Docker如何实现资源隔离-linux运维-PHP中文网

Docker如何实现资源隔离

爱谁谁

发布： 2025-07-16 08:14:41

原创

200人浏览过

引言：理解docker如何做资源隔离，揭开容器的神秘面纱。

我们在启动一个docker容器之后，在容器内的资源和宿主机上其他进程是隔离的，docker的资源隔离是怎么做到的呢？docker的资源隔离主要依赖Linux的Namespace和Cgroups两个技术点。Namespace是Linux提供的资源隔离机制，说的直白一点，就是调用Linux内核的方法，实现各种资源的隔离。具体包括：文件系统、网络设备和端口、进程号、用户用户组、IPC等资源

Linux实现的Namespace包括多种类型：

Namespace类型

系统调用参数

隔离的资源

UTS

CLONE_NEWUTS

域名、主机名

IPC

CLONE_NEWIPC

进程间通讯（用到的消息队列、共享内存）

PID

CLONE_NEWPID

进程

Network

CLONE_NEWNET

网络设备、网络栈、端口

Mount

CLONE_NEWNS

挂载点

User

CLONE_NEWUSER

用户用户组

下面我们使用go语言演示一下各种资源隔离的实现效果：

代码语言：javascript代码运行次数：0运行复制

<code class="javascript">package mainimport (  "log"  "os"  "os/exec"  "syscall")func main() {  cmd := exec.Command("sh")  cmd.SysProcAttr = &syscall.SysProcAttr{    Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS | syscall.CLONE_NEWUSER,    UidMappings: []syscall.SysProcIDMap{      {        ContainerID: 1,        HostID:      1,        Size:        1,      },    },    GidMappings: []syscall.SysProcIDMap{      {        ContainerID: 1,        HostID:      1,        Size:        1,      },    },  }  cmd.Stdin = os.Stdin  cmd.Stdout = os.Stdout  cmd.Stderr = os.Stderr  if err := cmd.Run(); err != nil {    log.Fatalf("run faild: %+v", err)  }}</code>

登录后复制

解释一下关键代码，我们调用exec.Command来达到c语言fork进程的效果，syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS | syscall.CLONE_NEWUSER表示新的进程中，各种类型的资源使用新的namespace。（画外音：docker也封装了一个包github.com/docker/docker/pkg/reexec可以创建子进程）

编译完上面的go代码，接下来是各种Namespace资源隔离的验证环节。

UTS的验证过程：

上图中，运行刚才编译完的代码，执行后进入一个shell环境，在shell环境中，修改hostname为xingzhou。

秒哒

秒哒-不用代码就能实现任意想法

349

查看详情

打开新的窗口，查看hostname，发现当前的hostname不变。

这就说明了，新创建的进程中hostname和主进程是隔离的。

IPC的验证过程：

子进程：

执行ipcs -q命令，查看Message Queues是空的执行ipcmk -Q命令，创建一个MessageQueues执行ipcs -q命令可以看到刚才添加的Queue

宿主机：

执行ipcs -q命令看到，MessageQueues是空的。

说明子进程和宿主机之间IPC是隔离的。

PID的验证过程：

1.在容器内执行echo $$ 命令，看到当前进程号是1

2.在宿主机执行ps aux 看到启动的服务进程号是62

Network的验证过程：

宿主机上执行ifconfig能看到网络设备信息，容器内看不到网络设备信息。

所以二者的Network的Namespace也是隔离的

Mount的验证过程：

容器内执行：

宿主机执行：

在容器内执行ls /proc查看proc的相关内容在容器内执行mount -t proc proc /proc 把proc挂载到当前进程的proc目录下执行 ps -ef查看到当前容器的进程，通过这个也进一步验证了PID的隔离执行ls /proc看到当前的proc下面的内容已经发生了变化在宿主机执行ls /proc ，把执行结果和上一步的结果对比，发现两者内容已经完全不同了

这就验证了Mount的Namespace创建成功，而且新的mount命令只会影响当前进程，并不会影响宿主机

User的验证：

宿主机上执行id启动容器容器内执行id 比较两次的结果，会发现是不同的uid gid信息，所以User的Namespace也是生效的。

然后介绍下Cgroups：

Cgroups是Linux内核提供的资源限制和隔离的机制，全称：Control groups。

Cgroups为每种可以控制的资源定义了一个子系统

具体包括：

cpu: 限制可以使用的cpu使用率cpuset:为进程单独分配cpu或者内存节点cpuacct:统计cgroups中的进程对cpu的使用报告memory:限制内存的使用blkio:限制进程的块设备io（块设备是指以“块”作为单位的设备，比如：磁盘、U盘）devices:控制进程能够访问哪些设备freezer:挂起或者恢复cgroups中的进程net_cls:标记cgroups进程的网络数据包，然后通过traffic control对数据包进行流量控制net_prio：限制进程网络流量的优先级ns:控制cgroups中的进程使用不同的namespace

（不同linux版本对Cgroups子系统的实现略有差异，这里列举的内容仅仅作为参考）

docker就是调用cgroups的接口实现了不同容器对物理资源的控制。

docker依赖Linux的Namespace和Cgroups实现了进程的运行环境隔离。

docker在具体实现的时候，抽象了一个模块叫”libcontainer“，把Linux内核相关的API做了一层封装，包括Namespace、Cgroups、网络、设备等。

通过这一层抽象，增大了docker支持其他操作系统的可行性。

总结：Linux系统的虚拟化技术，为docker提供了底层技术支撑。

以上就是Docker如何实现资源隔离的详细内容，更多请关注php中文网其它相关文章！