【从零造容器】Linux Namespaces：用 50 行 C 隔离一个进程
💡
原文中文，约9000字，阅读约需22分钟。
📝
内容提要
本文介绍了如何从零实现一个OCI兼容的迷你容器运行时，重点讨论Linux的namespace机制。通过使用clone()系统调用，创建独立的PID、UTS、Mount和IPC namespace，使进程在容器内拥有独立环境。文章还提到PID 1的特殊责任，包括回收僵尸进程和信号转发。最后强调容器技术是内核提供的隔离机制，核心在于namespace与cgroup的结合。
🎯
关键要点
- 本文介绍如何从零实现一个OCI兼容的迷你容器运行时，重点讨论Linux的namespace机制。
- 通过使用clone()系统调用，创建独立的PID、UTS、Mount和IPC namespace，使进程在容器内拥有独立环境。
- PID namespace让子进程以为自己的PID是1，PID 1在Linux中有特殊责任，包括回收僵尸进程和信号转发。
- UTS namespace隔离主机名和域名，子进程可以独立设置主机名而不影响宿主机。
- Mount namespace让子进程拥有独立的挂载点表，重新挂载/proc以反映新的PID namespace。
- IPC namespace隔离System V IPC对象和POSIX消息队列，确保容器进程只能看到自己的IPC空间。
- 容器技术是内核提供的隔离机制，核心在于namespace与cgroup的结合。
❓
延伸问答
Linux的namespace机制是什么？
Linux的namespace机制是内核提供的一种资源隔离机制，使得不同进程可以看到独立的资源副本，如进程ID、主机名和挂载点等。
如何使用clone()系统调用创建新的PID namespace？
通过调用clone()系统调用并传入CLONE_NEWPID标志，可以创建新的PID namespace，使子进程以为自己的PID是1。
PID 1在Linux中有什么特殊责任？
PID 1负责回收僵尸进程和信号转发，确保容器内的子进程能够正确处理退出和信号。
Mount namespace的作用是什么？
Mount namespace允许子进程拥有独立的挂载点表，确保子进程的挂载操作不会影响宿主机的文件系统。
IPC namespace如何确保容器进程的安全？
IPC namespace隔离System V IPC对象和POSIX消息队列，确保容器进程只能访问自己的IPC空间，防止安全风险。
如何在容器中设置主机名而不影响宿主机？
通过使用UTS namespace，子进程可以独立设置主机名，宿主机的主机名不会受到影响。
➡️
