本文介绍了用户命名空间在无权限容器中的应用。通过创建用户命名空间，普通用户可以在自己的命名空间内获得root权限，而在宿主机上仍为普通用户。文章详细讲解了UID/GID映射的设置、newuidmap工具的使用以及Podman的实现架构。同时，讨论了无权限容器在网络、端口绑定和OverlayFS等方面的限制及安全性问题。

本文讨论了容器文件系统隔离问题，指出传统的 chroot 方法存在安全隐患，容易被逃逸。介绍了 pivot_root 作为更安全的替代方案，通过创建独立的挂载点和切换根目录，确保容器进程只能访问自己的文件系统。同时强调了挂载传播类型的重要性，以及构建安全容器环境的必要性，包括设备节点和只读根文件系统的实现。

本文介绍了如何在Linux中创建容器网络，使用CLONE_NEWNET和veth设备实现网络隔离。首先创建新的网络命名空间，默认只有loopback接口。然后通过veth对连接宿主机和容器，配置桥接和NAT，使容器能够访问互联网。最后讨论了Docker的网络架构及其性能问题，强调了容器网络的复杂性和潜在性能开销。

本文介绍了如何从零实现一个OCI兼容的迷你容器运行时，重点讨论Linux的namespace机制。通过使用clone()系统调用，创建独立的PID、UTS、Mount和IPC namespace，使进程在容器内拥有独立环境。文章还提到PID 1的特殊责任，包括回收僵尸进程和信号转发。最后强调容器技术是内核提供的隔离机制，核心在于namespace与cgroup的结合。

本系列文章从零开始实现容器运行时，深入解析Linux内核机制，如namespace和cgroup，适合熟悉Linux和编程的读者。内容包括安全加固、性能优化及与microVM的比较，最终构建OCI兼容的迷你运行时。

本文介绍了在应用中获取当前所在的Kubernetes的namespace的方法。通过使用Kubernetes的C# SDK KubernetesClient可以方便地获取InCluster的配置，并打印出当前的namespace。另外，还可以直接读取文件的内容来获取namespace。

本文介绍了在k8s环境中获取唯一标识的方法。在kubesphere中，可以通过获取namespace id来获取唯一标识。首先需要在容器内安装kubectl命令，然后编写示例程序获取namespace id。接着发布程序并创建无状态负载部署示例程序。如果出现权限错误，可以通过角色绑定或集群角色绑定来解决。最后，绑定ServiceAccount到只读角色后，即可正常获取namespace id。

在使用C++标准库时，如果遇到“namespace 'std' has no member 'all_of'”的错误，需确保引入了头文件#include <algorithm>。

在使用k8s时，删除一个namespace后，可能会出现Terminating状态无法解决的问题。这通常是因为finalizers字段的原因。可以参考文档中的脚本来删除处于Terminating状态的namespace的finalizers字段。

部署kubegems后删除集群命名空间时报错，需先删除validatingwebhookconfiguration资源再执行delete操作。validatingwebhookconfiguration是k8s中的webhook配置。

With Jina AI Cloud's user namespaces, all users can have their own DocumentArrays and Executors with the same name, with no fear of naming conflicts.

作者：SRE运维博客 博客地址：https://www.cnsre.cn/ 文章地址：https://www.cnsre.cn/posts/22

作者：SRE运维博客 博客地址：https://www.cnsre.cn/ 文章地址：https://www.cnsre.cn/posts/22

Namespace 是由 Linux 内核提供的一种特性，它能够将一些系统资源包装到一个抽象的空间中，并使得该空间中的进程以为这些资源是系统中仅有的资源。Namespace 是构建容器技术的基石，它使得容器内的进程只能看到容器内的进程和资源，实现与宿主系统以及其他容器的进程和资源隔离。 Namespace 按操作的系统资源不同有很多种类，比如 cgroup namespace，mount...

由于2016年年中调换工作的原因，对容器网络的研究中断过一段时间。随着当前项目对Kubernetes应用的深入，我感觉之前对于容器网络的粗浅理解已经不够了，容器网络成了摆在前面的“一道坎”。继续深入理解K8s网络、容器网络已经势在必行。而这篇文章就算是一个重新开始，也是对之前浅表理解的一个补充。 我还是先从Docker容器网络入手，虽然Docker与Kubernetes采用了不同的网络模型：K8s...