云原生【免费下载链接】mesosApache Mesos项目地址https://gitcode.com/gh_mirrors/mesos2/mesos点击查看免费下载导读namespaces/pid是 Apache Mesos Mesos Containerizer 提供的进程命名空间PID Namespace隔离器它让每个容器拥有独立的 PID 命名空间从而获得进程不可见性与干净终止两大能力。本文以该隔离器的官方文档为核心骨架结合 Mesos 源码pid.cpp、Agent 启动参数flags.cpp、launcher 实现linux_launcher.cpp与测试用例isolator_tests.cpp、nested_mesos_containerizer_tests.cpp讲解其工作原理、启用方式、框架侧配置、嵌套容器语义与安全控制读者读完后可直接在真实 Agent 上启用并验证该隔离器。一、什么是 PID 命名空间隔离器Linux PID 命名空间PID namespace为命名空间内的进程提供了一套独立的进程编号视图命名空间内的第一个进程init 进程的 PID 为 1命名空间外的进程无法直接看见或向命名空间内的进程发送信号反之亦然。在 Mesos Containerizer 中namespaces/pid隔离器的作用正是把每个容器放入独立的 PID 命名空间其收益在官方文档中明确为两点可见性隔离Visibility容器内运行的进程executor 及其子孙进程无法看到命名空间之外的进程也无法向它们发送信号。这既能避免容器内进程误杀宿主机上其他任务也能防止跨容器的进程信息泄露。干净终止Clean terminationPID 命名空间中领头进程leading process一旦终止内核会自动终止命名空间内的所有其他进程。这一内核语义保证了容器销毁时不会残留孤儿进程。从源码实现看该隔离器由NamespacesPidIsolatorProcess承载类定义见 pid.hpp其核心是在容器的prepare阶段向ContainerLaunchInfo追加CLONE_NEWPID克隆标志与/proc挂载信息pid.cpp最终由 Linux Launcher 在执行进程 fork/clone 时落实。二、启用前置条件与方式1. 通过--isolation启用在启动 Agent 时将namespaces/pid追加到--isolation标志即可启用mesos-agent --isolationfilesystem/linux,namespaces/pid官方文档特别强调filesystem/linux隔离器是启用 PID 命名空间隔离器的必要条件。这一约束同样被写在NamespacesPidIsolatorProcess::create()的运行时校验中pid.cpp// Make sure filesystem/linux isolator is used. // NOTE: filesystem/linux isolator will make sure mounts in the // child mount namespace will not be propagated back to the host // mount namespace. if (!strings::contains(flags.isolation, filesystem/linux)) { return Error(filesystem/linux must be used to enable pid namespace); }注释说明了深层原因容器需要独立挂载/proc而filesystem/linux会创建新的挂载命名空间并确保子挂载命名空间内的挂载不会回传propagate到宿主机挂载命名空间从而保证容器内挂载的新/proc不会污染宿主机。2. 其他三条前置校验除了filesystem/linuxcreate()还做了另外三项校验任一不满足都会导致隔离器创建失败校验项失败时的错误信息原因进程需具备 root 权限The pid namespace isolator requires root permissions创建 PID 命名空间属于特权操作内核支持 PID 命名空间Pid namespaces are not supported by this kernel通过ns::supported(CLONE_NEWPID)探测内核能力必须使用 linux launcherlinux launcher must be used to enable pid namespace只有 Linux Launcher 支持在 fork/clone 时为容器克隆 PID 命名空间3. 隔离器注册与 launcher 语义namespaces/pid与namespaces/ipc一样通过容器化器的隔离器工厂注册表注册containerizer.cpp{namespaces/ipc, NamespacesIPCIsolatorProcess::create}, {namespaces/pid, NamespacesPidIsolatorProcess::create},隔离器注册后仅负责声明容器需要哪些命名空间操作真正执行克隆的是 Linux Launcher。在 linux_launcher.cpp 中LinuxLauncherProcess::fork会把隔离器贡献的enterNamespaces与cloneNamespaces合入最终的克隆调用对于嵌套容器先通过ns::clone(target, enterFlags, child, cloneFlags)进入父容器的命名空间再克隆新命名空间linux_launcher.cpp对于顶层容器直接os::clone(child, cloneFlags)携带克隆标志创建子进程linux_launcher.cpp。