Docker原理 Namespace

原创于 2025-07-22 09:55:33 发布 · 988 阅读

CC 4.0 BY-SA版权

文章标签：

Docker 是一个开源的容器化平台，使用了多种 Linux 内核特性来实现隔离和资源管理。其中，Namespace（命名空间）是Docker实现进程隔离的核心技术之一。Namespace 提供了对操作系统资源的视图隔离，使得容器内的进程以为它们独占了系统资源。本文将详细介绍 Docker 的 Namespace 机制。

一、Namespace 概述

Namespace 是 Linux 内核的一项关键技术，用于隔离不同进程的系统资源。通过 Namespace，多个容器可以共享同一个主机系统，但在容器内部，它们看起来像是独立的系统。Namespace 隔离了六种不同类型的资源：

PID Namespace：进程ID隔离
NET Namespace：网络隔离
IPC Namespace：进程间通信隔离
MNT Namespace：挂载点隔离
UTS Namespace：主机名和域名隔离
USER Namespace：用户和组ID隔离

二、Namespace 的类型

1. PID Namespace

PID Namespace 用于隔离进程ID。不同的PID Namespace中的进程可以拥有相同的PID，彼此之间不可见。在容器内，进程的PID从1开始，这使得每个容器都有一个类似于独立操作系统的进程树。

# 创建一个新的PID Namespace
unshare -p -f --mount-proc bash
# 在新的Namespace中启动一个新进程
ps aux

2. NET Namespace

NET Namespace 提供网络隔离，每个 NET Namespace 拥有独立的网络设备、IP 地址、路由表等。容器可以有独立的网络栈，从而实现网络隔离。

# 创建一个新的NET Namespace
ip netns add mynetns
# 在新的Namespace中配置网络
ip netns exec mynetns ip link set lo up
ip netns exec mynetns ip addr add 192.168.1.1/24 dev eth0

3. IPC Namespace

IPC Namespace 隔离系统V IPC资源，比如信号量、消息队列和共享内存。不同的IPC Namespace中的进程不能相互通信。

# 创建一个新的IPC Namespace
unshare -i -p -f bash
# 在新的Namespace中操作IPC资源
ipcs

4. MNT Namespace

MNT Namespace 用于隔离挂载点。每个 MNT Namespace 有独立的文件系统挂载视图，改变一个Namespace中的挂载点不会影响其他Namespace。

# 创建一个新的MNT Namespace
unshare -m bash
# 在新的Namespace中挂载文件系统
mount -t tmpfs none /mnt

5. UTS Namespace

UTS Namespace 隔离主机名和域名。每个UTS Namespace可以有独立的主机名和域名。

# 创建一个新的UTS Namespace
unshare -u bash
# 在新的Namespace中设置主机名
hostname mycontainer

6. USER Namespace

USER Namespace 隔离用户和组ID，使得在容器内运行的进程拥有不同的用户ID和组ID映射。在USER Namespace中，容器内的root用户可以映射到宿主机的非特权用户，从而提高安全性。

# 创建一个新的USER Namespace
unshare -U -r bash
# 在新的Namespace中操作用户ID
id

三、Namespace 的应用

通过结合使用多种 Namespace，Docker 可以提供强大的进程和资源隔离能力。

1. 容器化应用

在容器中，Docker 使用所有六种Namespace来确保每个容器的进程、网络、文件系统和用户环境彼此隔离。

2. 多租户环境

Namespace 允许在同一主机上运行多个彼此隔离的租户应用程序，从而提高资源利用率和安全性。

四、总结

Namespace 是 Docker 实现资源隔离的基础，通过 Namespace，Docker 可以确保不同容器之间的进程、网络、IPC、挂载点、主机名和用户环境完全隔离，从而实现高效、安全的容器化应用部署。