【笔记】容器基础-隔离与限制

news2024/11/19 9:19:25

Docker 项目的核心原理：为待创建的用户进程

        1.启用 Linux Namespace 配置：修改进程视图

        2.设置指定的 Cgroups 参数：为进程设置资源限制

        3.切换进程的根目录（Change Root）：

容器的隔离与限制

1.启用 Linux Namespace 配置

namespace 技术是用来修改进程视图的主要方法

1) linux 创建namespace的代码逻辑

以创建PID namespace 为例

namespace 是linux创建进程的一个可选参数，在 Linux 系统中创建进程的系统调用是 clone()，比如：

int pid = clone(main_function, stack_size, SIGCHLD, NULL);

这个系统调用就会为我们创建一个新的进程，并且返回它的进程号 pid。

而当我们用 clone() 系统调用创建一个新进程时，就可以在参数中指定 CLONE_NEWPID 参数

int pid = clone(main_function, stack_size, CLONE_NEWPID | SIGCHLD, NULL);

这时，新创建的这个进程将会“看到”一个全新的进程空间，在这个进程空间里，它的 PID 是 1，在宿主机真实的进程空间里，这个进程的 PID 还是真实的数值，比如 100。

2) linux namespace 介绍

UTS Namespace:隔离主机名
IPC Namespace:隔离进程间通信
PID Namespace:隔离进程ID
Mount Namespace:隔离进程看到的文件层级
User Namespace:隔离用户组ID(举个例子：在宿主机上以一个非root用户运行创建一个User Namespace ，在UserNamespace里面映射成root用户)
Network Namespace:用来隔离网络设备，IP地址端口等网络栈

Mount Namespace 跟其他 Namespace 的使用略有不同的地方：它对容器进程视图的改变，一定是伴随着挂载操作（mount）才能生效。

3) namespace技术缺陷

容器只是运行在宿主机上的一种特殊的进程，那么多个容器之间使用的就还是同一个宿主机的操作系统内核。这意味着，如果要在 Windows 宿主机上运行 Linux 容器，或者在低版本的 Linux 宿主机上运行高版本的 Linux 容器，都是行不通的。
在 Linux 内核中，有很多资源和对象是不能被 Namespace 化的，最典型的例子就是：时间。

2.设置指定的 Cgroups 参数

cgroup全称是control groups。control groups：控制组，被整合在了linux内核当中，把进程（tasks）放到组里面，对组设置权限，对进程进行控制(它最主要的作用，就是限制一个进程组能够使用的资源上限，包括 CPU、内存、磁盘、网络带宽等等)。可以理解为用户和组的概念，用户会继承它所在组的权限。

cgroup 提供了将进程组织成控制组的能力，然后通过使用资源控制子系统（cgroup_subsys）来对控制组进行资源使用的控制，cgroup 支持的资源控制子系统有以下几种：

cpu子系统：限制 CPU 的使用。

memory子系统：限制内存使用。

cpuset子系统：可以为进程组分配单独的 CPU 或者内存节点。

cpuacct子系统：统计CPU group的使用情况。

blkio子系统：限制I/O，一般用于磁盘。

devices子系统：限制进程使用的设备。

freezer子系统：可以挂起和恢复进程组。

net_cls子系统：可以标记进程组的网络数据包，使用 tc 模块（traffic control）对数据包进行控制。

cgroup 通过把进程组织成控制组，然后通过资源控制子系统来对控制组进行资源使用的限制，所以 cgroup 的分析可以分成两部分：cgroup框架和资源控制子系统。