Linux 内核揭秘：PID 命名空间，进程 ID 的隔离与映射

Linux 内核揭秘：PID 命名空间，进程 ID 的隔离与映射

【免费下载链接】linux-insides-zh Linux 内核揭秘 项目地址: https://gitcode.com/gh_mirrors/lin/linux-insides-zh

在 Linux 系统中，每个进程都有一个唯一的进程 ID（PID），用于标识和管理进程。然而，在容器化和虚拟化场景下，需要实现进程 ID 的隔离，使得不同环境中的进程可以拥有相同的 PID 而不冲突。PID 命名空间（PID Namespace）正是为解决这一问题而设计的内核特性，它允许在系统中创建独立的 PID 空间，每个命名空间内的进程 ID 从 1 开始编号，且与其他命名空间隔离。本文将深入探讨 PID 命名空间的工作原理、实现机制及应用场景。

PID 命名空间的基本概念

PID 命名空间是 Linux 命名空间（Namespace）机制的一部分，用于隔离进程 ID 的可见性。每个 PID 命名空间都有自己的 PID 编号空间，同一进程在不同的命名空间中可能拥有不同的 PID。例如，容器内的 init 进程在容器的 PID 命名空间中 PID 为 1，而在宿主机的 PID 命名空间中可能具有更高的 PID。

Linux 内核支持多种命名空间，包括 PID、网络、挂载、用户等，它们共同构成了容器隔离的基础。PID 命名空间与其他命名空间协同工作，如控制组（Cgroups）用于资源限制，共同实现了容器的隔离与资源管理。相关概念可参考 Cgroups/linux-cgroups-1.md。

PID 命名空间的层级结构

PID 命名空间采用层级结构，父命名空间可以看到子命名空间中的所有进程，并为它们分配全局唯一的 PID；而子命名空间只能看到自身及子命名空间中的进程。这种层级关系使得进程 ID 的映射和管理更加灵活。

例如，当创建一个新的 PID 命名空间时，内核会为其分配一个 ID，并在父命名空间中记录该命名空间内进程的映射关系。子命名空间中的进程 ID 从 1 开始，通常由 init 进程占用，而在父命名空间中，这些进程会被分配不同的 PID。

PID 命名空间的实现机制

数据结构

内核中使用 struct pid_namespace 结构体表示 PID 命名空间，定义在相关头文件中。该结构体包含命名空间的 ID、引用计数、父命名空间指针等信息。进程的 task_struct 结构体中包含指向其所属 PID 命名空间的指针，通过该指针可以访问进程所在的命名空间及相关信息。

创建与管理

创建新的 PID 命名空间通常通过 clone() 系统调用，并指定 CLONE_NEWPID 标志。内核在处理该标志时，会创建新的 pid_namespace 结构体，并将新进程加入到该命名空间中。

以下是一个简单的示例，展示如何使用 clone() 创建新的 PID 命名空间：

#define _GNU_SOURCE
#include <sched.h>
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/wait.h>

int child_func(void *arg) {
    printf("Child PID in new namespace: %d\n", getpid());
    sleep(30); // 保持进程运行，便于观察
    return 0;
}

int main() {
    char *stack = malloc(1024 * 1024);
    if (!stack) {
        perror("malloc");
        exit(1);
    }

    pid_t pid = clone(child_func, stack + 1024 * 1024, CLONE_NEWPID | SIGCHLD, NULL);
    if (pid == -1) {
        perror("clone");
        exit(1);
    }

    printf("Parent PID: %d, Child PID in parent namespace: %d\n", getpid(), pid);
    waitpid(pid, NULL, 0);
    free(stack);
    return 0;
}

在上述代码中，clone() 调用创建了一个新的 PID 命名空间，子进程在新命名空间中的 PID 为 1，而在父命名空间中 PID 为实际分配的值。

进程 ID 的映射

内核通过 pid 结构体实现不同命名空间中 PID 的映射。每个进程有一个全局唯一的 struct upid，包含该进程在特定命名空间中的 PID 和命名空间指针。通过遍历命名空间层级，内核可以实现 PID 在不同命名空间之间的转换。

PID 命名空间的应用场景

容器技术

PID 命名空间是容器技术（如 Docker、LXC）的核心特性之一。它使得每个容器拥有独立的进程 ID 空间，容器内的进程无法感知宿主机及其他容器的进程，增强了容器的隔离性和安全性。例如，Docker 容器内的 init 进程 PID 为 1，负责管理容器内的其他进程。

系统虚拟化

在系统虚拟化场景中，PID 命名空间可以用于隔离不同虚拟机或虚拟环境的进程 ID，避免 PID 冲突，简化进程管理。

进程隔离与沙箱

PID 命名空间可用于创建隔离的执行环境，限制进程对系统其他部分的可见性，提高系统安全性。例如，沙箱环境可以使用 PID 命名空间隔离不受信任的应用程序，防止其干扰系统其他进程。

查看与管理 PID 命名空间

在 Linux 系统中，可以通过 /proc 文件系统查看进程所属的命名空间。每个进程的命名空间信息位于 /proc/[pid]/ns 目录下，其中 pid 文件指向该进程的 PID 命名空间。

例如，查看进程 1234 的 PID 命名空间：

ls -l /proc/1234/ns/pid

可以通过 unshare 命令创建新的 PID 命名空间并在其中运行命令：

unshare --pid --fork --mount-proc /bin/bash

上述命令创建一个新的 PID 命名空间，并在其中启动 bash shell。在该 shell 中，ps 命令将只显示该命名空间内的进程。

总结

PID 命名空间是 Linux 内核提供的重要隔离机制，通过创建独立的进程 ID 空间，实现了进程的隔离与 PID 映射。它在容器技术、虚拟化和进程隔离等场景中发挥着关键作用，是构建安全、隔离的计算环境的基础。

理解 PID 命名空间的工作原理，有助于更好地利用 Linux 内核特性进行系统设计和应用开发。如需深入了解 Linux 内核其他机制，可参考 README.md 及相关模块文档，如 Cgroups、进程管理 等。

通过合理使用 PID 命名空间，可以显著提升系统的隔离性、安全性和可管理性，为容器化、虚拟化等技术提供坚实的内核支持。

【免费下载链接】linux-insides-zh Linux 内核揭秘 项目地址: https://gitcode.com/gh_mirrors/lin/linux-insides-zh