Docker基础-namespace

Docker-namespace

  • namespace
    • 基础命令
      • dd 命令
      • mkfs
      • df
      • mount
      • unshare
    • pid 隔离试验
    • mount 隔离

namespace

namespace 是 Linux 内核用来隔离内核资源的方式。通过 namespace 可以让一些进程只能看到与自己相关的一部分资源，而另外一些进程也只能看到与它们自己相关的资源，这两拨进程根本就感觉不到对方的存在。具体的实现方式是把一个或多个进程相关资源指定在同一个 namespace 中。

Linux namespaces 是对全局系统资源的一种封装隔离，使得处于不同 namespace 的进程拥有独立的全局系统资源，改变一个 namespace 中的系统资源只会影响当前namespace 里的进程，对其他 namespace 中的进程没有影响。

Linux 提供了多个 API 用来操作 namespace，它们是 clone()、 setns() 和 unshare() 函数，为了确定隔离的到底是哪项 namespace，在使用这些 API 时，通常需要指定一些调用参数：CLONE_NEWIPC、 CLONE_NEWNET、 CLONE_NEWNS、CLONE_NEWPID、 CLONE_NEWUSER、 CLONE_NEWUTS 和 CLONE_NEWCGROUP。如果要同时隔离多个 namespace，可以使用 | (按位或)组合这些参数。

namespace系统调用参数被隔离的全局系统资源
UTSCLONE_NEWUTS主机名和域名
IPCCLONE_NEWIPC信号量、消息队列和共享内存
PIDCLONE_NEWPID进程编号
NetworkCLONE_NEWNET网络设备、网络栈、端口等
MountCLONE_NEWNS文件系统挂载点
UserCLONE_NEWUSER用户和用户组

以上命名空间在容器环境下的隔离效果：
UTS：每个容器能看到自己的 hostname，拥有独立的主机名和域名。
IPC：同一个 IPC namespace 的进程之间能互相通讯，不同的 IPC namespace 之间不能通信。
PID：每个 PID namespace 中的进程可以有其独立的 PID，每个容器可以有其 PID 为 1 的 root 进程。
Network：每个容器用有其独立的网络设备， IP 地址， IP 路由表， /proc/net 目录，端口号。
Mount：每个容器能看到不同的文件系统层次结构。
User：每个 container 可以有不同的 user 和 group id。

基础命令

dd 命令

dd 可从标准输入或文件中读取数据，根据指定的格式来转换数据，再输出到文件、设备或标准输出。
语法：dd OPTION

参数如下：

  • if=文件名：输入文件名，默认为标准输入。即指定源文件。
  • of=文件名：输出文件名，默认为标准输出。即指定目的文件。
  • ibs=bytes：一次读入 bytes 个字节，即指定一个块大小为 bytes 个字节。obs=bytes：一次输出 bytes 个字节，即指定一个块大小为 bytes 个字节。bs=bytes：同时设置读入/输出的块大小为 bytes 个字节。
  • cbs=bytes：一次转换 bytes 个字节，即指定转换缓冲区大小。
  • skip=blocks：从输入文件开头跳过 blocks 个块后再开始复制。 seek=blocks：从输出文件开头跳过 blocks 个块后再开始复制。
  • count=blocks：仅拷贝 blocks 个块，块大小等于 ibs 指定的字节数。
  • conv=<关键字>，关键字可以有以下 11 种：
    • conversion：用指定的参数转换文件。
    • ascii：转换 ebcdic 为 ascii
    • ebcdic：转换 ascii 为 ebcdic
    • ibm：转换 ascii 为 alternate ebcdic
    • block：把每一行转换为长度为 cbs，不足部分用空格填充
    • unblock：使每一行的长度都为 cbs，不足部分用空格填充
    • lcase：把大写字符转换为小写字符
    • ucase：把小写字符转换为大写字符
    • swap：交换输入的每对字节
    • noerror：出错时不停止
    • notrunc：不截短输出文件
    • sync：将每个输入块填充到 ibs 个字节，不足部分用空（NUL）字符补齐

