【从零造容器】Linux Namespaces：用 50 行 C 隔离一个进程
内容提要
本文介绍了如何从零实现一个OCI兼容的迷你容器运行时，重点讨论Linux的namespace机制。通过使用clone()系统调用，创建独立的PID、UTS、Mount和IPC namespace，使进程在容器内拥有独立环境。文章还提到PID 1的特殊责任，包括回收僵尸进程和信号转发。最后强调容器技术是内核提供的隔离机制，核心在于namespace与cgroup的结合。
关键要点
-
本文介绍如何从零实现一个OCI兼容的迷你容器运行时，重点讨论Linux的namespace机制。
-
通过使用clone()系统调用，创建独立的PID、UTS、Mount和IPC namespace，使进程在容器内拥有独立环境。
-
PID namespace让子进程以为自己的PID是1，PID 1在Linux中有特殊责任，包括回收僵尸进程和信号转发。
-
UTS namespace隔离主机名和域名，子进程可以独立设置主机名而不影响宿主机。
-
Mount namespace让子进程拥有独立的挂载点表，重新挂载/proc以反映新的PID namespace。
-
IPC namespace隔离System V IPC对象和POSIX消息队列，确保容器进程只能看到自己的IPC空间。
-
容器技术是内核提供的隔离机制，核心在于namespace与cgroup的结合。
延伸解读
Linux Namespace 的重要性
Linux 的 namespace 机制为容器技术提供了基础。通过隔离进程的 PID、主机名、挂载点等，namespace 使得多个进程可以在同一内核下运行而互不干扰。这种隔离不仅提高了安全性，还允许开发者在同一环境中测试和运行不同的应用程序。
PID 1 的特殊责任
在容器中，PID 1 扮演着重要角色，负责回收僵尸进程和信号转发。如果 PID 1 没有妥善处理这些任务，可能导致资源泄露和应用程序崩溃。因此，设计容器时需要特别注意 PID 1 的实现，确保其能够正确管理子进程。
Mount Namespace 的挑战
Mount namespace 允许容器拥有独立的挂载点表，但在实现时需注意挂载传播的问题。默认情况下，新旧 namespace 之间的挂载点是共享的，这可能导致宿主机的文件系统被意外修改。因此，在重新挂载时，必须先将挂载传播设置为私有，以避免影响宿主机。
延伸问答
Linux的namespace机制是什么？
Linux的namespace机制是内核提供的一种资源隔离机制，使得不同进程可以看到独立的资源副本，如进程ID、主机名和挂载点等。
如何使用clone()系统调用创建新的PID namespace？
通过调用clone()系统调用并传入CLONE_NEWPID标志，可以创建新的PID namespace，使子进程以为自己的PID是1。
PID 1在Linux中有什么特殊责任？
PID 1负责回收僵尸进程和信号转发，确保容器内的子进程能够正确处理退出和信号。
Mount namespace的作用是什么？
Mount namespace允许子进程拥有独立的挂载点表，确保子进程的挂载操作不会影响宿主机的文件系统。
IPC namespace如何确保容器进程的安全？
IPC namespace隔离System V IPC对象和POSIX消息队列，确保容器进程只能访问自己的IPC空间，防止安全风险。
如何在容器中设置主机名而不影响宿主机？
通过使用UTS namespace，子进程可以独立设置主机名，宿主机的主机名不会受到影响。
