笔记 | 用go写个docker

2024-06-13 11:52
文章标签 go docker 笔记 写个

本文主要是介绍笔记 | 用go写个docker，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

仅作为自己学习过程的记录，不具备参考价值

前言

看到一段非常有意思的话：

很多人刚接触docker的时候就会感觉非常神奇，感觉这个技术非常新颖，其实并不然，docker使用到的技术都是之前已经存在过的，只不过旧酒换了新瓶罢了。简单来说docker本质其实是一个特殊的进程，这个进程特殊在它被Namespace和Cgroup技术做了装饰，Namespace将该进程与Linux系统进行隔离开来，让该进程处于一个虚拟的沙盒中，而Cgroup则对该进程做了一系列的资源限制，两者配合模拟出来一个沙盒的环境。

本文的学习地址/参考文档：

  • 从零自制docker
  • manpages.ubuntu.com
  • github
  • segmentfault.com
  • juejin.im
  • 地鼠文档
感谢大佬的写作，受益良多。自认一介尘民做喜欢且能安身立命之本乃人生一大幸事
本文只是对照其进行的拙劣模仿 以及自己半猜测式的研究记录。如有疑问 欢迎指出，感谢

clone系统调用

  • CLONE_NEWPID:
当程序代码调用clone时，设定了CLONE_NEWPID，就会创建一个新的PID Namespace，clone出来的新进程将成为Namespace里的第一个进程。一个PID Namespace为进程提供了一个独立的PID环境，PID Namespace内的PID将从1开始，在Namespace内调用fork，vfork或clone都将产生一个在该Namespace内独立的PID。新创建的Namespace里的第一个进程在该Namespace内的PID将为1，就像一个独立的系统里的init进程一样。该Namespace内的孤儿进程都将以该进程为父进程，当该进程被结束时，该Namespace内所有的进程都会被结束。PID Namespace是层次性，新创建的Namespace将会是创建该Namespace的进程属于的Namespace的子Namespace。子Namespace中的进程对于父Namespace是可见的，一个进程将拥有不止一个PID，而是在所在的Namespace以及所有直系祖先Namespace中都将有一个PID。系统启动时，内核将创建一个默认的PID Namespace，该Namespace是所有以后创建的Namespace的祖先，因此系统所有的进程在该Namespace都是可见的。
  • CLONE_NEWIPC:
当调用clone时，设定了CLONE_NEWIPC，就会创建一个新的IPC Namespace，clone出来的进程将成为Namespace里的第一个进程。一个IPC Namespace有一组System V IPC objects 标识符构成，这标识符有IPC相关的系统调用创建。在一个IPC Namespace里面创建的IPC object对该Namespace内的所有进程可见，但是对其他Namespace不可见，这样就使得不同Namespace之间的进程不能直接通信，就像是在不同的系统里一样。当一个IPC Namespace被销毁，该Namespace内的所有IPC object会被内核自动销毁。
  • PID Namespace和IPC Namespace:
PID Namespace和IPC Namespace可以组合起来一起使用，只需在调用clone时，同时指定CLONE_NEWPID和CLONE_NEWIPC，这样新创建的Namespace既是一个独立的PID空间又是一个独立的IPC空间。不同Namespace的进程彼此不可见，也不能互相通信，这样就实现了进程间的隔离。
  • CLONE_NEWNS:
当调用clone时，设定了CLONE_NEWNS，就会创建一个新的mount Namespace。每个进程都存在于一个mount Namespace里面，mount Namespace为进程提供了一个文件层次视图。如果不设定这个flag，子进程和父进程将共享一个mount Namespace，其后子进程调用mount或umount将会影响到所有该Namespace内的进程。如果子进程在一个独立的mount Namespace里面，就可以调用mount或umount建立一份新的文件层次视图。该flag配合pivot_root系统调用，可以为进程创建一个独立的目录空间。
  • CLONE_NEWNET:
当调用clone时，设定了CLONE_NEWNET，就会创建一个新的Network Namespace。一个Network Namespace为进程提供了一个完全独立的网络协议栈的视图。包括网络设备接口，IPv4和IPv6协议栈，IP路由表，防火墙规则，sockets等等。一个Network Namespace提供了一份独立的网络环境，就跟一个独立的系统一样。一个物理设备只能存在于一个Network Namespace中，可以从一个Namespace移动另一个Namespace中。虚拟网络设备(virtual network device)提供了一种类似管道的抽象，可以在不同的Namespace之间建立隧道。利用虚拟化网络设备，可以建立到其他Namespace中的物理设备的桥接。当一个Network Namespace被销毁时，物理设备会被自动移回init Network Namespace，即系统最开始的Namespace。
  • CLONE_NEWUTS:
当调用clone时，设定了CLONE_NEWUTS，就会创建一个新的UTS Namespace。一个UTS Namespace就是一组被uname返回的标识符。新的UTS Namespace中的标识符通过复制调用进程所属的Namespace的标识符来初始化。Clone出来的进程可以通过相关系统调用改变这些标识符，比如调用sethostname来改变该Namespace的hostname。这一改变对该Namespace内的所有进程可见。CLONE_NEWUTS和CLONE_NEWNET一起使用，可以虚拟出一个有独立主机名和网络空间的环境，就跟网络上一台独立的主机一样。
  • 集合
以上所有clone flag都可以一起使用，为进程提供了一个独立的运行环境。LXC正是通过在clone时设定这些flag，为进程创建一个有独立PID，IPC，FS，Network，UTS空间的container。一个container就是一个虚拟的运行环境，对container里的进程是透明的，它会以为自己是直接在一个系统上运行的。

