手把手做網(wǎng)站友情鏈接檢測659292
Linux Namespace
linux Namespace用于隔離一系列的系統(tǒng)資源，例如pid，userid，netword等，借助于Linux Namespace，可以實現(xiàn)容器的基本隔離。
Namespce介紹
| Namespace類型 | 系統(tǒng)調(diào)用參數(shù) | 作用 |
|---|---|---|
| Mount Namespace | CLONE_NEWNS | 隔離掛載點視圖，簡單來說隔離了mount命令 |
| UTS Namespace | CLONE_NEWUTS | 隔離hostname |
| IPC Namespace | CLONE_NEWIPC | 隔離ipc與message queue |
| PID Namespace | CLONE_NEWPID | 隔離進程PID |
| Network Namespace | CLONE_NEWNET | 隔離network |
| User Namespace | CLONE_NEWUSER | 隔離userid和groupid |
下面我們用Go程序創(chuàng)建一個隔離的進程
package main
?
import ("os""os/exec""syscall"
)
?
func main() {cmd := exec.Command("bash")cmd.SysProcAttr = &syscall.SysProcAttr{Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS |syscall.CLONE_NEWUSER | syscall.CLONE_NEWNET,}cmd.Stdin = os.Stdincmd.Stdout = os.Stdoutcmd.Stderr = os.Stderrif err := cmd.Run(); err != nil {panic(err)}
?
}
我們可以通過一些命令來查看我們確實處于在了新的Namespace中，當(dāng)然，因為我們使用了CLONE_NEWUSER參數(shù)，這讓我們在Namespace中失去了用戶身份，我們不能以root用戶進行操作，如果要以root身份驗證其他Namespace，需要刪除CLONE_NEWUSER，然后以root身份運行程序。
這里我們可以簡單驗證PID Namespace，可以看到PID為1，隔離了PID
echo $$ 1
驗證User Namespace
id uid=65534(nobody) gid=65534(nogroup) 組=65534(nogroup)