一、容器里的进程看到的文件系统又是什么样子呢?

1、你会看到好多宿主机的文件

[root@k8s-master ~]# vim ns.c
[root@k8s-master ~]# gcc -o nl nl.c
[root@k8s-master ~]# ll
total 20
drwxr-xr-x 5 root root 4096 Jan 30 10:00 2019-1-30
-rwxr-xr-x 1 root root 8824 Jan 30 10:01 ns
-rw-r--r-- 1 root root 728 Jan 30 10:01 ns.c
[root@k8s-master ~]# ./ns
Parent - start a container!
Container - inside the container!
[root@k8s-master ~]# ls
2019-1-30 ns ns.c
[root@k8s-master ~]# ls /tmp/
kubectl-edit-fplln.yaml systemd-private-afc4026216a1411886ba9484a063bd2f-vmtoolsd.service-6f4pjo
systemd-private-0ea8ac9f463c47a2a1fd701cd31b7f11-chronyd.service-g7wBf0 systemd-private-b950aff5d80e486799e4380086de4b44-chronyd.service-pMgZnM
systemd-private-5de01992e9814dbebf18d4b5bedc759b-chronyd.service-0EbBnM tmp.3eJpxKKBQM
systemd-private-5de01992e9814dbebf18d4b5bedc759b-vgauthd.service-G9Hekh tmp.3X3XJVLq4z
.........
systemd-private-afc4026216a1411886ba9484a063bd2f-vgauthd.service-hgIgbE tmp.ZTAC6cOJKw

Mount Namespace 修改的,是容器进程对文件系统"挂载点"的认知,但是这也就意味,只有在"挂载"这个操作
之后,进程的视图才会被改变,而在此之前,新常见的容器会直接继承宿主机的各个挂载点

2、tmp 变成了一个空目录

修改nc文件

[root@k8s-master ~]# cat ns.c
#define _GNU_SOURCE
#include <sys/mount.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <stdio.h>
#include <sched.h>
#include <signal.h>
#include <unistd.h>
#define STACK_SIZE (1024 * 1024)
static char container_stack[STACK_SIZE];
char* const container_args[] = {
"/bin/bash",
NULL
}; int container_main(void* arg)
{
printf("Container - inside the container!\n");
// 如果你的机器的根目录的挂载类型是 shared,那必须先重新挂载根目录
// mount("", "/", NULL, MS_PRIVATE, "");
mount("none", "/tmp", "tmpfs", 0, "");
execv(container_args[0], container_args);
printf("Something's wrong!\n");
return 1;
} int main()
{
printf("Parent - start a container!\n");
int container_pid = clone(container_main, container_stack+STACK_SIZE, CLONE_NEWNS | SIGCHLD , NULL);
waitpid(container_pid, NULL, 0);
printf("Parent - container stopped!\n");
return 0;
}

再次执行

[root@k8s-master ~]# gcc -o ns ns.c
[root@k8s-master ~]# ./ns
Parent - start a container!
Container - inside the container!
[root@k8s-master ~]# ls /tmp/
[root@k8s-master ~]# ls
2019-1-30 ns ns.c

可以看到,这次/tmp变成了一个空目录,这意味着重新挂载生效了,我们用mount -l检查一下

[root@k8s-master ~]# mount -l | grep tmpfs
devtmpfs on /dev type devtmpfs (rw,nosuid,size=1006112k,nr_inodes=251528,mode=755)
tmpfs on /dev/shm type tmpfs (rw,nosuid,nodev)
tmpfs on /sys/fs/cgroup type tmpfs (ro,nosuid,nodev,noexec,mode=755)
tmpfs on /run type tmpfs (rw,nosuid,nodev,mode=755)
tmpfs on /run/user/0 type tmpfs (rw,nosuid,nodev,relatime,size=203192k,mode=700)
none on /tmp type tmpfs (rw,relatime)
[root@k8s-master ~]# ls /tmp/
[root@k8s-master ~]# exit
exit
Parent - container stopped!
[root@k8s-master ~]# mount -l | grep tmpfs
devtmpfs on /dev type devtmpfs (rw,nosuid,size=1006112k,nr_inodes=251528,mode=755)
tmpfs on /dev/shm type tmpfs (rw,nosuid,nodev)
tmpfs on /run type tmpfs (rw,nosuid,nodev,mode=755)
tmpfs on /sys/fs/cgroup type tmpfs (ro,nosuid,nodev,noexec,mode=755)
tmpfs on /run/user/0 type tmpfs (rw,nosuid,nodev,relatime,size=203192k,mode=700)
none on /tmp type tmpfs (rw,relatime)

这就是 Mount Namespace 跟其他 Namespace 的使用略有不同的地方:它对容器进程视图的改变
一定是伴随着挂载操作(mount)才能生效。

二、Mount Namespace 和 rootfs为容器进程构建出一个完善的文件系统隔离环境

1、chroot 的命令改变简称的根目录到你指定的位置

mkdir -p luoahong/test
mkdir -p luoahong/test/{bin,lib64,lib}
T=luoahong/test
cd $T cp -v /bin/{bash,ls} luoahong/test/bin T=/root/luoahong/test
list="$(ldd /bin/ls | egrep -o '/lib.*\.[0-9]')"
for i in $list; do cp -v "$i" "${T}${i}"; done $ chroot /root/luoahong/test /bin/bash
chroot

实际上,Mount Namespace 正是基于对 chroot 的不断改良才被发明出来的,它也是Linux 操作系统里的第一个 Namespace

2、Mount Namespace最核心的原理是?

它最核心的原理实际上就是为待创建的用户进程

1、启用Linux Namespace配置;
2、设置置顶的Cgroups参数
3、切换进程的跟目录

roots只是一个操作系统所含的文件,配置和目录,并不包含操作系统内核,在linux操作系统中,
这两部分是分开存放的,操作系统只有在开机启动时才会加载指定版本的内核镜像

3、容器的灵魂在哪呢?

正是由于rootfs的存在,容器才有了一个被反复宣传至今的只要特性:一致性

由于rootfs里打包的不只是应用,而是整个操作系统的文件目录,也就意味着,应用以及它运行所需要的

所有依赖,被封装在了一起

对一个应用来说,操作系统本身才是它所需的最完整的"依赖库"

这种深入到操作系统级别的运行环境一致性,打通了应用在本地开发和远端执行环境之间难以逾越的鸿沟。

Docker 在镜像的设计中,引入了层(layer)的概念。也就是说,用户制作镜像的每一步操作,都会生成一个层,也就是一个增量rootfs

4、什么是联合文件系统?

$ mkdir C
$ mount -t aufs -o dirs=./A:./B none ./C [root@k8s-master tree]# tree
.
├── A
│ ├── a
│ └── x
└── B
├── b
└── X $ tree ./C
./C
├── a
├── b
└── x

5、经典留言

继Namespace构建了四周的围墙(进程隔离),Cgroups构建了受控的天空优先使用阳光雨露(资源限制),Mount namespace与rootfs构建了脚下的大地,这片土地是你熟悉和喜欢的,不管你走到哪里,都可以带着它,就好像你从未离开过家乡,没有丝毫的陌生感(容器的一致性)~

05-07 12:31