代码环境配置

因为我是在Windows里面写代码，然后进行交叉编译到Linux，所以这里要更改下环境，因为在不同的环境中，go导入的文件也是不同，如果我们的环境使用的Windows，那么使用os/exec包时，导入的将是 exec_windows.go，而如果我们的环境是Linux，那么将会导入exec_linux.go文件，因为只有Linux才会给创建进程时提供这个隔离参数，所以我们需要把环境改成Linux。
GoLand配置

进程隔离

Namespace隔离

package mainimport ("log""os""os/exec""syscall"
)func main() {cmd := exec.Command("sh")// 设置新的Namespacecmd.SysProcAttr = &syscall.SysProcAttr{//设置了系统调用的属性，特别是Cloneflags，它指定了新进程将使用哪些Namespace。//syscall.CLONE_NEWNS隔离了挂载点//syscall.CLONE_NEWUTS隔离了主机名和域名//syscall.CLONE_NEWPID隔离了进程ID//syscall.CLONE_NEWNET隔离了网络Cloneflags: syscall.CLONE_NEWNS |syscall.CLONE_NEWUSER |syscall.CLONE_NEWIPC |syscall.CLONE_NEWUTS |syscall.CLONE_NEWPID |syscall.CLONE_NEWNET,}//将新命令的输入、输出和错误输出重定向到当前进程的对应文件描述符cmd.Stdin = os.Stdincmd.Stdout = os.Stdoutcmd.Stderr = os.Stderrif err := cmd.Run(); err != nil {log.Fatal(err)}
}

构建过程不多赘述，直接丢到ubuntu上测试一下：

SET CGO_ENABLED=0
SET GOOS=linux
SET GOARCH=amd64
go build -o main

效果如下，外部的主机名并没有被改变，说明我们的go进程成功讲自身的hostname与外部hostname进行了隔离。
命名空间隔离运行效果

设置容器的UID和GID

在Linux系统中，每个进程都与特定的用户ID（UID）和组ID（GID）关联，这些ID决定了进程对文件、设备和系统资源的访问权限。在传统的Linux系统中，这些ID是全局的，意味着系统中的每个UID和GID在任何时候都指向相同的用户或用户组。

随着容器技术的发展，出现了一种对这些ID进行隔离的需求，以便在容器环境中提供安全性和多租户隔离。用户命名空间（User Namespaces）是Linux内核的一个特性，使这种隔离成为可能。

当你创建一个新的用户命名空间时，可以定义一个UID和GID的映射，这个映射告诉内核如何将命名空间内的ID转换为命名空间外的主机系统ID。这样，即使是容器内部以root身份运行的进程，在宿主机中也可以被限制为非特权用户，从而提高了安全性。

UidMappings 和 GidMappings 字段

UidMappings和GidMappings字段是在创建新的用户命名空间时使用的，它们定义了容器内部ID和宿主机ID之间的映射关系。这些字段是syscall.SysProcAttr结构体的一部分，当使用CLONE_NEWUSER标志创建新的用户命名空间时，需要设置这些字段。

