自己动手写docker——Namespace

Linux Namespace

linux Namespace用于隔离一系列的系统资源,例如pid,userid,netword等,借助于Linux Namespace,可以实现容器的基本隔离。

Namespce介绍

Namespace类型 系统调用参数 作用
Mount Namespace CLONE_NEWNS 隔离挂载点视图,简单来说隔离了mount命令
UTS Namespace CLONE_NEWUTS 隔离hostname
IPC Namespace CLONE_NEWIPC 隔离ipc与message queue
PID Namespace CLONE_NEWPID 隔离进程PID
Network Namespace CLONE_NEWNET 隔离network
User Namespace CLONE_NEWUSER 隔离userid和groupid

下面我们用Go程序创建一个隔离的进程

复制代码
package main
​
import (
    "os"
    "os/exec"
    "syscall"
)
​
func main() {
    cmd := exec.Command("bash")
    cmd.SysProcAttr = &syscall.SysProcAttr{
       Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS |
          syscall.CLONE_NEWUSER | syscall.CLONE_NEWNET,
    }
    cmd.Stdin = os.Stdin
    cmd.Stdout = os.Stdout
    cmd.Stderr = os.Stderr
    if err := cmd.Run(); err != nil {
       panic(err)
    }
​
}

我们可以通过一些命令来查看我们确实处于在了新的Namespace中,当然,因为我们使用了CLONE_NEWUSER参数,这让我们在Namespace中失去了用户身份,我们不能以root用户进行操作,如果要以root身份验证其他Namespace,需要删除CLONE_NEWUSER,然后以root身份运行程序。

这里我们可以简单验证PID Namespace,可以看到PID为1,隔离了PID

复制代码
echo $$
1

验证User Namespace

复制代码
id
uid=65534(nobody) gid=65534(nogroup) 组=65534(nogroup)
相关推荐
Davie_Liu5 小时前
【Docker Buildx】docker buildx本地构建多架构镜像,拉取镜像时的网络延迟问题(已解决)
网络·docker·buildx
target酱9 小时前
Docker部署全流程
前端·docker
Anthony_23111 小时前
MySQL的常用命令
运维·数据库·mysql·adb·docker
傻傻虎虎12 小时前
【Docker】常用帮忙、镜像、容器、其他命令合集(1)
运维·docker·容器
2301_7943339112 小时前
Docker Compose 运行 Milvus (Mac) 并与 python 连接测试
macos·docker·milvus
三十_17 小时前
【Docker】学习 Docker 的过程中,我是这样把镜像越做越小的
前端·后端·docker
Lin_Aries_042118 小时前
使用阿里云容器镜像服务 ACR
linux·阿里云·docker·云原生·centos·云计算
鳄鱼杆1 天前
服务器 | Docker应用开发与部署的实践以及阿里云镜像加速配置
服务器·阿里云·docker
逍遥浪子~1 天前
docker实践(一)
运维·docker·容器
AI云原生1 天前
如何使用Docker快速运行Firefox并实现远程访问本地火狐浏览器的教程
运维·docker·云原生·容器·serverless·firefox·kubeless