作为开源Container技术代表的Docker，它跟Linux内核的Namespace和Cgroup两大特性密不可分。物有本末，事有终始。知所先后，则近道矣。理解Linux的这两大特性将有助于我们更深入的理解Docker。
在本文中我们将会使用unshare命令来演示Linux内核的user Namespace是如何动作的。

Namespace的历史

Namespace并不是Linux才推出的东西，早在很久之前，Unix上就有类似的东西，而HPUX和Solaris商用的Conatiner更是以前就有推出。而在Linux的2.6之后的版本Namespace就逐步的被加了进来。

Linux Namespace的6大类型

Ubuntu版本

root@ubuntu:~# uname -a
Linux ubuntu 4.4.0-31-generic #50-Ubuntu SMP Wed Jul 13 00:07:12 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux
root@ubuntu:~#

事前确认

确认当前进程PID

root@ubuntu:~# echo $$
32968
root@ubuntu:~#

确认当前进程的各个namespace

root@ubuntu:~# ls -l /proc/$$/ns
total 0
lrwxrwxrwx 1 root root 0 Sep 15 10:23 cgroup -> cgroup:[4026531835]
lrwxrwxrwx 1 root root 0 Sep 15 10:23 ipc -> ipc:[4026531839]
lrwxrwxrwx 1 root root 0 Sep 15 10:23 mnt -> mnt:[4026531840]
lrwxrwxrwx 1 root root 0 Sep 15 10:23 net -> net:[4026531957]
lrwxrwxrwx 1 root root 0 Sep 15 10:23 pid -> pid:[4026531836]
lrwxrwxrwx 1 root root 0 Sep 15 10:23 user -> user:[4026531837]
lrwxrwxrwx 1 root root 0 Sep 15 10:23 uts -> uts:[4026531838]
root@ubuntu:~#

内容说明

事前确认

确认当前进程PID

root@ubuntu:~# echo $$
32968
root@ubuntu:~#

使用unshare隔离user namespace

root@ubuntu:~# echo $$
32968
root@ubuntu:~# unshare --user /bin/bash
nobody@ubuntu:~$

user的namespace的隔离倒是非常清晰，而且进程号也发生了变化

nobody@ubuntu:~$ echo $$
34626
nobody@ubuntu:~$

缺省的会映射到65534的用户名，可以通过做user mapping作进一步的设定，这里不再赘述。

nobody@ubuntu:~$ id
uid=65534(nobody) gid=65534(nogroup) groups=65534(nogroup)
nobody@ubuntu:~$

新user Namespace编号

nobody@ubuntu:~$echo$$34626 nobody@ubuntu:~$ ls -l /proc/$$/ns
total 0
lrwxrwxrwx 1 nobody nogroup 0 Sep 15 16:02 cgroup -> cgroup:[4026531835]
lrwxrwxrwx 1 nobody nogroup 0 Sep 15 16:02 ipc -> ipc:[4026531839]
lrwxrwxrwx 1 nobody nogroup 0 Sep 15 16:02 mnt -> mnt:[4026531840]
lrwxrwxrwx 1 nobody nogroup 0 Sep 15 16:02 net -> net:[4026531957]
lrwxrwxrwx 1 nobody nogroup 0 Sep 15 16:02 pid -> pid:[4026531836]
lrwxrwxrwx 1 nobody nogroup 0 Sep 15 16:02 user -> user:[4026532506]
lrwxrwxrwx 1 nobody nogroup 0 Sep 15 16:02 uts -> uts:[4026531838]
nobody@ubuntu:~$

其他相关