举个栗子
UidMappings: []syscall.SysProcIDMap{{ContainerID: 1,HostID:      0,Size:        1,},
},
GidMappings: []syscall.SysProcIDMap{{ContainerID: 1,HostID:      0,Size:        1,},
},

这里的映射定义了以下关系：

  • ContainerID: 1：这是命名空间内部使用的UID/GID。在此例中，我们使用的是编号为1的ID。
  • HostID: 0：这是宿主机上的UID/GID，编号0通常代表root用户/组。
  • Size: 1：这表示映射的范围。大小为1意味着只有一个UID/GID被映射。

在这个映射中，我们说命名空间内部的UID/GID 1对应于宿主机的root用户/组。这意味着，在此用户命名空间中运行的进程，尽管它可能以UID 1执行，但它在命名空间外部（宿主机上）被视为root用户。因此，这个进程在宿主机角度看来有root权限，但是这通常不是我们期望的。通常，我们希望在容器内部拥有较高权限的进程，在宿主机上对应为较低权限的用户，以提供更强的安全隔离。

实践

在实际的容器环境中，通常会将容器内部的root用户（UID 0）映射到宿主机上的一个非特权用户。例如，UID映射可能如下所示：

UidMappings: []syscall.SysProcIDMap{{ContainerID: 0, // 容器内的root用户HostID:      1000, // 宿主机上的非特权用户Size:        1,},
},

在这个例子中，容器内部的root用户（ContainerID: 0）实际上是宿主机上的UID 1000，这通常是一个普通用户。这样，即使容器内部的进程以root身份运行，它也只有宿主机上普通用户的权限，从而限制了它可能造成的安全风险。
在新增用户映射后代码如下：

cmd := exec.Command("sh")cmd.SysProcAttr = &syscall.SysProcAttr{Cloneflags: syscall.CLONE_NEWNS |syscall.CLONE_NEWUSER |syscall.CLONE_NEWIPC |syscall.CLONE_NEWUTS |syscall.CLONE_NEWPID |syscall.CLONE_NEWNET,// 设置容器的UID和GIDUidMappings: []syscall.SysProcIDMap{{ContainerID: 0,HostID: 1000,Size:   1,},},GidMappings: []syscall.SysProcIDMap{{ContainerID: 0,HostID: 1000,Size:   1,},},}

资源限制

cgroups（控制组）是一种内核特性，用于限制、记录和隔离进程组所使用的物理资源（如CPU、内存、磁盘I/O等）。在Go语言中，我们可以通过操作/sys/fs/cgroup下的文件来与cgroups交互。这涉及到文件系统的操作，比如创建目录、写入文件等，这些都可以通过Go标准库中的os包来实现。

基础概念

在开始编写代码之前，我们需要了解cgroups的一些基础概念：

  • Cgroup子系统：cgroups将其功能按资源类型划分为多个子系统，如cpu、memory、blkio等
  • Cgroup层级：每个子系统可以挂载到一个或多个层级，每个层级可以创建多个cgroup
  • Cgroup：每个cgroup代表一组进程，并且每个cgroup都可以设置资源限制或统计

使用Go操作cgroups大致可以分为以下几个步骤：

  • 挂载cgroup子系统：通常在Linux系统启动时，cgroup子系统就已经被挂载。你可以在/sys/fs/cgroup目录下看到各种资源类型的目录
  • 创建cgroup：通过在相应的子系统目录下创建新目录来创建cgroup
  • 添加进程到cgroup：将进程ID写入到cgroup目录的cgroup.procs文件中
  • 设置资源限制：通过修改或写入特定的配置文件（如memory.limit_in_bytes）来设置资源限制
  • 清理：任务完成后，删除cgroup以释放资源
实际在ubuntu上操作一下，首先创建一个挂载点目录：
mkdir CgroupTest
挂载hierarchy：
mount -t cgroup -o none,name=CgroupTest CgroupTest ./CgroupTest/

查看内容：
查看内容

  • cgroup.clone_children：subsystem会读取该文件，如果该文件里面的值为1的话，那么子 cgroup将会继承父cgroup的cpuset配置
  • cgroup.procs：记录当前节点cgroup中的进程组ID
  • task: 标识该cgroup下的进程ID，如果将某个进程的ID写到该文件中，那么便会将该进程加入到当前的cgroup 中
新建子cgroup：

只要在挂载了hierarchy的目录下，新建一个子目录，那么新的子目录会被自动标记为该cgroup的子cgroup
新建子cgroup
这个目录1就是CgroupTest的子cgroup，默认情况下，他会继承父cgroup的配置

