容器基础技术介绍与实践.pdf

容器基础技术介绍与实践 陈显鹭 2017.3.14 Linux Namespace • Linux Namespace 是kernel 的一个功能，它可以隔 离一系列系统的资源 • 资源包括进程树，网络接口，挂载点等等 Linux Namespace • Namespace 的API主要使用三个系统调用 • clone() - 创建新进程。根据系统调用参数来判断哪些类型的 namespace被创建，而且它们的子进程也会被包含到这些 namespace中 • unshare() - 将进程移出某个namespace • setns() - 将进程加入到namespace中 Linux Namespace 类型 • • UTS Namespace: 主要隔离nodename和domainname两个系统标识。在 UTS namespace里面，每个 namespace 允许有自己的hostname。 • IPC Namespace: 隔离System V IPC 和POSIX message queues.每一个 IPC Namespace都有他们自己的System V IPC 和POSIX message queue 。 • Mount Namespace: 隔离各个进程看到的挂载点视图.在mount namespace 中调用mount()和umount()仅仅只会影响当前namespace内的 文件系统，而对全局的文件系统是没有影响的。 • User Namespace: 主要是隔离用户的用户组ID以及权限，由于涉及到权限 问题，可以说是最复杂的一个namespace • Network Namespace:隔离网络设备，IP地址端口等网络栈的namespace, 可以让每个容器拥有自己独立的网络设备（虚拟的），而且容器内的应用 可以绑定到自己的端口不相互冲突。在宿主机上搭建网桥后，就能很方便 的实现容器之间的通信，而且不同容器上的应用可以使用相同的端口。 PID Namespace 介绍 • PID namespace是用来隔离进程id • 同样的一个进程在不同的PID Namespace 里面可以 拥有不同的PID • 在docker container 里面，我们使用ps -ef 经常能发 现，容器内在前台跑着的那个进程的PID 是1，但是 我们在容器外，使用ps -ef会发现同样的进程却有不 同的PID，这就是PID namespace 干的事情。 PID Namespace Demo • 运行代码，分别在两个termainal 内查看 一个在namespace内显示进程pid为1 另外一个宿主机显示pid为20190 与刚才docker 容器行为相似 Linux Cgroups • Linux Cgroups(Control Groups) 提供了对一组进程及将来的子进程的资源的限制，控制和 统计的能力这些资源包括CPU，内存，存储，网络等 • Cgroups共有三大组件 • cgroup: 是对进程分组管理的一种机制，一个cgroup包含一组进程，并可以在这个cgroup 上增加Linux subsystem的各种参数的配置，将一组进程和一组subsystem的系统参数关联 起来。 • subsystem:一组资源控制的模块,一般包含 cpu, devices, memory, net_prio。每个 subsystem会关联到定义了相应限制的cgroup上，并对这个cgroup 中的进程做相应的限制 和控制 • hierarchy ：把一组cgroup串成一个树状的结构，一个这样的树便是一个hierarchy，通过 这种树状的结构，Cgroups可以做到继承。比如我的系统对一组定时的任务进程通过 cgroup1限制了CPU的使用率，然后其中有一个定时dump 日志的进程还需要限制磁盘IO， 为了避免限制了影响到其他进程，就可以创建cgroup2继承于cgroup1并限制磁盘的IO，这 样cgroup2便继承了cgroup1 中的CPU的限制，并且又增加了磁盘IO的限制而不影响到 cgroup1 中的其他进程 • 通过上面的组件的述我们就不难看出，Cgroups的是靠这三个组件的相互 协作实现的，那么这三个组件是什么关系呢？ • 系统在