docker用来实现“隔离”的技术手段：namespace

布满荆棘的人生 2022-10-08 11:14 133阅读 0赞

例子说明namespace

docker run -it busybox /bin/sh

进入容器后，执行ps

/ # ps
     
    PID USER TIME COMMAND
    1 root 0:00 /bin/sh
    10 root 0:00 ps

可以看到，宿主机执行的 /bin/sh，就是这个容器内部的第 1 号进程（PID=1），而这个容器里一共只有两个进程在运行。这就意味着，前面执行的 /bin/sh，以及我们刚刚执行的 ps，已经被 Docker 隔离在了一个跟宿主机完全不同的世界当中。

这种技术，就是 Linux 里面的 Namespace 机制。而这个namespace只是 Linux 创建新进程的一个可选参数。

Linux 六种隔离能力  
![20210621101651946.png][]  
在 Linux 系统中创建进程的系统调用是 clone()，比如：

int pid = clone(main_function, stack_size, SIGCHLD, NULL);

这个系统调用就会为我们创建一个新的进程，并且返回它的进程号 pid。而当我们用 clone() 系统调用创建一个新进程时，就可以在参数中指定  
CLONE\_NEWPID 参数，比如：

int pid = clone(main_function, stack_size, CLONE_NEWPID | SIGCHLD, NULL);

这时，新创建的这个进程将会“看到”一个全新的进程空间，在这个进程空间里，它的 PID 是1。而在宿主机，PID还是原来真实的值。

容器，其实是一种特殊的进程而已。

在使用Docker 的时候，并没有一个真正的“Docker 容器”运行在宿主机里面。Docker项目帮助用户启动的，还是原来的应用进程，只不过在创建这些进程时，Docker 为它们加上了各种各样的Namespace 参数。

这时，这些进程就会觉得自己是各自 PID Namespace 里的第 1 号进程，只能看到各自 Mount Namespace 里挂载的目录和文件，只能访问到各自 Network Namespace 里的网络设备，就仿佛运行在一个个“容器”里面，与世隔绝。

[20210621101651946.png]: /images/20221005/59b161fda132465ba8316efceab41987.png

发表评论取消回复

表情：

评论列表（有 0 条评论，133人围观）

还没有评论，来说两句吧...

相关阅读

相关 Docker实现隔离

概述容器化技术在当前云计算、微服务等体系下大行其道，而 Docker 便是容器化技术的典型，对于容器化典型的技术，我们有必要弄懂它，所以这篇文章，我会来分析下 Dock

港控/mmm°/ 2023年07月03日 02:54/ 0 赞/ 16 阅读

相关 docker net namespace

简介看到很多理论里讲，docker是依赖了各种namespace实现隔离，但是使用 `ip netns list` 命令啥网络命名空间也看不到，难道是被忽悠了，do

布满荆棘的人生/ 2023年02月21日 12:29/ 0 赞/ 25 阅读

相关 Docker是如何实现隔离的

点击上方“程序猿技术大咖”，关注加群讨论 ![format_png][] 概述容器化技术在当前云计算、微服务等体系下大行其道，而 Docker 便是容器化技术的典型，对

比眉伴天荒/ 2023年02月18日 14:02/ 0 赞/ 33 阅读

相关 Docker 背后的内核知识——Namespace 资源隔离

Docker 背后的内核知识——Namespace 资源隔离 Docker 这么火，喜欢技术的朋友可能也会想，如果要自己实现一个资源隔离的容器，应该从哪些方面下手呢？也许

àì夳堔傛蜴生んèń/ 2022年10月26日 15:29/ 0 赞/ 270 阅读

相关 docker用来实现“隔离”的技术手段：namespace

例子说明namespace docker run -it busybox /bin/sh 进入容器后，执行ps / ps PID U

布满荆棘的人生/ 2022年10月08日 11:14/ 0 赞/ 134 阅读

相关 DOCKER背后的内核知识——NAMESPACE资源隔离

Docker这么火，喜欢技术的朋友可能也会想，如果要自己实现一个资源隔离的容器，应该从哪些方面下手呢？也许你第一反应可能就是`chroot`命令，这条命令给用户最直观的感觉就是

末蓝、/ 2022年08月07日 07:55/ 0 赞/ 264 阅读

相关 Docker背后的内核知识——LXC Namespace资源隔离

Docker这么火，喜欢技术的朋友可能也会想，如果要自己实现一个资源隔离的容器，应该从哪些方面下手呢？也许你第一反应可能就是chroot命令，这条命令给用户最直观的感觉就是使用

男娘i/ 2022年05月27日 12:24/ 0 赞/ 315 阅读

相关理解Docker（3）：Docker 使用 Linux namespace 隔离容器的运行环境

来源：[http://www.cnblogs.com/sammyliu/p/5878973.html][http_www.cnblogs.com_sammyliu_p_5878

比眉伴天荒/ 2022年05月12日 13:52/ 0 赞/ 184 阅读

相关 Docker基础技术：Linux Namespace【下】

收获：模仿docker0的那一套IP命令集，太TMD酷了！I'm starving. 另外两点： 1. 网络原理之后的Docker方面： Docker的reso

た入场券/ 2022年01月27日 14:15/ 0 赞/ 206 阅读

相关 linux uts namespace 提供了主机名和域名的隔离 docker中被用到

UTS，UNIX Time-sharing System namespace提供了主机名和域名的隔离。能够使得子进程有独立的主机名和域名(hostname)，这一特性在Dock

小灰灰/ 2021年08月27日 00:47/ 0 赞/ 274 阅读