Mount Namespace
Podstawowe informacje
Przestrzeń nazw montowania to funkcja jądra Linux, która zapewnia izolację punktów montowania systemu plików widzianych przez grupę procesów. Każda przestrzeń nazw montowania ma swoje własne punkty montowania systemu plików, a zmiany w punktach montowania w jednej przestrzeni nazw nie wpływają na inne przestrzenie nazw. Oznacza to, że procesy działające w różnych przestrzeniach nazw montowania mogą mieć różne widoki hierarchii systemu plików.
Przestrzenie nazw montowania są szczególnie przydatne w konteneryzacji, gdzie każdy kontener powinien mieć własny system plików i konfigurację, odizolowany od innych kontenerów i systemu hosta.
Jak to działa:
Po utworzeniu nowej przestrzeni nazw montowania jest ona inicjalizowana kopią punktów montowania z przestrzeni nazw rodzica. Oznacza to, że przy tworzeniu nowej przestrzeni nazw nowa przestrzeń udostępnia ten sam widok systemu plików co przestrzeń rodzica. Jednak wszelkie późniejsze zmiany w punktach montowania wewnątrz przestrzeni nazw nie wpływają na przestrzeń rodzica ani inne przestrzenie nazw.
Gdy proces modyfikuje punkt montowania w swojej przestrzeni nazw, na przykład montuje lub odmontowuje system plików, zmiana jest lokalna dla tej przestrzeni nazw i nie wpływa na inne przestrzenie nazw. Pozwala to każdej przestrzeni nazw mieć niezależną hierarchię systemu plików.
Procesy mogą przenosić się między przestrzeniami nazw za pomocą wywołania systemowego
setns()
, lub tworzyć nowe przestrzenie nazw za pomocą wywołań systemowychunshare()
lubclone()
z flagąCLONE_NEWNS
. Gdy proces przenosi się do nowej przestrzeni nazw lub ją tworzy, zaczyna korzystać z punktów montowania powiązanych z tą przestrzenią nazw.Deskryptory plików i i-węzły są udostępniane między przestrzeniami nazw, co oznacza, że jeśli proces w jednej przestrzeni nazw ma otwarty deskryptor pliku wskazujący na plik, może przekazać ten deskryptor pliku do procesu w innej przestrzeni nazw, i oba procesy będą miały dostęp do tego samego pliku. Jednak ścieżka do pliku może być różna w obu przestrzeniach nazw ze względu na różnice w punktach montowania.
Laboratorium:
Utwórz różne przestrzenie nazw
CLI
Montując nową instancję systemu plików /proc
przy użyciu parametru --mount-proc
, zapewniasz, że nowa przestrzeń montowania ma dokładny i izolowany widok informacji o procesach specyficznych dla tej przestrzeni.
Docker
Sprawdź, w jakim przestrzeni nazw znajduje się Twój proces
Aby sprawdzić, w jakiej przestrzeni nazw znajduje się Twój proces, wykonaj poniższą komendę:
Zwrócone zostaną linki symboliczne do różnych przestrzeni nazw, w których działa Twój proces. Przestrzeń nazw montażu będzie oznaczona jako mnt
.
Znajdź wszystkie przestrzenie nazw montowania
```bash nsenter -m TARGET_PID --pid /bin/bash ``` Dodatkowo, możesz **wejść do innego przestrzeni nazw procesu tylko jeśli jesteś rootem**. I **nie możesz** **wejść** do innej przestrzeni nazw bez deskryptora wskazującego na nią (takiego jak `/proc/self/ns/mnt`).
Ponieważ nowe montowania są dostępne tylko w obrębie przestrzeni nazw, możliwe jest, że przestrzeń nazw zawiera poufne informacje, które są dostępne tylko z niej.
Zamontuj coś
Odwołania
Last updated