 container users 之间的映射。

启用步骤

  1. 修改 /etc/default/docker 文件添加行  DOCKER_OPTS="--userns-remap=default"
  2. 重启 docker 服务此时 dockerd 进程为 /usr/bin/dockerd --userns-remap=default --raw-logs
  3. 然后创建一个容器docker run -d -v /bin:/host/bin --name web35 training/webapp python app.py
  4. 查看进程在容器内外的用户
复制代码 
root@devstack:/home/sammy# ps -ef | grep python
231072    1726  1686  0 01:44 ?        00:00:00 python app.py

root@devstack:/home/sammy# docker exec web35 ps -ef
UID        PID  PPID  C STIME TTY          TIME CMD
root         1     0  0 17:44 ?        00:00:00 python app.py
复制代码
  • 查看文件/etc/subuid 和 /etc/subgid可以看到 dockermap 用户在host 上的 uid 和 gid 都是 231072
复制代码 
root@devstack:/home/sammy# cat /etc/subuid
sammy:100000:65536
stack:165536:65536
dockremap:231072:65536

root@devstack:/home/sammy# cat /etc/subgid
sammy:100000:65536
stack:165536:65536
dockremap:231072:65536

复制代码
  • 再看文件/proc/1726/uid_map它表示了容器内外用户的映射关系即将host 上的 231072 用户映射为容器内的 0 即root用户。
root@devstack:/home/sammy# cat /proc/1726/uid_map
         0     231072      65536
  •  现在我们试图在容器内修改 host 上的 /bin 文件夹就会提示权限不足了
root@80993d821f7b:/host/bin# touch test2
touch: cannot touch 'test2': Permission denied

这说明通过使用 user namespace使得容器内的进程运行在非 root 用户我们就成功地限制了容器内进程的权限。

其他的几个 namespace比如 networkmnt 等比较简单这里就不多说了。总之Docker 守护进程为每个容器都创建了六种namespace 的实例使得容器中的进程都处于一种隔离的运行环境之中

复制代码 
root@devstack:/proc/1726/ns# ls -l
total 0
lrwxrwxrwx 1 231072 231072 0 Sep 18 01:45 ipc -> ipc:[4026532210]
lrwxrwxrwx 1 231072 231072 0 Sep 18 01:45 mnt -> mnt:[4026532208]
lrwxrwxrwx 1 231072 231072 0 Sep 18 01:44 net -> net:[4026532213]
lrwxrwxrwx 1 231072 231072 0 Sep 18 01:45 pid -> pid:[4026532211]
lrwxrwxrwx 1 231072 231072 0 Sep 18 01:45 user -> user:[4026532207]
lrwxrwxrwx 1 231072 231072 0 Sep 18 01:45 uts -> uts:[4026532209]
复制代码

2.4 network namespace

  默认情况下当 docker 实例被创建出来后使用 ip netns  命令无法看到容器实例对应的 network namespace。这是因为 ip netns 命令是从 /var/run/netns 文件夹中读取内容的。

步骤
  1. 找到容器的主进程 ID
root@devstack:/home/sammy# docker inspect --format '{{.State.Pid}}' web5
2704
  1. 创建  /var/run/netns 目录以及符号连接
root@devstack:/home/sammy# mkdir /var/run/netns
root@devstack:/home/sammy# ln -s /proc/2704/ns/net /var/run/netns/web5
  1. 此时可以使用 ip netns 命令了
复制代码 
root@devstack:/home/sammy# ip netns
web5
root@devstack:/home/sammy# ip netns exec web5 ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default
  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
  inet 127.0.0.1/8 scope host lo
  valid_lft forever preferred_lft forever
  inet6 ::1/128 scope host
  valid_lft forever preferred_lft forever
15: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
  link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
  inet 172.17.0.3/16 scope global eth0
  valid_lft forever preferred_lft forever
  inet6 fe80::42:acff:fe11:3/64 scope link
  valid_lft forever preferred_lft forever
复制代码

3. Docker run 命令中 namespace 中相关参数

Docker run 命令有几个参数和 namespace 相关

  • --ipc string IPC namespace to use
  • --pid string PID namespace to use
  • --userns string User namespace to use
  • --uts string UTS namespace to use

3.1 --userns

--userns指定容器使用的 user namespace

  • 'host': 使用 Docker host user namespace
  • '': 使用由 `--userns-remap‘ 指定的 Docker deamon user namespace

你可以在启用了 user namespace 的情况下强制某个容器运行在 host user namespace 之中

root@devstack:/proc/2835# docker run -d -v /bin:/host/bin --name web37 --userns host training/webapp python app.py
9c61e9a233abef7badefa364b683123742420c58d7a06520f14b26a547a9476c
root@devstack:/proc/2835# ps -ef | grep python
root      2962  2930  1 02:17 ?        00:00:00 python app.py