示例：
从 /dev/zero 文件里一次读取8k大小的内容，总共读取1024次，并把每次读取到的数据写入到test1.img文件中。

在这里插入图片描述

mkfs

作用：用于在设备上创建 Linux 文件系统,俗称格式化，比如我们使用 U 盘的时候可以格式化。
语法：
mkfs [-V] [-t fstype] [fs-options] filesys [blocks]

常见参数：

  • -t fstype：指定要建立何种文件系统；如 ext3， ext4
  • filesys ：指定要创建的文件系统对应的设备文件名；
  • blocks：指定文件系统的磁盘块数。
  • -V : 详细显示模式
  • fs-options:传递给具体的文件系统的参数。
    示例：
    mkfs -t ext4 test1.img // 格式化镜像文件为 ext4
    mkfs -t ext4 /dev/sda6 // 将sda6分区格式化为 ext4 格式

df

作用：命令用于显示目前在 Linux 系统上的文件系统磁盘使用情况统计。
语法：
df [OPTION]... [FILE]...
常见参数：

  • -a, --all 包含所有的具有 0 Blocks 的文件系统

  • -h, --human-readable 使用人类可读的格式(预设值是不加这个选项的…)

  • -H, --si 很像 -h, 但是用 1000 为单位而不是用 1024

  • -t, --type=TYPE 添加过滤条件，只列出文件系统是 TYPE

  • -T, --print-type 显示文件系统的形式

mount

作用：mount 命令用于加载文件系统到指定的加载点。此命令的也常用于挂载光盘，使我们可以访问光盘中的数据，因为你将光盘插入光驱中， Linux 并不会自动挂载，必须使用 Linux mount 命令来手动完成挂载。
Linux 系统下不同目录可以挂载不同分区和磁盘设备，它的目录和磁盘分区是分离的, 可以自由组合(通过挂载)
不同的目录数据可以跨越不同的磁盘分区或者不同的磁盘设备。
挂载的实质是为磁盘添加入口（挂载点）。

常见用法：

mount [-l]
mount [-t vfstype] [-o options] device dir

常见参数：

  • -l：显示已加载的文件系统列表；

  • -t: 加载文件系统类型支持常见系统类型的 ext3,ext4,iso9660,tmpfs,xfs 等,大部分情况
    可以不指定， mount 可以自己识别

  • -o options 主要用来描述设备或档案的挂接方式。

    • loop：用来把一个文件当成硬盘分区挂接上系统

    • ro：采用只读方式挂接设备

    • rw：采用读写方式挂接设备

  • device: 要挂接(mount)的设备。

  • dir: 挂载点的目录

示例：

// 将 /dev/hda1 挂在 /mnt 之下。 
mount /dev/hda1 /mnt 
// 将镜像挂载到/mnt/testext4 下面,需要确保挂载点也就是目录存在 
mkdir -p /mnt/testext4 
mount ./fdimage.img /mnt/testext4

unshare

作用：unshare 主要能力是使用与父程序不共享的名称空间运行程序。

语法：

unshare [options] program [arguments]

常用参数：

参数含义
-i, --ipc不共享 IPC 空间
-m, --mount不共享 Mount 空间
-n, --net不共享 Net 空间
-p, --pid不共享 PID 空间
-u, --uts不共享 UTS空间
-U, --user不共享用户
-V，–version版本查看
–fork执行 unshare 的进程 fork 一个新的子进程，在子进程里执行unshare 传入的参数
–mount-prot执行子进程前，将 proc 有限挂载过去

示例：

hostname 隔离

[root@VM-0-11-centos ~]# unshare -u /bin/bash
[root@VM-0-11-centos ~]# hostname test
[root@VM-0-11-centos ~]# hostname
test
[root@VM-0-11-centos ~]# exit
exit
[root@VM-0-11-centos ~]# hostname
VM-0-11-centos

