一，docker安装配置

要在golang中使用Docker，需要先安装并配置好Docker。下面是基本的Docker安装和配置步骤：

下载并安装Docker

官方下载地址：https://docs.docker.com/get-docker/

根据你的操作系统选择对应版本的Docker，并按照官方文档进行安装。

配置Docker

在Linux环境下，可以使用以下命令启动Docker服务：

sudo systemctl start docker

为了使当前用户能够访问Docker服务，还需要将该用户添加到docker组中：

sudo usermod -aG docker $USER

然后重启终端会话以使更改生效。

测试Docker是否成功安装和配置

运行以下命令验证Docker是否已正确安装和配置：

docker run hello-world

如果输出类似于以下内容，则表示已成功安装和配置Docker：

Hello from Docker!
This message shows that your installation appears to be working correctly.
...

至此，你已经完成了golang Docker的安装和配置。现在你可以开始使用golang编写应用程序并构建镜像来部署到容器中。

二，RootFs环境依赖

在golang中使用RootFs可以创建一个基于Linux容器的轻量级环境，但是需要注意环境依赖问题。如果你的程序涉及到外部库或者系统命令，则需要将这些依赖项包含在RootFs镜像中。

一种常见的解决方案是使用Dockerfile构建一个包含所需依赖的基础镜像，并将该镜像作为RootFs的基础镜像。例如，以下Dockerfile用于构建一个包含curl、wget和tar等工具的基础镜像：

FROM alpine:latest
RUN apk update && \
    apk upgrade && \
    apk add --no-cache bash curl wget tar

然后，在golang程序中可以通过导入相关库和使用os/exec模块来运行系统命令，如下所示：

package main

import (
	"fmt"
	"os/exec"
)

func main() {
	cmd := exec.Command("curl", "-s", "https://www.google.com")
	out, err := cmd.Output()
	if err != nil {
		fmt.Println(err)
		return
	}
	fmt.Println(string(out))
}

最后，在编译golang程序时，可以使用-tags netgo static_build参数强制静态链接所有依赖项，以避免在运行RootFs容器时出现缺少共享库文件的错误。

三，Linux Namespace隔离

Linux Namespace是一种机制，可以使进程看到一个虚拟的系统环境。使用Namespace，可以将某些资源（如网络、文件系统等）隔离开来，从而实现不同进程之间的资源隔离。

下面是在golang中使用Linux Namespace进行隔离的基本步骤：

导入相关包

import (
"os"
"os/exec"
"syscall"
)
创建新的Namespace

使用Clone系统调用创建新的Namespace：

cmd := exec.Command("/proc/self/exe", "init")
cmd.SysProcAttr = &syscall.SysProcAttr{
    Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS | syscall.CLONE_NEWNET,
}

这里我们创建了5个Namespace：UTS、IPC、PID、Mount和Network。

在新Namespace中运行应用程序

通过执行上述命令，会启动一个新进程，并在其中创建了新Namespace。现在，我们需要在该进程中运行实际的应用程序。为此，我们需要编写一个可执行文件（如上例中的"init"），并将其作为参数传递给上述命令。

进行资源配置和管理

一旦你成功地创建了新的Namespace，并在其中运行应用程序，则可以根据需求对其进行配置和管理。例如，你可以限制容器内部访问外部网络或文件系统的权限，并设置各种其他限制和规则。

以上是在golang中使用Linux Namespace进行隔离的基本步骤。

四，Cgroup资源配额限制

Cgroup是Linux内核中的一种机制，可以为进程分配资源配额，并限制它们对系统资源（如CPU、内存、IO等）的使用。在golang中使用Cgroup进行资源配额限制的基本步骤如下：

导入相关包

import (
"os"
"bufio"
)
创建新的Cgroup

使用os.Mkdir函数创建新的Cgroup目录：

cgroupName := "my_cgroup"
path := "/sys/fs/cgroup/cpu/" + cgroupName
if _, err := os.Stat(path); os.IsNotExist(err) {
    if err = os.Mkdir(path, 0755); err != nil {
        panic(err)
    }
}

这里我们以CPU Cgroup为例，但同样可以使用其他类型的Cgroups。

配置资源限制

在创建了新的Cgroup目录后，我们需要通过配置相应参数来限制进程所能使用的各种资源。例如，要限制CPU时间，我们可以将CPU时间配额值写入cpu.cfs_quota_us文件中：

quotaFile, err := os.OpenFile(path+"/cpu.cfs_quota_us", os.O_WRONLY, 0644)
if err != nil {
    panic(err)
}
defer quotaFile.Close()

writer := bufio.NewWriter(quotaFile)
_, _ = writer.WriteString("100000") // 100ms CPU time limit
_ = writer.Flush()

这里我们设置了一个100ms的CPU时间限制。

启动进程并加入到Cgroup中

最后，在已经完成了Cgroup配置之后，我们需要启动应用程序，并将其加入到Cgroup中：

cmd := exec.Command("/usr/bin/python", "-c", "while True: pass")
cmd.SysProcAttr = &syscall.SysProcAttr{
    Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS | syscall.CLONE_NEWNET,
}
cmd.Stdin, _ = os.Open(os.DevNull)
cmd.Stdout = os.Stdout
cmd.Stderr = os.Stderr

if err := cmd.Start(); err != nil {
    panic(err)
}

pid := cmd.Process.Pid

tasksFile, err := os.OpenFile(path+"/tasks", os.O_WRONLY, 0644)
if err != nil {
    panic(err)
}
defer tasksFile.Close()

writer := bufio.NewWriter(tasksFile)
_, _ = writer.WriteString(fmt.Sprintf("%d\n", pid))
_ = writer.Flush()

这里我们使用了exec.Command函数来启动一个新的进程，并使用Clone系统调用创建了新Namespace。然后，我们将该进程的PID写入到Cgroup目录的tasks文件中，以便它被正确地加入到相应的Cgroup中。

在CSDN学Golang云原生（Docker基础）

一，docker安装配置