容器-资源隔离机制

一. 引言： 

  大家都知道，在一台机器上，可以运行任意(根据系统资源)个容器实例。且各容器间是相互独立，不做任何关联的。那么，docker是通过什么方式来实现容器隔离的呢？ 接下来我们了解下。

二. 关于容器隔离机制：

   容器的隔离机制是实现 “轻量级虚拟化” 的核心，通过Linux 内核原生技术与容器运行时（如 docker、containerd）的封装，在共享宿主机内核的同时，为每个容器提供独立的资源、网络、文件系统等环境，避免容器间相互干扰。其本质是 “在同一内核中为进程组划定资源与权限边界”，而非像虚拟机那样完全隔离操作系统。

   主要分为一下三个大方向： 

Namespace  可实现容器间的隔离
Cgroups    可限制容器的资源使用
Chroot     文件系统的隔离(挂载到物理根目录(文件系统)下的子目录(虚拟文件系统))

 1. 关于namespace：

    Linux 内核从版本 2.4.19 开始陆续引入了 namespace 的概念。其目的是将某个特定的全局系统资源（global system resource）通过抽象方法使得namespace 中的进程看起来拥有它们自己的隔离的全局系统资源实例。Linux 内核中实现了六种 namespace，按照引入的先后顺序，列表如下：

Linux内核实现namespace的主要目的就是为了实现轻量级虚拟化（容器）服务。在同一个namespace下的进程可以感知彼此的变化，而对外界的进程一无所知。这样就可以让容器中的进程产生错觉，仿佛自己置身于一个独立的系统环境中，以此达到独立和隔离的目的。

2. Cgroups:

   容器通过namespace机制实现了环境上的隔离。但只有运行环境隔离还不够，因为这些进程还是可以不受限制地使用系统资源，比如网络、磁盘、CPU以及内存 等。一方面，是为了防止它占用了太多的资源而影响到其它进程；另一方面，在系统资源耗尽的时候，linux 内核会触发 OOM，这会让一些被杀掉的进程成了无辜的替死鬼。因此，为了让容器中的进程更加可控，Docker 使用 Linux cgroups 来限制容器中的进程允许使用的系统资源。 

 Linux Cgroup 可为系统中所运行任务（进程）的用户定义组群分配资源 — 比如 CPU 时间、系统内存、网络带宽或者这些资源的组合。可以监控您配置的 cgroup，拒绝 cgroup 访问某些资源，甚至在运行的系统中动态配置您的 cgroup。它以一组进程为目标进行系统资源分配和控制。

它主要提供了以下功能：

Resource limitation: 限制资源使用，比如内存使用上限以及文件系统的缓存限制。
Prioritization: 优先级控制，比如：CPU利用和磁盘IO吞吐。
Accounting: 资源统计，一些审计或一些统计，主要目的是为了计费。
Control: 进程控制，挂起进程，恢复执行进程。

使用 cgroup，系统管理员可更具体地控制对系统资源的分配、优先顺序、拒绝、管理和监控。可更好地根据任务和用户分配硬件资源，提高总体效率。在实际中，系统管理员一般会利用CGroup做下面这些事：

隔离一个进程集合（比如：nginx的所有进程），并限制他们所消费的资源，比如绑定CPU的核。
为这组进程分配其足够使用的内存
为这组进程分配相应的网络带宽和磁盘存储限制
限制访问某些设备（通过设置设备的白名单）

  3. Chroot: 

    是容器的 “独立文件系统根目录”，通过分层挂载（UnionFS） 实现，核心作用是：

1. 隔离性：容器内的/目录与宿主机完全独立，修改容器内文件（如/etc/passwd）不会影响宿主机。
2. 轻量性：采用 “基础镜像层 + 容器层” 的分层结构，多个容器可共享基础镜像层。
3. 一致性：每个容器启动时都基于相同的基础镜像，确保运行环境一致（避免 “本地能跑，线上跑不了”）。

  关键技术： UnionFS（联合文件系统）

  常用的 UnionFS 实现包括overlay2（Docker 默认）、aufs、btrfs等，以overlay2为例，其分层结构如下：

lowerdir：基础镜像层（可多层，如 “操作系统层 + Nginx 层”），仅可读；
upperdir：容器层，容器运行时的所有写操作（如创建 / 修改文件）都在这一层；
merged：容器内看到的 “根目录”，是lowerdir和upperdir的联合挂载结果；
workdir：临时工作目录，用于 UnionFS 的内部操作（用户不可见）。

三. 容器隔离 vs 虚拟机隔离： 

四. 无法隔离的资源： 

1. 内核版本：容器内的内核版本与宿主机完全一致，无法在容器内升级内核；
2. 内核模块：容器无法加载 / 卸载宿主机内核模块（需宿主机提前加载）；
3. 系统时间：默认情况下，容器内修改系统时间会同步修改宿主机时间。
4. 硬件资源：部分硬件资源（如 CPU 缓存、NUMA 节点）无法精细隔离，可能存在 “缓存侧信道攻击” 风险；
5. 内核漏洞：若宿主机内核存在漏洞（如 Dirty COW），容器内的恶意进程可能利用漏洞突破隔离，获取宿主机权限。

-  --------------------------------------------------------------------------------------------------------------------------

                         深耕运维行业多年，擅长运维体系建设，方案落地。欢迎交流！

                                                     “V-x”： ywjw996

                                                     《 运维经纬 》