【云原生进阶之容器】第五章容器运行时5.3.2--runC原理解读

已于 2023-05-10 23:27:41 修改
阅读量577 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 云原生进阶系列之容器核心技术专栏 文章标签： kubernetes 架构 docker 云原生 runC
于 2023-04-02 18:30:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/junbaozi/article/details/129173003
本文详细解读了runC的实现原理，包括代码结构、runc create命令的执行流程、Container和Factory接口，以及startContainer、createContainer等关键方法。runC是一个Go语言实现的容器运行时，遵循OCI标准，用于启动和管理容器。在Linux上，runC利用namespace和capability等技术创建独立的运行环境。文章通过分析源码，揭示了runC如何从命令行输入创建并启动容器的过程。

1 runC 实现

runC可以启动并管理符合OCI标准的容器。简单地说，runC需要利用OCI bundle创建一个独立的运行环境，并执行指定的程序。在Linux平台上，这个环

了解本专栏 订阅专栏 解锁全文 超级会员免费看
【云原生进阶之容器】第五章容器运行时5.3.1--runC简介与使用
junbaozi的专栏
04-01 960
随着容器技术发展的愈发火热，Linux基金会于2015年6月成立OCI（Open Container Initiative）组织，旨在围绕容器格式和运行时制定一个开放的工业化标准。该组织一成立便得到了包括谷歌、微软、亚马逊、华为等一系列云计算厂商的支持。而runC就是Docker贡献出来的，按照该开放容器格式标准（OCF, Open Container Format）制定的一种具体实现。
【云原生进阶之容器】第五章容器运行时5.7--容器逃逸原理
junbaozi的专栏
04-11 1004
容器逃逸，是指“流氓”容器尝试突破正常隔离环境限制，借助一些手段获得容器所在的直接宿主机、宿主机上的其他容器或集群内其他主机、其他容器的某种权限下的命令执行能力，进行恶意攻击或执行越权访问的行为。容器逃逸漏洞可能打穿容器节点，甚至整个集群。
runc原理概述
qq_33339479的博客
12-24 4712
runc runc作为容器的运行时，现在作为独立的项目来进行发展，runc提供一套简单的容器运行环境，包括进程的命名空间、cgroups和文件系统权限等管理的功能，runc是基于oci标准的产物，可以让大家都通过统一的接口来进行运行时的操作。其本质的管理工作也是最主要的几个重要的函数clone，unshare和setns等重要的操作函数。 runc原理流程 runc作为运行时，即在提供了挂载目录、运行权限等运行参数的情况下将容器启动运行，真正的作为一个运行管理的工具使用，一些例如镜像、日志配置等待交互清理功
DockOne技术分享（二十八）： OCI标准和runC原理解读
xiaomin1991222的专栏
04-05 1052
在过去两年中随着互联网和容器技术的发展，几乎主要的所有的IT供应商和云服务提供商都开始采用以容器技术为基础的解决方案，与容器相关的组织也如雨后春笋般增长。于是为了确保容器的可迁移性，容器格式和运行时标准的建立就显得尤为重要。所以，Linux基金会于2015年6月成立OCI（Open Container Initiative）组织，旨在围绕容器格式和运行时制定一个开放的工业化标准。该组织一成立便得...
【云原生进阶之容器】第五章容器运行时5.8--容器热迁移
junbaozi的专栏
04-12 897
容器使用 CRIU （Checkpoint Restore in Userspace）技术进行容器的迁移，它是一个 Linux 软件工具，使用此工具，可以冻结正在运行的应用程序，并将其导出为磁盘上的文件集合。然后，可以使用这些文件来恢复应用程序，恢复之后程序和被冻结的时候状态一致。使用 Checkpoint 和 Restore 功能，将进程组（传统容器从本质上来讲就是系统中的一个或者一组进程）冻结与恢复。
【云原生进阶之容器】第五章容器运行时5.5--容器运行时之Kata Containers
junbaozi的专栏
04-04 897
Kata Containers是一个新的开源项目，它提供了与虚拟机工作负载隔离的Linux容器的速度和性能。它被设计为与OCI镜像兼容的体系结构，并与Kubernetes的容器运行时接口(CRI)兼容。Kata Containers托管在Apache 2许可下的Github上，并由OpenStack基金会管理。Kata Container项目是两个现有的开源项目合并——Intel Clear Containers和Hyper runV。
【云原生进阶之容器】第五章容器运行时5.6--容器运行时之gVisor
junbaozi的专栏
04-05 585
gVisor是一款新型容器沙箱解决方案，其能够为容器提供安全的隔离措施，同时继续保持远优于虚拟机的轻量化特性。gVisor能够与Docker及Kubernetes实现集成，从而在生产环境中更轻松地建立起沙箱化容器系统。
【云原生进阶之容器】第五章容器运行时5.2节--容器运行时接口规范CRI
junbaozi的专栏
04-01 633
在 CRI 出现之前，Docker 作为第一个容器运行时，Kubelet 通过内嵌的 dockershim 操作 Docker API 来操作容器，进而达到一个面向终态的效果。在这之后，又出现了一种新的容器运行时rkt与hyber.sh。于是便有了将容器运行时的操作抽象出一个接口，将 Kubelet 代码与具体的容器运行时的实现代码解耦开，这就是Container Runtime Interface (CRI)。
