Docker探索namespace详解

前言

Docker是目前最流行的容器化技术之一，它的核心技术之一就是使用namespace隔离不同的资源。在这篇文章中，我们将深入探索namespace的概念和与Docker的关联。

namespace是什么

在Linux中，namespace是一种机制，可以让系统中的不同进程看到不同的资源集合。一个进程的namespace下只能看到自己的资源，看不到其他进程的资源。这样就可以在一个系统中同时运行多个相互独立的进程，每个进程都有自己的一套资源。

Linux中有6种namespace，分别是：

• uts，控制主机名和域名的命名空间
• ipc，控制进程间通信的命名空间
• pid，控制进程编号的命名空间
• net，控制网络设备、网络栈、端口等的命名空间
• mnt，控制挂载点（文件系统）的命名空间
• user，控制用户和用户组的命名空间

使用命令行可以查看系统中的所有namespace：

ls -l /proc/$$/ns/

Docker中的namespace

Docker使用了Linux下的namespace机制来实现容器化，一共使用了5种namespace。我们使用以下命令查看一个Docker容器使用的namespace：

docker inspect --format '{{.State.Pid}}' <container-id>

ls -l /proc/$(docker inspect --format '{{.State.Pid}}' <container-id>)/ns/

在Docker中，不同的容器可以使用不同的网络、挂载的文件系统、进程编号等等，这就是使用不同namespace机制实现的。

示例1：在Docker容器中运行Nginx

我们使用以下命令创建一个新的Docker容器，运行Nginx：

docker run -d -p 8080:80 --name mynginx nginx

我们使用以下命令进入到该容器所在的Linux系统：

docker exec -it mynginx bash

接下来，我们在容器中运行以下命令：

ps aux

可以看到，容器中的进程数量与宿主机不同。

我们再使用以下命令，查看容器中的网络设备：

ip addr

可以看到，容器中的网络设备数量也与宿主机不同。

这是因为Docker在创建容器时，使用了不同的namespace隔离了容器内部的进程和网络设备。

示例2：在Docker容器中查看宿主机的进程

我们使用以下命令创建一个新的Docker容器，运行一个带有ps命令和宿主机共享命名空间的镜像：

docker run -it --pid host --name myps alpine sh

接下来，我们在容器中运行以下命令，查看宿主机的进程：

ps -ef

可以看到，容器中的ps命令也能查看到宿主机的进程。

这是因为使用--pid host参数，将容器的进程号命名空间设置成了主机的进程号命名空间，这样容器就能访问主机中的进程了。它是受到Docker隔离机制中每一个命名空间互相隔离的限制，不能随意地干涉其他命名空间的资源。

总结

本文详细讲解了namespace的概念和Docker中的namespace实现原理。并且通过两个示例说明，展示了namespace的具体运用。我们相信，通过这篇文章的学习，你对Docker的基础原理有了更深入的了解，也掌握了很有用的技能。