docker用来实现“隔离”的技术手段：namespace

布满荆棘的人生 2022-10-08 11:14 112阅读 0赞

例子说明namespace

docker run -it busybox /bin/sh

进入容器后，执行ps

/ # ps
     
    PID USER TIME COMMAND
    1 root 0:00 /bin/sh
    10 root 0:00 ps

可以看到，宿主机执行的 /bin/sh，就是这个容器内部的第 1 号进程（PID=1），而这个容器里一共只有两个进程在运行。这就意味着，前面执行的 /bin/sh，以及我们刚刚执行的 ps，已经被 Docker 隔离在了一个跟宿主机完全不同的世界当中。

这种技术，就是 Linux 里面的 Namespace 机制。而这个namespace只是 Linux 创建新进程的一个可选参数。

Linux 六种隔离能力  
![20210621101651946.png][]  
在 Linux 系统中创建进程的系统调用是 clone()，比如：

int pid = clone(main_function, stack_size, SIGCHLD, NULL);

这个系统调用就会为我们创建一个新的进程，并且返回它的进程号 pid。而当我们用 clone() 系统调用创建一个新进程时，就可以在参数中指定  
CLONE\_NEWPID 参数，比如：

int pid = clone(main_function, stack_size, CLONE_NEWPID | SIGCHLD, NULL);

这时，新创建的这个进程将会“看到”一个全新的进程空间，在这个进程空间里，它的 PID 是1。而在宿主机，PID还是原来真实的值。

容器，其实是一种特殊的进程而已。

在使用Docker 的时候，并没有一个真正的“Docker 容器”运行在宿主机里面。Docker项目帮助用户启动的，还是原来的应用进程，只不过在创建这些进程时，Docker 为它们加上了各种各样的Namespace 参数。

这时，这些进程就会觉得自己是各自 PID Namespace 里的第 1 号进程，只能看到各自 Mount Namespace 里挂载的目录和文件，只能访问到各自 Network Namespace 里的网络设备，就仿佛运行在一个个“容器”里面，与世隔绝。

[20210621101651946.png]: /images/20221005/59b161fda132465ba8316efceab41987.png

发表评论取消回复

表情：

评论列表（有 0 条评论，112人围观）

还没有评论，来说两句吧...

相关阅读

相关 Docker 背后的内核知识——Namespace 资源隔离

Docker 背后的内核知识——Namespace 资源隔离 Docker 这么火，喜欢技术的朋友可能也会想，如果要自己实现一个资源隔离的容器，应该从哪些方面下手呢？也许

àì夳堔傛蜴生んèń/ 2022年10月26日 15:29/ 0 赞/ 236 阅读

相关 docker用来实现“隔离”的技术手段：namespace

例子说明namespace docker run -it busybox /bin/sh 进入容器后，执行ps / ps PID U

布满荆棘的人生/ 2022年10月08日 11:14/ 0 赞/ 113 阅读

相关 namespace的用法

C++中采用的是单一的全局变量命名空间。在这单一的空间中，如果有两个变量或函数的名字完全相同，就会出现冲突。当然，你也可以使用不同的名字，但有时我们并不知道另一个变量也使用完全

秒速五厘米/ 2022年08月27日 12:52/ 0 赞/ 92 阅读

相关 DOCKER背后的内核知识——NAMESPACE资源隔离

Docker这么火，喜欢技术的朋友可能也会想，如果要自己实现一个资源隔离的容器，应该从哪些方面下手呢？也许你第一反应可能就是`chroot`命令，这条命令给用户最直观的感觉就是

末蓝、/ 2022年08月07日 07:55/ 0 赞/ 234 阅读

相关 namespace的用法

[namespace的用法][namespace] 　　C++中采用的是单一的全局变量命名空间。在这单一的空间中，如果有两个变量或函数的名字完全相同，就会出现冲突。

我会带着你远行/ 2022年08月05日 13:17/ 0 赞/ 128 阅读

相关 Docker背后的内核知识——LXC Namespace资源隔离

Docker这么火，喜欢技术的朋友可能也会想，如果要自己实现一个资源隔离的容器，应该从哪些方面下手呢？也许你第一反应可能就是chroot命令，这条命令给用户最直观的感觉就是使用

男娘i/ 2022年05月27日 12:24/ 0 赞/ 291 阅读

相关理解Docker（3）：Docker 使用 Linux namespace 隔离容器的运行环境

来源：[http://www.cnblogs.com/sammyliu/p/5878973.html][http_www.cnblogs.com_sammyliu_p_5878

比眉伴天荒/ 2022年05月12日 13:52/ 0 赞/ 166 阅读

相关 Docker基础技术：Linux Namespace【下】

收获：模仿docker0的那一套IP命令集，太TMD酷了！I'm starving. 另外两点： 1. 网络原理之后的Docker方面： Docker的reso

た入场券/ 2022年01月27日 14:15/ 0 赞/ 189 阅读

相关 linux namespace 隔离内核资源的方式简介

namespace 的概念 namespace 是 Linux 内核用来隔离内核资源的方式。通过 namespace 可以让一些进程只能看到与自己相关的一部分资源，而另外

心已赠人/ 2021年08月27日 02:40/ 0 赞/ 462 阅读

相关 linux uts namespace 提供了主机名和域名的隔离 docker中被用到

UTS，UNIX Time-sharing System namespace提供了主机名和域名的隔离。能够使得子进程有独立的主机名和域名(hostname)，这一特性在Dock

小灰灰/ 2021年08月27日 00:47/ 0 赞/ 260 阅读