Docker和宿主機(jī)操作系統(tǒng)文件目錄互相隔離的實(shí)現(xiàn)原理

Yu_Huang 發(fā)布于2019-06-28 16:48 / 2880人閱讀

摘要：我們知道在容器里是無(wú)法訪問到宿主操作系統(tǒng)的文件目錄的，但這種隔離是怎么實(shí)現(xiàn)的呢其實(shí)一點(diǎn)也不神奇利用了系統(tǒng)的內(nèi)部命令。

我們知道在Docker容器里是無(wú)法訪問到宿主操作系統(tǒng)的文件目錄的，但這種隔離是怎么實(shí)現(xiàn)的呢？

其實(shí)一點(diǎn)也不神奇——利用了Linux系統(tǒng)的內(nèi)部命令chroot。

chroot能將進(jìn)程的根目錄設(shè)置成任意指定的目錄。

使用chroot我們能創(chuàng)建一個(gè)新的進(jìn)程，并且以chroot執(zhí)行時(shí)傳入的參數(shù)作為新進(jìn)程的根目錄。

因?yàn)樾逻M(jìn)程創(chuàng)建之后就無(wú)法訪問除了新進(jìn)程創(chuàng)建時(shí)傳入chroot參數(shù)之外的其他文件目錄，為了確保這個(gè)新進(jìn)程能夠正常工作，我們必須手動(dòng)拷貝一些文件到新進(jìn)程的根目錄映射的舊目錄下。

做一個(gè)如下測(cè)試：

新建一個(gè)文件夾，執(zhí)行chroot . 意思是把文件夾$HOME/container當(dāng)作新建進(jìn)程的根目錄。但是沒有成功，報(bào)錯(cuò)誤消息chroot: failed to run command ‘/bin/bash’: No such file or directory

執(zhí)行下面兩條命令：

執(zhí)行命令ldd $HOME/container/bin/bash:

該命令為了查看需要有哪些庫(kù)文件得手動(dòng)拷貝到文件夾$/HOME/container/bin/bash下面：

根據(jù)ldd的輸出，再次執(zhí)行下圖的八條命令：

再次執(zhí)行chroot . ，發(fā)現(xiàn)這次成功了：

pwd發(fā)現(xiàn)是在根目錄下，ls也只能發(fā)現(xiàn)執(zhí)行chroot時(shí)指定的container目錄下的子目錄：

這就是docker文件目錄隔離的實(shí)現(xiàn)原理。

要獲取更多Jerry的原創(chuàng)文章，請(qǐng)關(guān)注公眾號(hào)"汪子熙":

云服務(wù)器 GPU云服務(wù)器文件系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的區(qū)別 volatile的實(shí)現(xiàn)原理 asp整理目錄和文件 . 防火墻的功能有如下哪些? 隔離不同安全級(jí)別的網(wǎng)絡(luò) 實(shí)現(xiàn)不同安全級(jí)別的網(wǎng)絡(luò)之間

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://specialneedsforspecialkids.com/yun/27562.html