多个隔离器贡献的 enter/clone 命名空间会在 containerizer.cpp 中合并去重后统一传给 launcher。需要说明的是ns::clone底层通过setns系统调用进入目标命名空间后执行clone见 ns.hpp 中的setns/clone封装这是嵌套容器继承父容器命名空间的关键机制。三、容器销毁语义优先使用 PID 命名空间终止官方文档指出Launcher 在销毁容器时会优先利用 PID 命名空间的领头进程终止即全体终止语义上述收益 2而不是优先使用 freezer cgroup目的是规避在 OOM 条件下冻结freezingcgroup 时已知的内核问题。这一设计在 Linux Launcher 的销毁流程中有直接体现LinuxLauncherProcess::destroy()先检查该容器是否存在嵌套容器存在则拒绝销毁随后销毁其 freezer cgroup 以触发命名空间内进程整体退出linux_launcher.cpp。配合 PID 命名空间后内核保证命名空间内全部进程随领头进程一并终止从而减少对 freezer 冻结机制的依赖提升销毁的可靠性。四、框架侧控制ContainerInfo.linux_info.share_pid_namespace1. 字段定义与语义默认情况下启用该隔离器后每个容器都拥有自己独立的 PID 命名空间。框架可以通过ContainerInfo.linux_info.share_pid_namespace字段显式请求容器与父级共享 PID 命名空间其字段定义在 mesos.proto// If set as true, the container shares the pid namespace with // its parent. If the container is a top level container, it will // share the pid namespace with the agent. If the container is a // nested container, it will share the pid namespace with its // parent container. This field will be ignored if namespaces/pid // isolator is not enabled. optional bool share_pid_namespace 4;字段语义可归纳为一张表场景share_pid_namespacetrueshare_pid_namespacefalse默认顶层容器与Agent宿主机共享 PID 命名空间拥有独立的 PID 命名空间嵌套容器与父容器共享 PID 命名空间拥有独立的 PID 命名空间注意该字段仅在启用namespaces/pid隔离器时才生效未启用时会被忽略。2. 框架侧用法示例以 Python 框架为例构造 MESOS 类型容器并在linux_info中开启共享from mesos.interface import mesos_pb2 container mesos_pb2.ContainerInfo( typemesos_pb2.ContainerInfo.MESOS, linux_infomesos_pb2.LinuxInfo(share_pid_namespaceTrue), )3. 隔离器中的决策逻辑隔离器在prepare()中读取该字段并据此决定追加的命名空间操作pid.cppbool sharePidNamespace containerConfig.container_info().linux_info().share_pid_namespace(); if (containerId.has_parent()) { // 嵌套容器先进入父容器的 PID 命名空间再决定是否克隆新命名空间 launchInfo.add_enter_namespaces(CLONE_NEWPID); ... } else { // 顶层容器若 agent 禁止共享且框架请求共享则直接拒绝启动 if (flags.disallow_sharing_agent_pid_namespace sharePidNamespace) { return Failure(Sharing agent pid namespace with top-level container is not allowed); } } if (!sharePidNamespace) { // 不共享克隆新 PID 命名空间 launchInfo.add_clone_namespaces(CLONE_NEWPID); // 挂载独立 /proc *launchInfo.add_mounts() protobuf::slave::createContainerMount( proc, /proc, proc, MS_NOSUID | MS_NODEV | MS_NOEXEC); }值得注意的实现细节嵌套容器的 enter/clone 组合嵌套容器一律先enter_namespaces(CLONE_NEWPID)进入父容器的 PID 命名空间若还需要独立命名空间则追加CLONE_NEWPID克隆标志形成进入父命名空间后克隆新命名空间的两步操作。