通过subsystem 限制cgroup中进程的资源

上述创建的hierarchy并没有关联到任何的subsystem，所以没办法通过上面的hierarchy中的cgroup节点来限制进程的资源占用，其实系统默认已经为每个subsystem创建了一个默认的hierarchy，它在Linux的/sys/fs/cgroup路径下：
/sys/fs/cgroup
如果想限制某个进程ID的内存，那么就在/sys/fs/cgroup/memory目录下创建一个限制mermory的cgroup，只要创建一个文件夹即可，kernel会自动把该文件夹标记为一个cgroup，我们来尝试一下：
内存限制
可以看到该目录下，自动给我们创建出来了很多限制资源文件，我们只要将进程ID写到该文件夹下的task文件中，然后修改名叫meory.limit_in_bytes的文件内容，就能限制该进程的内存使用。
如果在这时你打算删掉这些测试目录，可能会发现：即使你使用了root用户，依旧无法删除/sys/fs/cgroup/memory/下的目录文件：
删除
此时你可以去检查该cgroup的连接：

lsof | grep /sys/fs/cgroup/memory/CgroupTest1

如果查到有连接直接kill掉，然后使用rmdir命令进行删除：

rmdir CgroupTest1/

rmdir删除

Go中使用Cgroup

package mainimport ("fmt""io/ioutil""os""os/exec""path""strconv""syscall"
)const (// 挂载memory subsystem的hierarchy的根目录位置cgroupMemoryHierarchyMount = "/sys/fs/cgroup/memory"
)func main() {if os.Args[0] == "/proc/self/exe" {//容器进程fmt.Printf("current pid %d \n", syscall.Getpid())cmd := exec.Command("sh", "-c", "stress --vm-bytes 200m --vm-keep -m 1")cmd.SysProcAttr = &syscall.SysProcAttr{}cmd.Stdin = os.Stdincmd.Stdout = os.Stdoutcmd.Stderr = os.Stderrif err := cmd.Run(); err != nil {fmt.Printf("Error running stress command: %v\n", err)return}}cmd := exec.Command("/proc/self/exe")cmd.SysProcAttr = &syscall.SysProcAttr{Cloneflags: syscall.CLONE_NEWNS |syscall.CLONE_NEWUSER |syscall.CLONE_NEWIPC |syscall.CLONE_NEWUTS |syscall.CLONE_NEWPID |syscall.CLONE_NEWNET,}if err := cmd.Start(); err != nil {fmt.Printf("Error starting process: %v\n", err)return}// 得到 fork出来进程映射在外部命名空间的pidfmt.Printf("New process PID: %+v\n", cmd.Process.Pid)// 创建子cgroupnewCgroup := path.Join(cgroupMemoryHierarchyMount, "Cgroup-Test")if err := os.Mkdir(newCgroup, 0755); err != nil {fmt.Printf("Error creating cgroup: %v\n", err)return}defer os.RemoveAll(newCgroup)// 将容器进程放到子cgroup中if err := ioutil.WriteFile(path.Join(newCgroup, "tasks"), []byte(strconv.Itoa(cmd.Process.Pid)), 0644); err != nil {fmt.Printf("Error adding process to cgroup: %v\n", err)return}// 限制cgroup的内存使用if err := ioutil.WriteFile(path.Join(newCgroup, "memory.limit_in_bytes"), []byte("100m"), 0644); err != nil {fmt.Printf("Error setting memory limit: %v\n", err)return}
}

未完待续

这篇关于笔记 | 用go写个docker的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1057230。

相关文章

如何用Docker运行Django项目

如何用Docker运行Django项目

本章教程，介绍如何用Docker创建一个Django，并运行能够访问。 一、拉取镜像 这里我们使用python3.11版本的docker镜像 docker pull python:3.11 二、运行容器 这里我们将容器内部的8080端口，映射到宿主机的80端口上。 docker run -itd --name python311 -p
阅读更多...
【学习笔记】 陈强-机器学习-Python-Ch15 人工神经网络（1）sklearn

