目录
引言
1 基础概念回顾
1.1 命名空间概述
1.2 命名空间的类型
2 PID命名空间详解
2.1 PID命名空间的概念
2.2 PID命名空间的作用
2.3 PID命名空间的工作原理
2.3.1 PID命名空间的创建与销毁
2.3.2 PID命名空间的层次结构
2.3.3 PID命名空间的进程ID映射
3 PID命名空间在Docker中的应用
3.1 Docker容器中的PID命名空间
3.2 PID命名空间与容器生命周期
3.3 PID命名空间与容器资源限制
4 PID命名空间的工作流程
5 PID命名空间的操作示例
6 总结
引言
在容器化技术中，Docker凭借其轻量级、高效隔离和快速部署等特性，成为了应用部署和管理的首选方案。而命名空间（Namespace）作为Docker实现资源隔离的核心技术之一，为容器提供了独立的运行环境。其中，PID命名空间（PID Namespace）作为命名空间的一种，负责隔离进程ID，使得容器内的进程与宿主机及其他容器内的进程相互独立。
1 基础概念回顾
1.1 命名空间概述
命名空间是Linux内核提供的一种资源隔离机制，它允许将全局资源（如进程ID、用户ID、网络接口等）封装在一个独立的命名空间中，使得不同命名空间内的进程无法直接访问或干扰其他命名空间内的资源。命名空间为容器提供了独立的运行环境，使得容器内的进程就像运行在一个独立的操作系统中一样。
1.2 命名空间的类型
Linux内核提供了多种类型的命名空间，每种命名空间负责隔离不同类型的资源。常见的命名空间类型包括：
- Mount Namespace：隔离文件系统挂载点
- UTS Namespace：隔离主机名和域名
- IPC Namespace：隔离进程间通信资源（如消息队列、共享内存等）
- PID Namespace：隔离进程ID
- Network Namespace：隔离网络接口、IP地址、路由表等网络资源
- User Namespace：隔离用户ID和组ID
2 PID命名空间详解
2.1 PID命名空间的概念
PID命名空间用于隔离进程ID，使得每个命名空间内的进程都有自己独立的进程ID空间。在PID命名空间中，进程ID从1开始重新编号，因此不同命名空间内的进程可以有相同的进程ID。PID命名空间为 容器提供了独立的进程管理环境，使得容器内的进程无法直接访问或干扰宿主机或其他容器内的进程。
2.2 PID命名空间的作用
- 进程隔离：PID命名空间使得容器内的进程与宿主机及其他容器内的进程相互独立，提高了系统的安全性
- 进程管理：在容器内，进程管理工具（如ps、top等）只能看到当前命名空间内的进程，无法看到其他命名空间内的进程
- 资源限制：通过PID命名空间，可以限制容器内可以运行的进程数量，防止容器内进程过多导致系统资源耗尽
2.3 PID命名空间的工作原理
2.3.1 PID命名空间的创建与销毁
- 在Docker中，每个容器都会创建一个新的PID命名空间
- 当容器启动时，Docker会调用Linux内核的clone()或unshare()系统调用，创建一个新的PID命名空间，并将容器内的初始进程（通常是/sbin/init或应用程序的入口进程）放入该命名空间中
- 当容器停止时，Docker会销毁该PID命名空间，释放相关资源
2.3.2 PID命名空间的层次结构
- PID命名空间具有层次结构，每个命名空间都有一个父命名空间
- 子命名空间内的进程可以看到父命名空间内的进程（但反之则不行），这种层次结构使得进程管理更加灵活
- 在Docker中，容器内的进程可以通过nsenter命令进入宿主机的PID命名空间，但宿主机上的进程无法直接进入容器的PID命名空间
2.3.3 PID命名空间的进程ID映射
- 在PID命名空间中，进程ID从1开始重新编号
- 为了实现进程ID在不同命名空间之间的映射，Linux内核维护了一个进程ID映射表
- 当进程在不同命名空间之间切换时，内核会根据映射表将进程ID转换为目标命名空间中的进程ID
3 PID命名空间在Docker中的应用
3.1 Docker容器中的PID命名空间
- 在Docker容器中，每个容器都有一个独立的PID命名空间
- 容器内的进程无法直接访问宿主机或其他容器内的进程，实现了进程隔离