否则默认的话就会运行在特定的 user namespace 之中了。

3.2 --pid

同样的可以指定容器使用 Docker host pid namespace这样在容器中的进程可以看到 host 上的所有进程。注意此时不能启用 user namespace。

复制代码 
root@devstack:/proc/2962# docker run -d -v /bin:/host/bin --name web38 --pid host --userns host training/webapp python app.py
f40f6702b61e3028a6708cdd7b167474ddf2a98e95b6793a1326811fc4aa161d
root@devstack:/proc/2962#
root@devstack:/proc/2962# docker exec -it web38 bash
root@f40f6702b61e:/opt/webapp# ps aux
USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root         1  0.0  0.1  33480  2768 ?        Ss   17:40   0:01 /sbin/init
root         2  0.0  0.0      0     0 ?        S    17:40   0:00 [kthreadd]
root         3  0.0  0.0      0     0 ?        S    17:40   0:00 [ksoftirqd/0]
root         5  0.0  0.0      0     0 ?        S<   17:40   0:00 [kworker/0:0H]
root         6  0.0  0.0      0     0 ?        S    17:40   0:00 [kworker/u2:0]
root         7  0.0  0.0      0     0 ?        S    17:40   0:00 [rcu_sched]

......
复制代码

3.3 --uts

同样地可以使容器使用 Docker host uts namespace。此时最明显的是容器的 hostname 和 Docker hostname 是相同的。

root@devstack:/proc/2962# docker run -d -v /bin:/host/bin --name web39 --uts host training/webapp python app.py
38e8b812e7020106bf8d3952b88085028fc87f4427af0c3b0a29b6a69c979221
root@devstack:/proc/2962# docker exec -it web39 bash
root@devstack:/opt/webapp# hostname
devstack

 

 