在这里插入图片描述

pid 隔离试验

在这里插入图片描述
出错是因为如果不建新进程，新的 namespace 会用执行 unshare 命令的进程 的 PID 作为新的空间的父进程，而这个 unshare 进程并不在新的 namespace 中，所以会报个错 Cannot allocate memory。

加上 --fork选项后，还是不能满足要求，通过ps -ef还是可以查看到其他进程的信息
请添加图片描述
可以通过加上 mount-proc选项， 加上 mount-proc选项是因为 Linux 下的每个进程都有一个对应的 /proc/PID 目录，该目录包含了大量的有关当前进程的信息。 对一个 PID namespace 而言， /proc 目录只包含当前 namespace 和它所有子孙后代 namespace 里的进程的信息。创建一个新的 PID namespace 后，如果想让子进程中的 top、 ps 等依赖 /proc 文件系统的命令工作，还需要挂载 /proc 文件系统。而文件系统隔离是 mount namespace 管理的，所以 linux特意提供了一个选项
–mount-proc 来解决这个问题。如果不带这个我们看到的进程还是系统的进程信息。

执行 ps -ef 查看进程信息，我们可以看到此时进程空间内的内容已经变了，而且启动进程也变成了我们的 bash 进程。说明我们已经看不到主机上的进程空间了，我们的进程空间发生了隔离。
在这里插入图片描述
完整pid隔离示例：
unshare --fork --pid --mount-proc /bin/bash

mount 隔离

首先先执行 unshare --mount --fork /bin/bash 或者直接 unshare --mount即可
–fork 选项用于在创建新的命名空间时将新的子进程创建在新的命名空间中。
如果你想要在新的命名空间中执行一些任务，那么使用 --fork 选项可能是有用的。
但是，如果你只是想创建一个新的 mount 命名空间，而不需要在其中运行新的进程，你可以不使用
–fork 选项。
并使用 dd命令创建一个新文件
dd if=/dev/zero of=test.img bs=8k count=10240
并创建一个文件挂载点文件夹
mkdir testmount
最后将镜像挂载到新创建的文件夹下面
mount -t ext4 ./test.img ./testmount
最后通过查看新创建的bash和开启mount中的bash可以发现是存在mount隔离的
在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/135779.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

回溯算法 解题思路

回溯算法 解题思路

文章目录 算法介绍回溯算法能解决的问题解题模板1. 组合问题2. N皇后问题 算法介绍 回溯法&#xff08;Back Tracking Method&#xff09;&#xff08;探索与回溯法&#xff09;是一种选优搜索法&#xff0c;又称为试探法&#xff0c;按选优条件向前搜索&#xff0c;以达到目标…
阅读更多...
vue3项目学习一：创建vue3项目

vue3项目学习一：创建vue3项目

创建vue3项目 一、使用vue-cli创建vue3项目1.安装vue-cli2.创建vue3项目 二、初始化项目结构三、导入element-ui 一、使用vue-cli创建vue3项目 1.安装vue-cli 先查看是否安装vue-cli 在cmd窗口输入vue -V查看版本&#xff0c;如果出现 则说明存在vue-cli,如果出现 则需要安…
阅读更多...
机器学习第七课--情感分析系统

机器学习第七课--情感分析系统

分词 分词是最基本的第一步。无论对于英文文本&#xff0c;还是中文文本都离不开分词。英文的分词相对比较简单&#xff0c;因为一般的英文写法里通过空格来隔开不同单词的。但对于中文&#xff0c;我们不得不采用一些算法去做分词。 常用的分词工具 # encodingutf-8 import …
阅读更多...
自研一个简易版本的OkHTTP

