Docker探索namespace详解--1号站长-站长学院|资讯交流平台

Docker通过namespace实现了资源隔离，通过cgroups实现了资源限制,通过写时复制(copy-on-write)实现了高效的文件操作。

1.namespace资源隔离

namepsace的6项隔离:

namespace	系统调用参数	隔离内容
UTS	CLONE_NEWUTS	主机名与域名
IPC	CLONE_NEWIPC	信号量，消息队列和共享内存
PID	CLONE_NEWPID	进程编号
Network	CLONE_NEWNET	网络设备，网络栈，端口等
Mount	CLONE_NEWNS	挂载点（文件系统）
User	CLONE_NEWUSER	用户和用户组

Linux内核实现namespace的主要目的之一是实现轻量级虚拟化（容器）服务。在同一个namespace下的进程可以感知彼此的变化，而对外界进程一无所知。这样就可以让容器中的进程产生错觉，仿佛自己置身于一个独立的系统环境中，以达到独立和隔离的目的。

进行namespace API操作的4种方式

namespace的API包括clone(),setns()以及unshare(),还有/proc下的部分文件。为了确定隔离的到底是哪6项namespace,在使用这些API时，通常需要指定以下6个参数的一个或多个，通过位或操作来实现。

CLONE_NEWUTS,CLONE_NEWIPC,CLONE_NEWPID,CLONE_NEWNET,CLONE_NEWNS,CLONE_NEWUSER.

通过clone()在创建新进程的同时创建namespace

使用clone()来创建一个独立namespace的进程是最常见的做法，也是Docker使用namespace的最基本的方法,它的调用方式如下。

NAME     clone, __clone2 - create a child process SYNOPSIS     /* Prototype for the glibc wrapper function */     #include      int clone(int (*fn)(void *), void *child_stack,          int flags, void *arg, ...          /* pid_t *ptid, struct user_desc *tls, pid_t *ctid */ );