算力自由：用K8s和Ollama打造你的专属AI基础设施
本人任职于安超云技术架构部，拥有十余年云计算与AI经验。专注AI基础设施、分布式集群、高可用架构、虚拟化、存储、网络及数据库等领域。博客内容以学习笔记为主，力求准确，但个人能力所限，难免疏误。非常欢迎交流指正，期待与您共同探讨技术
12-05 755
本文详细介绍了在Ubuntu系统上安装NVIDIA显卡驱动、Kubernetes/KubeSphere集群以及GPU Operator的完整流程。主要内容包括：1) 环境准备步骤，如删除旧驱动、禁用开源驱动；2) 通过官方驱动安装及验证方法；3) 使用KubeKey工具部署Kubernetes(1.28.12/1.30.10)和KubeSphere(3.4.1/4.1.3)集群；4) GPU Operator安装前提条件检查及代理配置。文章提供了详细的命令行操作指南和版本兼容性说明，适用于需要在Kubern
K8S-daemonset控制器
Empty_777的博客
12-03 531
摘要：DaemonSet是Kubernetes控制器，确保集群每个节点运行指定Pod副本，适用于存储、日志收集和监控等场景。与Deployment不同，它每个节点只运行一个副本。资源清单文件包含apiVersion、kind、metadata和spec等字段，spec定义模板、更新策略等。案例展示如何创建运行nginx的DaemonSet，通过selector匹配Pod标签，template定义Pod配置。DaemonSet自动管理Pod生命周期，随节点增减而调整。
云原生 APM 实战：Prometheus Operator+K8s 构建容器化微服务监控体系
m0_72256543的博客
12-04 623
进入 Grafana → Dashboards → New dashboard → Add visualization；配置关联图表：图表 1：订单服务 Pod CPU 使用率与接口响应时间（双 Y 轴图）左 Y 轴（蓝色）：Pod CPU 使用率（指标：sum(rate(container_cpu_usage_seconds_total{namespace="order-namespace",pod=~"order-service-.*"}[5m])) by (pod)）；
k8s 启动 postgresql 数据库
Freesia_2350的博客
12-03 371
k8s 启动 postgresql 数据库
k8s——日志采集方案
m0_68754495的博客
12-02 949
本文介绍了Kubernetes环境下日志收集的两种主要方案：传统EFK架构和K8s专用架构。EFK方案包含Elasticsearch（存储）、Kibana（展示）和Filebeat（采集）三个组件，详细说明了各组件安装配置方法。K8s方案则针对容器日志特点，介绍了节点级日志代理、边车容器和应用直接暴露三种采集方式，并提供了Helm安装Elasticsearch、Kibana和Filebeat的具体步骤。文章还包含集群状态检查、索引模式创建等实用操作指南，特别强调了在K8s中应将日志输出到stdout/std
K8S-Ingress资源对象
2501_92914059的博客
12-05 743
本文介绍了Kubernetes中Service对外暴露服务的两种主要方式(NodePort和LoadBalancer)及其局限性，重点讲解了Ingress作为更优解决方案的实现原理。文章详细演示了如何搭建Ingress环境，包括部署Ingress控制器、创建后端服务Pod，并分别验证了NodePort和LoadBalancer两种模式下的Ingress配置。通过案例展示了Ingress如何基于域名和路径规则将请求路由到不同Service，实现七层负载均衡功能。
K8s 认证级别怎么选？适配不同运维场景
噗老师带你打代码
12-05 319
主流K8s认证为CNCF体系的CKA、CKAD、CKS，适配不同运维场景与人群。CKA适合运维新人，CKAD适配互联网业务运维，CKS针对金融/政企核心安全运维，选择关键是匹配自身场景与背景。
Rockylinux急速安装K8s学习环境
最新发布
会飞的小蛮猪博客
12-05 154
目前在学习k8s，为了更快的了解k8s的各项功能，先使用RockyLinux快速搭建了一个实验环境，使用了1主2从的结构，这里分享一下，k8s小白大佬别喷！
K8s 1.28.2 + Containerd + CentOS7.9 集群部署
需要远程指导仿真实验、代码有问题的，请后台私信。
12-02 977
本文以“1 Master + 2 Node”架构为蓝图，手把手演示如何在 CentOS 7.9 上基于 containerd 部署 Kubernetes 1.28.2 高可用集群
k8s 本地动态存储 Local Path Provisioner 部署
Freesia_2350的博客
12-03 234
本地动态存储资源创建
K8s 通过 Nginx Ingress 配置白名单IP访问限制
小单的博客专栏
12-01 977
Ingress是Kubernetes中的一个API对象，用于管理外部访问集群内服务的路由规则，通常通过HTTP/HTTPS协议。Ingress可以提供负载均衡、SSL终结和基于名称的虚拟主机等功能。当客户端请求经过代理或负载均衡器时，需要配置自定义Header来获取真实客户端IP。通过Nginx Ingress Controller配置IP白名单是在Kubernetes中实现访问控制的有效方法。使用注解可以灵活地控制访问权限，该注解会转换为底层的Nginx allow/deny指令来实现访问控制。
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

江中散人

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值