本文共 2249 字，大约阅读时间需要 7 分钟。

Linux Namespace Explained: User, PID, Mount, IPC, and Cgroup Namespaces

Linux namespaces是Linux系统中一个强大的功能，用于隔离系统资源和进程环境。以下是对不同类型Namespace的详细解释：

User Namespaces

User namespaces允许在容器中独立管理用户和组权限，防止容器内的进程访问宿主系统的敏感资源。用户namespaces主要涉及以下内容：

User Namespace的工作原理

• 文件：/etc/subuid和/etc/subgid文件映射容器内的用户和组到宿主系统的UID和GID。
• 创建Namespace：可以通过unshare -U或docker run --userns=...创建用户namespaces，默认会继承宿主Namespace的权限。
• 权限规则：
  • 容器内的进程可以通过set_user_id或修改文件的权限获得某些Capabilities。
  • 容器内的进程在子Namespace中继承父Namespace的Capabilities。
  • 容器内的进程只能操作属于它Namespace的资源，无法访问宿主Namespace的敏感功能（如修改系统时间）。

示例

• 在宿主系统中创建dockertest用户和组：

  groupadd -g 5000 dockertestuseradd -u 5000 -g dockertest dockertest

• 修改/etc/subuid和/etc/subgid文件，将dockertest用户和组映射到容器内的UID和GID。

PID Namespaces

PID namespaces允许容器内的进程拥有独立的PID号，使得容器能够在不同宿主系统之间迁移。容器内的进程看起来都有PID=1的根进程。

PID Namespace的功能

• 容器内的进程与宿主系统的PID无关，通过/proc/[pid]/ns可以查看对应的Namespace。
• 使用unshare --pid创建PID namespace，启动一个独立的进程环境。

示例

• 在宿主系统中运行一个PID namespace：

  unshare --fork --pid --mount-proc

• 在容器内查看进程信息：

  ps -ef

• 在宿主系统中查看对应进程的Namespace：

  ps -ef|grep [进程PID]

Mount Namespaces

Mount namespaces允许进程独立管理文件系统挂载点，避免不同Namespace之间的文件操作互相干扰。

Mount Namespace的工作原理

• 创建Namespace：通过unshare --mount-proc或mount --bind创建独立的Mount namespace。
• propagation类型：
  • MS_SHARED：挂载点的操作会在同一组Namespace中传播。
  • MS_PRIVATE：挂载点的操作仅在当前Namespace中生效。
  • MS_SLAVE：挂载点的操作会从父Namespace传播到子Namespace。

示例

• 创建一个Mount namespace并挂载一个虚拟磁盘：

  mkdir mntSmount --make-shared /vdisk1 mntS

• 在Mount namespace中创建子目录并挂载其他设备：

  mkdir -p mntS/mntS-submount /vdisk2 mntS/mntS-sub

IPC Namespaces

IPC namespaces用于隔离进程间的信号量、共享内存和消息队列。通过不同的IPC Namespace，可以限制不同进程之间的通信。

IPC Namespace的功能

• 隔离机制：通过不同的Namespace限制信号量、共享内存和消息队列的访问。
• 文件隔离：
  • POSIX消息队列：/proc/sys/fs/mqueue
  • System V IPC：/proc/sys/vipc和/proc/sys/kernel

示例

• 在宿主系统中创建一个IPC Namespace并创建信号量和共享内存：

  unshare -fuiipcmk -Qipcmk -M 50

Cgroup Namespaces

Cgroup namespaces用于隔离容器的系统资源限制，如内存、CPU、IO等。Docker在1.8版本后开始将Cgroup挂载到容器中。

Cgroup Namespace的功能

• 资源限制：通过Cgroup配置限制容器内的内存、CPU、IO等使用量。
• 挂载方式：通过--mount-cgroup选项将宿主系统的Cgroup挂载到容器中。

示例

• 在宿主系统中创建一个Cgroup并限制内存使用：

  mkdir /sys/fs/cgroup/memoryecho "memory 200M" > /sys/fs/cgroup/memory/memory.limit_in_bytes

• 在容器内查看Cgroup信息：

  cat /proc/self/cgroup

总结

Linux namespaces是系统隔离和资源管理的重要工具。通过合理使用User、PID、Mount、IPC和Cgroup namespaces，可以实现容器化应用的安全性和资源管理。理解这些Namespace的工作原理对于优化容器性能和安全配置至关重要。

转载地址：http://txakz.baihongyu.com/