docker底层之namespace

鉴于docker底层和lxc底层相同，这里整理下研究lxc时对于namespace的研究。

在其他虚拟化的系统中，一台物理计算机可以运行多个内核，可能是并行的多个不同的操作系统。而容器只使用一个内核在一台物理计算机上运行，通过命名空间隔离资源来虚拟os运行环境，但核心的底层服务则由一个kernel完成。与应用相关的全局资源都通过命名空间抽象起来，使得可以将一组进程放置到容器中，各个容器彼此隔离。隔离可以使容器的成员与其他容器毫无关系。但也可以通过允许容器进行一定的共享，来降低容器之间的分隔。例如，容器可以设置为使用自身的PID集合，但仍然与其他容器共享部分文件系统。本质上，命名空间建立了系统的不同视图。此前的每一项全局资源都必须包装到容器数据结构中，只有资源和包含资源的命名空间构成的二元组仍然是全局唯一的。虽然在给定容器内部资源是自足的，但无法提供在容器外部具有唯一性的ID。
新的命名空间可以用下面两种方法创建。
 在用fork或clone系统调用创建新进程时，有特定的选项可以控制是与父进程共享命名空间，还是建立新的命名空间。该选项就是一些标志位，每个命名空间都有一个对应的标志：
#define CLONE_NEWUTS 0x04000000 /* 创建新的utsname组 */ 
#define CLONE_NEWIPC 0x08000000 /* 创建新的IPC命名空间 */ 
#define CLONE_NEWUSER 0x10000000 /* 创建新的用户命名空间 */ 
#define CLONE_NEWPID 0x20000000 /* 创建新的PID命名空间 */ 
#define CLONE_NEWNET 0x40000000 /* 创建新的网络命名空间 */ 
 unshare系统调用将进程的某些部分从父进程分离，其中也包括命名空间。
命名空间的实现需要两个部分：每个子系统的命名空间结构，将此前所有的全局组件包装到命名空间中；将给定进程关联到所属各个命名空间的机制。structnsproxy用于汇集指向特定于子系统的命名空间包装器的指针：
 UTS命名空间包含了运行内核的名称、版本、底层体系结构类型等信息。
 IPC命名空间包含了与进程间通信有关的信息。
 MNT命名空间包含了文件系统的视图。
 PID命名空间包含了有关进程ID的信息。
 USER命名空间包含了用于限制每个用户资源使用的信息，最近的更新包含了容器权限控制的实现部分。
 NET命名空间包含所有网络相关的参数。目前只是部分还不够完善。
下面分别说明下各个命名空间。
 
<div>
1.1.1. PID命名空间
</div>
Linux用ID来管理进程，常用的有PID，但每个进程除了PID之外，还有其他的ID。共有四种ID定义在pid_type中。PIDTYPE_MAX表示ID类型的数目：
<div style="background:#BFBFBF">
enum pid_type 
{ 
 PIDTYPE_PID, 
 PIDTYPE_PGID, 
 PIDTYPE_SID, 
 PIDTYPE_MAX 
}; 
</div>
处于某个线程组中的所有进程都有统一的线程组ID（TGID）。如果进程没有使用线程，则其PID和TGID相同。
线程组中的主进程被称作组长（group leader）。通过clone创建的所有线程的task_struct的group_leader成员，会指向组长的task_struct实例。
独立进程可以合并成进程组，进程组成员的task_struct的pgrp属性值都是相同的，即进程组组长的 PID。进程组简化了向组的所有成员发送信号的操作。
几个进程组可以合并成一个会话。会话中的所有进程都有同样的会话ID，保存在task_struct的session成员中。SID可以使用 setsid系统调用设置。终端中运行的程序一般具有相同的SID。
PID命名空间可以是多层嵌套，一个命名空间是父命名空间，衍生了两个子命名空间。如果每个容器都配置了新的命名空间，如果容器为系统级容器，每个容器都