自研一个简易版本的OkHTTP

一,背景 为了彻底搞明白okhttp原理&#xff0c;仿照okhttp自研一个 二&#xff0c;思路 业务上没发出一个request&#xff0c;使用AsyncCall包装起来&#xff0c;然后在网络分发器的作用下&#xff0c;执行具体的每一个Call,这些具体的Call会经过层层的拦截器&#xff0c;最终…
阅读更多...
【css | linear-gradient】linear-gradient()的用法

【css | linear-gradient】linear-gradient()的用法

linear-gradient() CSS函数创建一个由两种或多种颜色沿一条直线进行线性过渡的图像,其结果是<gradient>数据类型的对象,此对象是一种特殊的<image> 数据类型。 先看一个线上的示例 https://code.juejin.cn/pen/7277486410842996771 语法 /* 渐变轴为 45 度&…
阅读更多...
Iterator设计模式

Iterator设计模式

目录 1、示例 1.1 Aggregate接口 1.2 Iterator接口 1.3 Book类 1.4 BookShelf类 1.6 BookShelfIterator 类 1.7 Main类 2、解释Iterator模式中的角色 2.1 Iterator模式的存在意义 2.2 抽象类和接口 2.3 Aggregate 和 Iterator的对应 2.4 容易弄错"下一个"…
阅读更多...
day06_Java中的流程控制语句

day06_Java中的流程控制语句

流程控制 简单来讲所谓流程就是完成一件事情的多个步骤组合起来就叫做一个流程。在一个程序执行的过程中&#xff0c;各条语句的执行顺序对程序的结果是有直接影响的。我们必须清楚每条语句的执行流程。而且&#xff0c;很多时候要通过控制语句的执行顺序来实现我们想要的功能…
阅读更多...
OpenCV（三十五）：凸包检测

OpenCV（三十五）：凸包检测

1.凸包检测介绍 凸包检测是计算凸包的一种技术&#xff0c;凸包就是&#xff1a;给定二维平面上的点集&#xff0c;将最外层的点连接起来构成的凸边形&#xff0c;它是包含点集中所有的点。 2.凸包检测函数convexHull() void cv::convexHull ( InputArray points, OutputArra…
阅读更多...
Web应用系统的小安全漏洞及相应的攻击方式

Web应用系统的小安全漏洞及相应的攻击方式

写作目的 本文讲述一个简单的利用WebAPI来进行一次基本没有破坏力的“黑客”行为。 主要目的如下&#xff1a; 了解什么叫安全漏洞 知道什么是api 了解一些获取api的工具 通过对API的认识了解白盒接口测试基本概念和技术 免责声明&#xff1a; 本文主要是以学习交流为目的&a…
阅读更多...
【业务功能118】微服务-springcloud-springboot-Kubernetes集群-k8s集群-KubeSphere-OpenELB部署及应用

【业务功能118】微服务-springcloud-springboot-Kubernetes集群-k8s集群-KubeSphere-OpenELB部署及应用

OpenELB部署及应用 一、OpenELB介绍 网址&#xff1a; openelb.io OpenELB 是一个开源的云原生负载均衡器实现&#xff0c;可以在基于裸金属服务器、边缘以及虚拟化的 Kubernetes 环境中使用 LoadBalancer 类型的 Service 对外暴露服务。OpenELB 项目最初由 KubeSphere 社区发…
阅读更多...
【面试题】——Java基础篇（33题）

【面试题】——Java基础篇（33题）

文章目录 1. 八大基本数据类型分类2. 重写和重载的区别3. int和integer区别4. Java的关键字5. 什么是自动装箱和拆箱&#xff1f;6. 什么是Java的多态性&#xff1f;7. 接口和抽象类的区别&#xff1f;8. Java中如何处理异常&#xff1f;9. Java中的final关键字有什么作用&…
阅读更多...
RabbitMQ深入 —— 死信队列

