Docker реализует изоляцию ресурсов через пространство имен. Пространство имен — это механизм изоляции ресурсов, предоставляемый системой Linux. Только процессы в одном пространстве имен могут связываться друг с другом, но они не могут обнаружить существование внешних процессов, тем самым обеспечивая изоляцию ресурсов.

Изолированный контент, предоставленный пространством имен

Unix Time-sharing System(UTS) namespace

В системе с разделением времени один хост подключен к нескольким терминалам, и каждый терминал используется одним пользователем.

Пользователи в интерактивном режиме отправляют в систему запросы команд, и система принимает команды каждого пользователя, использует ротацию временных интервалов для обработки запросов на обслуживание и отображает результаты пользователю на терминале в интерактивном режиме. Пользователь выдает следующую команду на основе результатов предыдущего шага.

Операционная система с разделением времени делит время ЦП на несколько сегментов, называемых временными интервалами. Операционная система воспринимает временные интервалы как единицы и по очереди обслуживает каждого конечного пользователя. Каждый пользователь по очереди использует временной интервал, чтобы каждый пользователь не чувствовал присутствия других пользователей.

Пространство имен UTS (система разделения времени Unix) обеспечивает изоляцию имен хостов и имен доменов, так что каждый контейнер Docker может иметь независимое имя хоста и имя домена и может рассматриваться как независимый узел в сети.

Unix Interprocess Communication(IPC) namespace

Межпроцессное взаимодействие Linux разработано на основе System V IPC, IPC на основе сокетов и POSIX IPC. Основные методы связи:

Трубка

безымянная труба

• Может использоваться только для связи между процессами, имеющими связь (между родительскими и дочерними процессами или родственными процессами).

• Полудуплексный режим связи с фиксированными концами чтения и записи.

• Это особый вид файла, который не принадлежит какой-либо другой файловой системе и существует только в памяти.

Знаменитая труба (ФИФО)

• Обеспечить возможность взаимодействия двух несвязанных процессов друг с другом.

• Может указываться по имени пути и отображаться в файловой системе. После того, как канал установлен, два процесса могут использовать его как обычный файл для выполнения операций чтения и записи.

• Правило «первым пришел – первым ушел»

Сигнал

Используется для уведомления принимающего процесса о том, что произошло определенное событие. Помимо использования для межпроцессного взаимодействия, процесс также может отправлять сигналы самому процессу.

Очередь сообщений

Процесс с достаточными разрешениями может добавлять сообщения в очередь, а процесс, получивший разрешения на чтение, может читать сообщения из очереди.

Преодолевая небольшой объем информации, передаваемой сигналом, конвейер может передавать только неформатированные потоки байтов (требуется, чтобы читатель и записывающий конвейер заранее согласовали формат данных, например, сколько байтов считается сообщением и т. д. .) и размер буфера. Недостатки, такие как ограничения.

общая память

Позволяет нескольким процессам получать доступ к одному и тому же пространству памяти.

семафор

В основном используется для синхронизации между процессами и между различными потоками одного и того же процесса.

Розетка

Может использоваться для межпроцессного взаимодействия между разными машинами и должен содержать

• Адрес, состоящий из IP-адреса и порта, например 192.168.0.1:80.

• Протокол — протокол передачи, используемый сокетом: TCP, UDP, необработанный IP.

IPCРесурсы включают в себя Сумма сигнала、очередь сообщений иобщая память。

Пространство имен IPC содержит системный идентификатор IPC и файловую систему, реализующую очередь сообщений POSIX.

Процессы в одном пространстве имен IPC видимы друг для друга, а процессы в разных пространствах имен IPC невидимы друг для друга.

Изоляция IPC между контейнерами и хостами, а также между контейнерами может быть достигнута через пространство имен IPC.

Process identifier(PID) namespace

PID — это числовое значение, используемое ядром большинства операционных систем для уникальной идентификации процесса.

Это значение можно использовать в качестве параметра во многих вызовах функций, что позволяет настраивать приоритеты процессов, завершать процессы и выполнять другие действия по управлению процессами.

Процесс с PID 1 является init. Будучи родительским процессом для всех процессов, он не обрабатывает сигналы от других процессов (маскирование сигналов) и поддерживает таблицу процессов. Когда дочерний процесс становится потерянным, его ресурсы будут перезапущены и будут перезагружены. процесс закончится.

Изоляция пространства имен PID перенумеровывает PID процесса. Между процессами в двух разных пространствах имен нет связи, поэтому PID также может быть одинаковым. Ядро поддерживает древовидную структуру для всех пространств имен PID.

в:

• Первый процесс в каждом пространстве имен PID имеет привилегии.
• Процессы в пространстве имен не могут влиять на процессы в пространстве имен родительских или родственных узлов.
• Все процессы можно увидеть в корневом пространстве имен, включая пространства имен во всех узлах-потомках.
• Внешне программы, работающие в Docker, можно отслеживать, отслеживая все процессы и подпроцессы в пространстве имен PID, где находится демон Docker.

Mount namespace

Пространство имен mount изолирует файловую систему через точку монтирования файловой системы. Это первое пространство имен Linux, и бит идентификации — CLONE_NEWNS. После изоляции файловые структуры в разных пространствах имен монтирования не влияют друг на друга.

Вы можете просмотреть все файловые системы, смонтированные в текущем пространстве имен, через /proc/[pid]/mounts. Когда процесс создает пространство имен монтирования, он копирует текущую файловую структуру в новое пространство имен.

Распространение монтирования определяет взаимосвязь между объектами монтирования и решает проблему влияния пространства имен дочернего узла на файловую систему пространства имен родительского узла во время процесса копирования файловой структуры.

• Отношение совместного использования: события в двух объектах монтажа, имеющих отношение монтажа, будут распространяться в обоих направлениях.
• раб relationship)：События в смонтированном объекте могут распространяться только в направлении, указывающем на подчиненный объект.(общее монтирование—>рабское крепление)

Network namespace

Сетевое пространство имен обеспечивает изоляцию сетевых ресурсов, включая сетевые устройства, стеки протоколов IPv4 и IPv6, таблицы IP-маршрутизации, межсетевые экраны, каталог /proc/net, каталог /sys/class/net, сокеты и т. д.

Уведомление:

• Физическое сетевое устройство может существовать не более чем в одном сетевом пространстве имен.
• Каналы могут быть созданы в разных сетевых пространствах имен для связи через пары veth.
• Обычно физические сетевые устройства размещаются в исходном корневом пространстве имен.

User namespace

Пространство имен пользователя в основном изолирует идентификаторы и атрибуты, связанные с безопасностью (идентификатор пользователя, идентификатор группы пользователей, корневой каталог, ключ, специальные разрешения).

Таким образом, новый процесс, созданный с помощью clone(), создается под новым пользователем. в пространстве имена могут быть разные Пользователи и группы пользователей,В контейнере, созданном новым процессом,это суперпользователь,Но вне контейнера это обычный пользователь.

В Linux идентификатор привилегированного пользователя равен 0. Процесс с ненулевым идентификатором пользователя может изменить идентификатор пользователя на 0 после запуска пространства имен пользователя.