Linux Namespace

发表于 2021-08-21 分类于 Kubernetes ， Docker 阅读次数：

Linux Namespace说明，实验

Linux Namespace

Linux Namespace是一种隔离机制，它将全局系统资源包装起来，使得PID、IPC、Network、Mount、UTS、User、CGroup不再是全局性的，而是属于特定的Namespace。每个Namespace下的资源对于其他Namespace都是不可见的。

一个进程可以属于多个Namespace。

Namespace种类

namespace 名称	系统调用参数	含义	kernel版本
Mount	CLONE_NEWNS	隔离一组进程看到的文件系统的挂载点，不同的命名空间可以具有不同的文件系统结构	2.4.19
PID	CLONE_NEWPID	隔离进程编号，PID 命名空间的主要好处之一是容器可以在主机之间迁移，同时为容器内的进程保留相同的进程 ID。PID 命名空间还允许每个容器拥有自己的 init (PID 1)，即“所有进程的祖先”，管理各种系统初始化任务并在它们终止时回收孤立的子进程。	2.6.14
Network	CLONE_NEWNET	隔离网络设备，堆栈，端口等	2.6.29
IPC	CLONE_NEWIPC	隔离进程间通信系统 IPC, POSIX 消息队列	2.6.19
UTS	CLONE_NEWUTS	隔离节点名和域名	2.6.19
User	CLONE_NEWUSER	隔离用户和组ID	3.8
Cgroup	CLONE_NEWCGROUP	隔离Cgroup 根目录，可以防止信息泄露而导致cgroup目录路径外部进程可见；隔离后，Cgroup路径名是独立的，容器迁移时，防止cgroup路径名与目标系统上的路径名发生冲突;将cgroup文件系统完全隔离开，可以防止容器进程无法访问主机的cgroup目录	4.6

每种namespace各有自己管理的部分，对于现在 Linux 上的任意进程而言，它一定是每种 namespace 的一个实例 (就是每个进程都得归属于某个ns，ns中可以只有一个进程，也可以由多个进程共有)

隔离cgroup说明：假设一个场景，有一个cgroup目录/cg/1，它归USER ID 9000所有，有一个进程X也归USER ID 9000所有，该进程的命名空间位于cgroup目录/cg/1/2。在没有cgroup命名空间的情况下，因为cgroup目录/cg/1由UID 9000拥有（可写）并且进程X也由UID 9000所有，进程X则既能修改/cg/1的文件，也能修改/cg/1/2的文件。通过cgroup namespace，可以防止进程X修改/cg/1的中的文件，因为它看不到该目录。这样可以防止进程X逃逸其ancestor cgroup的限制。

Linux 提供了以下主要的系统调用用于管理namespace：

clone()：如果是纯粹只使用clone()，则会创建一个新进程；但如果我们传递一个或多个 CLONE_NEW* 标志参数给clone()，则会根据每个标志创建对应的新namespace 并且将子进程添加为其成员，达到隔离效果。
setns()：允许进程加入一个已存在的 namespace 中。
unshare()：允许进程（或线程）取消其执行上下文中，与其他进程（或线程）共享部分的关联，通俗点来说，也就是可以利用此系统调用来让当前的进程（或线程）移动至一个新的namespace中。