自己动手写docker——Namespace
Linux Namespace
linux Namespace用于隔离一系列的系统资源，例如pid，userid，netword等，借助于Linux Namespace，可以实现容器的基本隔离。
Namespce介绍
| Namespace类型 | 系统调用参数 | 作用 |
|---|---|---|
| Mount Namespace | CLONE_NEWNS | 隔离挂载点视图，简单来说隔离了mount命令 |
| UTS Namespace | CLONE_NEWUTS | 隔离hostname |
| IPC Namespace | CLONE_NEWIPC | 隔离ipc与message queue |
| PID Namespace | CLONE_NEWPID | 隔离进程PID |
| Network Namespace | CLONE_NEWNET | 隔离network |
| User Namespace | CLONE_NEWUSER | 隔离userid和groupid |
下面我们用Go程序创建一个隔离的进程
package main
import ("os""os/exec""syscall"
)
func main() {cmd := exec.Command("bash")cmd.SysProcAttr = &syscall.SysProcAttr{Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS |syscall.CLONE_NEWUSER | syscall.CLONE_NEWNET,}cmd.Stdin = os.Stdincmd.Stdout = os.Stdoutcmd.Stderr = os.Stderrif err := cmd.Run(); err != nil {panic(err)}
}
我们可以通过一些命令来查看我们确实处于在了新的Namespace中，当然，因为我们使用了CLONE_NEWUSER参数，这让我们在Namespace中失去了用户身份，我们不能以root用户进行操作，如果要以root身份验证其他Namespace，需要删除CLONE_NEWUSER，然后以root身份运行程序。
这里我们可以简单验证PID Namespace，可以看到PID为1，隔离了PID
echo $$ 1
验证User Namespace
id uid=65534(nobody) gid=65534(nogroup) 组=65534(nogroup)