参考链接
    本文转自SammyLiu博客园博客原文链接http://www.cnblogs.com/sammyliu/p/5878973.html 如需转载请自行联系原作者
weixin_34166847
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
docker的资源隔离
Fnatic_的博客
12-02 460
六种名称空间 namespace 系统调用参数 隔离内容 内核版本 UTS CLONE_NEWUTS 主机名和域名 2.6.19 IPC CLONE_NEWIPC 信号量，消息队列，共享内存 2.6.19 Mount CLONE_NEWNS 挂载点（文件系统） 2.4.19 PID CLONE_NEWPID 进程编号 2.6.24 Network CLONE_NEW...
【Linux】Pid Namespace简介及其引发的问题
最新发布
林多
01-15 1123
Pid Namespace简介及其引发的问题 这六种命名空间，用来隔离某种资源。通过命名空间，linux可以支持容器的实现。这里只关注PID Namspace。
namespace
zhendeshifeng的博客
07-31 151
docker本质上是运行在主机上的进程，它通过namespace实现资源隔离，包括网络资源隔离，用户和用户组的隔离，进程间通信的隔离，进程号pid的隔离主机名和域名的隔离，挂载点（文件系统）隔离。 进行namespace API操作的四种方式 通过clone在创建新进程的同时创建namespace，是docker使用namespace的基本方法 通过setns()加入一个已经存在的namesp...
docker的安全与资源限制
qq_41961805的博客
06-05 3784
Docker安全 Docker容器的安全性,很大程度上依赖于Linux系统自身,评估Docker的安全性时,主要考虑以下几个方面: Linux内核的命名空间机制提供的容器隔离安全 Linux控制组机制对容器资源的控制能力安全。 Linux内核的能力机制所带来的操作权限安全 Docker程序(特别是服务端)本身的抗攻击性。 其他安全增强机制对容器安全性的影响。 命名空间隔离的安全 当docker r...
Docker学习四：资源隔离——Namespace
weixin_41402069的博客
07-20 2284
Docker学习系列
Docker基础知识之Linux namespace图文详解
01-11
Docker 是“新瓶装旧酒”的产物，依赖于 Linux 内核技术 chroot 、namespace 和 cgroup。本篇先来看 namespace 技术。 Docker 和虚拟机技术一样，从操作系统级上实现了资源的隔离，它本质上是宿主机上的进程（容器...
理解Docker（2）：Docker 镜像详细介绍
01-20
（3）Docker 容器的隔离性 – 使用 Linux namespace 隔离容器的运行环境 （4）Docker 容器的隔离性 – 使用 cgroups 限制容器使用的资源 （5）Docker 网络 对于每个软件，除了它自身的代码以外，它的运行还需要有一...
如何隔离docker容器中的用户的方法
09-30
在 Docker 容器环境中，确保用户隔离是至关重要的安全措施，因为这能防止容器内的进程对宿主机系统造成潜在的危害。Docker 默认情况下并不自动启用用户隔离，而是依赖于 Linux 的 User Namespace 技术来实现这种隔离...
详解Docker 容器使用 cgroups 限制资源使用
01-20
上一篇文章将到 Docker 容器使用 linux namespace 来隔离其运行环境，使得容器中的进程看起来就像爱一个独立环境中运行一样。但是，光有运行环境隔离还不够，因为这些进程还是可以不受限制地使用系统资源，比如网络...
Docker探索namespace详解
09-30
Namespace为每个容器提供了一种隔离机制，使得每个容器内部的进程看起来像是运行在一个独立的环境中，而实际上它们共享同一个主机系统。本文将详细介绍Docker如何利用namespace进行资源隔离，并讨论如何通过API进行...
使用独立PID namespace防止误杀进程
互联网
07-14 155
一段错误的代码首先看一段错误的代码：#!/bin/bash SLICE=100; slppid=1; pidfile=/var/run/vpnrulematch.pid # 停止之前的sleep kill_prev() { pid=$1; /bin/kill -0 $pid;exist=$? ppid=$(/bin/cat /proc/$pid/...
docker linux内核,docker 基于Linux的内核特性
weixin_34442022的博客
05-01 795
docker 依赖于Linux的二个特性：命名空间(namespace)和控制组(cgroups)命名空间(namespace)：实现系统资源的隔离，如进程，网络，文件系统等，实现轻量级的虚拟化服务，也就是容器。PID (Process ID ) 进程隔离NET (network)管理网络接口IPC (InterProcess Communication) 管理跨进程通信的访问MNT...
基于Docker技术的容器隔离性分析
snipercai的博客
02-06 7284
【摘要】Docker技术是一种基于Linux操作系统内核的虚拟化技术，其主要在于借助对LXC（Linux Container）的扩展而达到一种虚拟化的解决方案。其能够保障每一个容器中服务的运行环境是保持隔离的，这主要是通过内核命名空间的特性来完成。由于Docker隔离机制的独特性，运行资源的开销较低，能够很好地保障虚拟化的密度。文章基于Docker的工作原理展开研究，对Docker的虚拟化隔离技术
【DOCKER】走进DOCKER，神奇的环境隔离
Ubisoft-One kid's Dream
03-26 3636
写在前面的    上一篇写DOCKER的原则，接下来就说说DOCKER的一些简单的应用吧。DOCKER概念 其实DOCKER 的概念的形成就像DOCKER官网的图标一样，一条鲸鱼的脑袋上放了很多集装箱。 为什么这样讲？这就要说道DOCKER对于软件运行环境的封装了，简单的理解为，我们每一个“集装箱”里面运行的“系统环境”都是不一样的，而且也是互不干扰的。举个栗子，其中一个“集装箱”内运行的是基于“U
Docker原理之隔离篇 --- namespace隔离简介
Jung_zhang的专栏
06-01 1980
Linux内核提供的一种隔离机制，Docker就是使用内核namespace的隔离机制来实现对应的资源隔离。
Docker 使用 Linux namespace 隔离容器的运行环境
qq_21222149的博客
04-15 196
转自http://www.cnblogs.com/sammyliu/p/5878973.html
k8s系列 - secret详解
yuezhilangniao的博客
04-28 876
k8s集群拉取私有仓库镜像，需要在对应的 namespaces 中启动一个 secret，方法如下：例如要在一个 test 的 namespace 中使用 bjjrccr.ccs.tencentyun.com 私有仓库中的镜像启动 pod ，登录仓库的用户是 ops , 密码是 ops123123 ，那么我们可以创建一个 secret ，下面例子中的 secret 名称叫 bjjrccr-secret（这个随便起个什么名称都行） kubectl create secret \ dock...
Docker基础: Linux内核之Cgroups（1）
知行合一 止于至善
09-19 7885
作为开源Container技术代表的Docker，它跟Linux内核的Namespace和Cgroup两大特性密不可分。物有本末，事有终始。知所先后，则近道矣。理解Linux的这两大特性将有助于我们更深入的理解Docker。 在本文中我们将会简要介绍一下Cgroups是什么。
08 _ 白话容器基础（四）：重新认识Docker容器1
08-04
Docker容器是由镜像（Image）创建的实例，每个容器都是相互隔离的运行环境。它们使用Linux内核的命名空间（Namespace）和控制组（Cgroups）功能来实现隔离和限制。命名空间实现了进程、网络、挂载点等资源的隔离，而...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值