Docker底层原理浅析 | namespace+cgroups+文件系统

1. Linux Namespace

Linux系统里是否只能有一个pid为1的进程？

先来考虑个问题，linux中pid为1的进程就是init进程，也就是系统的创始进程，如果创建了新的进程，那么这个pid就会向上增长。比如下面这张图的结构示意。

但是这样理解是不全面的，因为linux中有一个namespace机制，所以这个时候架构变成了四层。不同namespace中的进程列表是独立的，每个namespace中的pid都是从1开始的。

所以有namespace时候，应该讨论的是某某namespace中pid为1的进程。

在一般情况下正常使用linux的时候，一般都会说pid为1的进程，这个时候的pid为1的进程是在一个默认的namespace下的。

namespace机制

namespace机制提供一种资源隔离和虚拟化特性，基于这些特性，PID、IPC、Network等系统资源不再是全局性的，而是某个特定的namespace下面，每个namespace下面的资源对于其他的namespace是不可见的。因此操作系统的角度来看，就会有多个pid进程。但是从用户的角度来看，只能看到属于自己的namespace下的资源，这个时候使用ps命令只能列出自己namespace下的进程。这样每个namespace看上去就像一个单独的linux系统。

k8s底层用了docker技术、docker底层又使用了namespace机制，来实现docker和docker之间的隔离。

namespace有7种类型，分别是下面7种。

UTS表示是主机名和域名，所以在系统里面，启动docker之后，每个docker都有一个独立的hostname，说明docker之间、docker和主机之间的UTS是隔离的。也就是属于不同namespace的。

PID是进程编号，也就是上面提到的pid是独立的，都可以有pid为1的进程。

network类型的namespace导致网络、端口这些是独立的。

7种类型的namespace描述的都是系统资源，有了namespace，这些系统资源就不是