【学习笔记】 陈强-机器学习-Python-Ch15 人工神经网络（1）sklearn

系列文章目录 监督学习：参数方法 【学习笔记】 陈强-机器学习-Python-Ch4 线性回归 【学习笔记】 陈强-机器学习-Python-Ch5 逻辑回归 【课后题练习】 陈强-机器学习-Python-Ch5 逻辑回归（SAheart.csv） 【学习笔记】 陈强-机器学习-Python-Ch6 多项逻辑回归 【学习笔记 及 课后题练习】 陈强-机器学习-Python-Ch7 判别分析 【学
阅读更多...
系统架构师考试学习笔记第三篇——架构设计高级知识（20）通信系统架构设计理论与实践

系统架构师考试学习笔记第三篇——架构设计高级知识（20）通信系统架构设计理论与实践

本章知识考点：         第20课时主要学习通信系统架构设计的理论和工作中的实践。根据新版考试大纲,本课时知识点会涉及案例分析题(25分),而在历年考试中,案例题对该部分内容的考查并不多,虽在综合知识选择题目中经常考查,但分值也不高。本课时内容侧重于对知识点的记忆和理解,按照以往的出题规律,通信系统架构设计基础知识点多来源于教材内的基础网络设备、网络架构和教材外最新时事热点技术。本课时知识
阅读更多...
Go Playground 在线编程环境

Go Playground 在线编程环境

For all examples in this and the next chapter, we will use Go Playground. Go Playground represents a web service that can run programs written in Go. It can be opened in a web browser using the follow
阅读更多...
论文阅读笔记: Segment Anything

论文阅读笔记: Segment Anything

文章目录 Segment Anything摘要引言任务模型数据引擎数据集负责任的人工智能 Segment Anything Model图像编码器提示编码器mask解码器解决歧义损失和训练 Segment Anything 论文地址: https://arxiv.org/abs/2304.02643 代码地址:https://github.com/facebookresear
阅读更多...
go基础知识归纳总结

go基础知识归纳总结

无缓冲的 channel 和有缓冲的 channel 的区别？ 在 Go 语言中，channel 是用来在 goroutines 之间传递数据的主要机制。它们有两种类型：无缓冲的 channel 和有缓冲的 channel。 无缓冲的 channel 行为：无缓冲的 channel 是一种同步的通信方式，发送和接收必须同时发生。如果一个 goroutine 试图通过无缓冲 channel
阅读更多...
数学建模笔记—— 非线性规划

数学建模笔记—— 非线性规划

数学建模笔记—— 非线性规划 非线性规划1. 模型原理1.1 非线性规划的标准型1.2 非线性规划求解的Matlab函数 2. 典型例题3. matlab代码求解3.1 例1 一个简单示例3.2 例2 选址问题1. 第一问 线性规划2. 第二问 非线性规划 非线性规划 非线性规划是一种求解目标函数或约束条件中有一个或几个非线性函数的最优化问题的方法。运筹学的一个重要分支。2
阅读更多...
【C++学习笔记 20】C++中的智能指针

【C++学习笔记 20】C++中的智能指针

智能指针的功能 在上一篇笔记提到了在栈和堆上创建变量的区别，使用new关键字创建变量时，需要搭配delete关键字销毁变量。而智能指针的作用就是调用new分配内存时，不必自己去调用delete，甚至不用调用new。 智能指针实际上就是对原始指针的包装。 unique_ptr 最简单的智能指针，是一种作用域指针，意思是当指针超出该作用域时，会自动调用delete。它名为unique的原因是这个
阅读更多...
如何确定 Go 语言中 HTTP 连接池的最佳参数？

如何确定 Go 语言中 HTTP 连接池的最佳参数？

确定 Go 语言中 HTTP 连接池的最佳参数可以通过以下几种方式： 一、分析应用场景和需求 并发请求量： 确定应用程序在特定时间段内可能同时发起的 HTTP 请求数量。如果并发请求量很高，需要设置较大的连接池参数以满足需求。例如，对于一个高并发的 Web 服务，可能同时有数百个请求在处理，此时需要较大的连接池大小。可以通过压力测试工具模拟高并发场景，观察系统在不同并发请求下的性能表现，从而
阅读更多...
查看提交历史 —— Git 学习笔记 11

查看提交历史 —— Git 学习笔记 11

查看提交历史 查看提交历史 不带任何选项的git log-p选项--stat 选项--pretty=oneline选项--pretty=format选项git log常用选项列表参考资料 在提交了若干更新，又或者克隆了某个项目之后，你也许想回顾下提交历史。 完成这个任务最简单而又有效的 工具是 git log 命令。 接下来的例子会用一个用于演示的 simplegit
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2