创建和使用 Linux 命名空间的问题

Question

我正在命名空间上制作一个 go 库包装器。 .net ns、ips ns 和 uts ns 没有问题，但其他的有问题：

用户名：

• 尝试创建时，出现“无效参数”（系统调用错误）。

MntNS：

• mnt ns 正在创建，但不起作用，我使用 mount proc 检查过。

进程：

• proc ns 也已创建，但显示主机进程，挂载不起作用。

时间NS：

• time ns 没有创建错误“太多用户”（系统调用错误）。

创建命名空间代码：

func NewNamespace(NSs []string) (*Namespace, error) {
    var flag int = 0
    for _, ns := range NSs {
        if val, ok := CloneFlags[ns]; ok == true {
            flag = flag | val
            continue
        }
        return nil, errors.New("unsupported ns " + ns)
    }
    if err := unix.Unshare(flag); err != nil {
        return nil, err
    }
    return GetCurrent()
}

获取当前 NS 代码：

func GetCurrent() (*Namespace, error) {
    return GetFromThread(os.Getpid(), unix.Gettid())
}

func GetFromThread(pid, tid int) (*Namespace, error) {
    ns := newNamespace()
    for _, n := range NSs {
        if entry, ok := ns.ns[n]; ok {
            entry.path = fmt.Sprintf("/proc/%d/task/%d/ns/%s", pid, tid, n)
            fd, err := OpenNS(entry.path)
            if err != nil {
                return nil, err
            }
            entry.fd = fd
            ns.ns[n] = entry
        }
    }
    return ns, nil
}

设置 NS 代码：

func SetNamespace(ns *Namespace, NSs []string) error {
    for _, n := range NSs {
        if entry, ok := ns.ns[n]; ok {
            entry.share = true

            ns.ns[n] = entry
        }
    }
    for key, val := range ns.ns {
        if !val.share {
            continue
        }
        fmt.Printf("Preparing %s...\n", key)
        err := unix.Setns(val.fd, CloneFlags[key])
        if err != nil {
            return err
        }
        fmt.Printf("Set %s\n", key)
    }
    return nil
}

挂载过程代码：

func mountProc() error {
    if err := syscall.Mount("proc", "/proc", "proc", 0, ""); err != nil {
        return err
    }
    return nil
}

标志：

const (
    CLONE_NEWUTS    = unix.CLONE_NEWUTS //Work
    CLONE_NEWNS     = unix.CLONE_NEWNS
    CLONE_NEWCGROUP = unix.CLONE_NEWCGROUP
    CLONE_NEWTIME   = unix.CLONE_NEWTIME
    CLONE_NEWIPC    = unix.CLONE_NEWIPC //Work
    CLONE_NEWUSER   = unix.CLONE_NEWUSER
    CLONE_NEWPID    = unix.CLONE_NEWPID
    CLONE_NEWNET    = unix.CLONE_NEWNET //Work
    CLONE_IO        = unix.CLONE_IO
)

我想我遗漏了一些东西，但我不知道是什么，也许需要 ns 的组合。

Answer 1

用户名：

• 尝试创建时，出现“无效参数”（系统调用错误）。

根据man 2 unshare ，“ CLONE_NEWUSER要求调用进程不是线程化的”，但是您的进程是线程化的，正如您可以通过 strace output 中带有CLONE_THREAD的clone系统调用来判断的那样。

MntNS：

• mnt ns 正在创建，但不起作用，我使用 mount proc 检查过。

我不知道你检查了什么，但我猜你遇到了什么之后您需要立即做的第一件事就是将其改回。 看看在创建挂载命名空间后立即执行类似syscall.Mount("none", "/", nil, syscall.MS_REC | syscall.MS_PRIVATE, "")操作是否有帮助。

进程：

• proc ns 也已创建，但显示主机进程，挂载不起作用。

我假设你的意思是 PID 命名空间，因为没有 proc 命名空间这样的东西。 这一次，我可以想到两个可能出错的原因。 首先，再次根据man 2 unshare ，“调用进程为其子进程有一个新的 PID 命名空间”和“调用进程未移入新的命名空间。” 因此，这不会影响您的流程，并且要使其执行任何操作，您需要启动一个子流程。 其次，根据man 7 pid_namespaces ，您需要从 PID 命名空间内挂载 proc 文件系统的新实例，以查看其中的 PID。

时间NS：

• time ns 没有创建错误“太多用户”（系统调用错误）。

看起来这是正在创建，只是未能设置。 很难找到明确说明这一点的文档，但通过阅读 kernel 源代码，它看起来与用户命名空间一样，您不能在多线程进程上设置时间命名空间，但与 PID 命名空间一样，如果您生成子进程，它应该有它设置。