- 容器内的进程管理工具（如ps、top等）只能看到当前容器内的进程，无法看到其他容器或宿主机上的进程
3.2 PID命名空间与容器生命周期
- PID命名空间与容器的生命周期紧密相关
- 当容器启动时，Docker会创建一个新的PID命名空间
- 当容器停止时，Docker会销毁该PID命名空间
3.3 PID命名空间与容器资源限制
- 通过PID命名空间，Docker可以限制容器内可以运行的进程数量
- 可以通过--pids-limit参数设置容器内最大进程数，防止容器内进程过多导致系统资源耗尽
- 这种资源限制机制提高了系统的稳定性和可靠性
4 PID命名空间的工作流程
- Docker启动容器：用户通过Docker命令启动一个容器
- 创建新的PID命名空间：Docker调用Linux内核的clone()或unshare()系统调用，创建一个新的PID命名空间
- 放入容器初始进程：将容器的初始进程（如/sbin/init或应用程序的入口进程）放入新创建的PID命名空间中
- 进程ID编号：容器内的进程启动时，进程ID从1开始编号，与宿主机或其他容器内的进程ID相互独立
- 进程访问其他命名空间：如果容器内的进程需要访问其他命名空间（如宿主机或其他容器的PID命名空间），可以通过nsenter等命令实现
- 在当前命名空间中运行：如果进程不需要访问其他命名空间，则继续在当前PID命名空间中运行
- PID命名空间保持独立：在容器运行过程中，PID命名空间保持独立，容器内的进程无法直接访问或干扰其他命名空间内的进程
- 销毁PID命名空间：当容器停止时，Docker会销毁该PID命名空间，释放相关资源
5 PID命名空间的操作示例
# 启动一个Docker容器
[root@node1 ~]# docker run -it --name pid_name_demo ubuntu:20.04 bash
root@7034c8306cfb:/## 在容器内查看进程列表（只能看到容器内的进程）
root@7034c8306cfb:/# ps aux
USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
root 1 0.6 0.0 4100 2168 pts/0 Ss 06:17 0:00 bash
root 9 0.0 0.0 5884 1472 pts/0 R+ 06:17 0:00 ps aux
root@7034c8306cfb:/# # 在宿主机上查看所有进程（可以看到宿主机和所有容器的进程）
ps aux | grep pid_name_demo # 这里只是示例，实际无法直接通过进程名区分容器进程# 更准确的方法是使用docker top命令查看容器内进程
[root@node1 ~]# docker top pid_name_demo
UID PID PPID C STIME TTY TIME CMD
root 6157 6138 0 14:17 pts/0 00:00:00 bash
[root@node1 ~]# # 在容器内尝试访问宿主机的PID命名空间
# ps：以下命令仅用于演示，实际生产环境中应避免使用
[root@node1 ~]# docker exec -it --privileged pid_name_demo bash -c 'nsenter -t 1 -m -u -i -n -p ps aux'
nsenter: reassociate to namespace 'ns/ipc' failed: Operation not permitted
[root@node1 ~]#
# 上述命令尝试进入宿主机的PID命名空间（PID为1通常是init进程），但缺乏权限# 退出容器
exit# 停止并删除容器
docker stop pid_name_demo
docker rm pid_name_demo6 总结
PID命名空间作为Docker实现资源隔离的核心技术之一，为容器提供了独立的进程管理环境。通过PID命名空间，Docker实现了容器内进程与宿主机及其他容器内进程的隔离，提高了系统的安全性和稳定性。同时，PID命名空间还支持进程ID映射和层次结构，使得进程管理更加灵活。