RabbitMQ深入 —— 死信队列

前言 前面荔枝梳理了RabbitMQ中的普通队列、交换机以及相关的知识&#xff0c;在这篇文章中荔枝将会梳理RabbitMQ的一个重要的队列 —— 死信队列&#xff0c;主要了解消息流转到死信队列的三种的方式以及相应的实现demo。希望能帮助到有需要的小伙伴~~~ 文章目录 前言 死信队…
阅读更多...
Python统计pdf中英文单词的个数

Python统计pdf中英文单词的个数

之前的文章提供了批量识别pdf中英文的方法，详见【python爬虫】批量识别pdf中的英文，自动翻译成中文上。以及自动pdf英文转中文文档，详见【python爬虫】批量识别pdf中的英文，自动翻译成中文下。    本文实现python统计pdf中英文字符的个数。 文章目录 一、要统计字符的pdf…
阅读更多...
Pybooks：这十本Python编程语言的入门书籍入门必看！

Pybooks：这十本Python编程语言的入门书籍入门必看！

这个好像没有在微信发过图文版的&#xff0c;补一个。大部分介绍摘自京东等网站。 Python基础教程 评语&#xff1a;Python入门佳作 经典教程的全新修订 10个项目引人入胜 《Python基础教程&#xff08;第2版修订版&#xff09;》是经典的Python入门教程&#xff0c;层次鲜明…
阅读更多...
贪心算法的思路和典型例题

贪心算法的思路和典型例题

一、贪心算法的思想 贪心算法是一种求解问题时&#xff0c;总是做出在当前看来是最好的选择&#xff0c;不从整体最优上加以考虑的算法。 二.用贪心算法的解题策略 其基本思路是从问题的某一个初始解出发一步一步地进行&#xff0c;根据某个优化测度&#xff0c;每一步都要确保…
阅读更多...
第21章_瑞萨MCU零基础入门系列教程之事件链接控制器ELC

第21章_瑞萨MCU零基础入门系列教程之事件链接控制器ELC

本教程基于韦东山百问网出的 DShanMCU-RA6M5开发板 进行编写&#xff0c;需要的同学可以在这里获取&#xff1a; https://item.taobao.com/item.htm?id728461040949 配套资料获取&#xff1a;https://renesas-docs.100ask.net 瑞萨MCU零基础入门系列教程汇总&#xff1a; ht…
阅读更多...
用Python实现链式调用

用Python实现链式调用

嗨喽&#xff0c;大家好呀~这里是爱看美女的茜茜呐 我们在使用Django的models查询数据库时&#xff0c;可以看到有这种写法&#xff1a; form app.models import XXX query XXX.objects.all() query query.filter(name123, age456).filter(salary999)在这种写法里面&#xf…
阅读更多...
排序算法-----插入排序

排序算法-----插入排序

目录 前言&#xff1a; 插入排序 原理图 代码实现 分析总结 二分法插入排序 代码实现 前言&#xff1a; 嗨嗨^_^&#xff0c;米娜桑&#xff0c;今天我们继续学习排序算法中的插入排序&#xff0c;激不激动&#xff0c;兴不兴奋呢&#xff01;好了废话不多说&#xff0c;…
阅读更多...
Docker基础学习

Docker基础学习

Docker 学习目标&#xff1a; 掌握Docker基础知识&#xff0c;能够理解Docker镜像与容器的概念 完成Docker安装与启动 掌握Docker镜像与容器相关命令 掌握Tomcat Nginx 等软件的常用应用的安装 掌握docker迁移与备份相关命令 能够运用Dockerfile编写创建容器的脚本 能够…
阅读更多...
python抠图（去水印）开源库lama-cleaner入门应用实践

python抠图（去水印）开源库lama-cleaner入门应用实践

1. 关于 Lama Cleaner Lama Cleaner 是由 SOTA AI 模型提供支持的免费开源图像修复工具。可以从图片中移除任何不需要的物体、缺陷和人&#xff0c;或者擦除并替换&#xff08;powered by stable diffusion&#xff09;图片上的任何东西。 特征&#xff1a; 完全免费开源&am…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023