嵌套的DEBUG 类容器ContainerClass::DEBUG则直接短路返回不再克隆新命名空间pid.cpp。/proc 挂载对于拥有独立 PID 命名空间的容器必须挂载/proc挂载标志为MS_NOSUID | MS_NODEV | MS_NOEXEC这样容器内ps等工具才能正确显示进程。因为容器内的/proc与宿主机的不是同一个挂载挂载时不会遇到EBUSY。嵌套共享场景的 EBUSY 处理MESOS-9529当嵌套容器与父容器共享 PID 命名空间时若父容器本身与 Agent 共享命名空间则/proc已被挂载直接再挂会得到EBUSY。隔离器的做法是先把/proc下的挂载用MS_MOVE移动到runtime_dir下的宿主 proc 挂载点containerizer::paths::getHostProcMountPointPath再在/proc原位挂载新的 proc 文件系统pid.cpp。五、安全控制--disallow_sharing_agent_pid_namespace从安全角度出发允许容器与 Agent宿主机共享 PID 命名空间意味着容器内进程能够看到宿主机的全部进程这通常是多租户集群不希望出现的情况。因此 Agent 提供了对应的安全开关mesos-agent \ --isolationfilesystem/linux,namespaces/pid \ --disallow_sharing_agent_pid_namespacetrue该标志的官方定义flags.cppIf set totrue, each top-level container will have its own pid namespace, and if the framework requests to share the agent pid namespace for the top level container, the container launch will be rejected. If set tofalse, the top-level containers will share the pid namespace with agent if the framework requests it. This flag will be ignored if thenamespaces/pidisolator is not enabled. (default: false)要点归纳默认值为false顶层容器允许在框架请求时与 Agent 共享 PID 命名空间。设为true后任何请求与 Agent 共享 PID 命名空间的顶层容器启动将被直接拒绝prepare()返回Failure。该标志对嵌套容器无效——嵌套容器是与父容器共享而非与 Agent 共享因此不受此开关限制只有当嵌套链顶端容器也拒绝共享时Agent 命名空间才天然不可达。与 IPC 命名空间隔离器的--disallow_sharing_agent_ipc_namespace开关flags.cpp对称均属于禁止与 Agent 共享命名空间的同类安全机制。若namespaces/pid隔离器未启用该标志会被忽略。对应地Agent 配置参考手册也收录了该参数docs/configuration/agent.md形式为--[no-]disallow_sharing_agent_pid_namespace说明它同时支持布尔开关的正反两种写法如--no-disallow_sharing_agent_pid_namespace。六、行为验证源码测试用例解读仓库中的测试用例完整覆盖了本隔离器的三种核心行为可作为读者自测或验证的对照1. 顶层容器默认拥有独立 PID 命名空间ROOT_PidNamespaceisolator_tests.cpp使用filesystem/linux,namespaces/pid组合创建容器化器在容器命令中执行stat -Lc %i /proc/1/ns/pid ns (cat /proc/1/cmdline init)测试断言容器内记录的 PID 命名空间 inode不等于测试进程自身所在的命名空间 inodeEXPECT_NE从而证明容器确实运行在独立命名空间中同时断言/proc/1/cmdline内容包含 mesos证明容器内/proc已被正确挂载否则无法读取到容器自身的 init 进程信息。2. 顶层容器显式请求共享ROOT_SharePidNamespaceisolator_tests.cpp通过container-mutable_linux_info()-set_share_pid_namespace(true)请求共享断言容器内记录到的命名空间 inode等于测试进程所在命名空间EXPECT_EQ即容器与 Agent 共享了 PID 命名空间。3. 禁止共享时启动被拒绝ROOT_SharePidNamespaceWhenDisallowisolator_tests.cpp以disallow_sharing_agent_pid_namespacetrue创建容器化器再请求共享命名空间断言容器启动失败AWAIT_FAILED(launch)。4. 嵌套容器的共享语义ROOT_CGROUPS_LaunchNestedSharePidNamespacenested_mesos_containerizer_tests.cpp在父容器下启动两个嵌套容器第一个设置share_pid_namespacetrue第二个设置false。最终断言第一个嵌套容器的 PID 命名空间 inode 与父容器相同EXPECT_EQ共享语义生效第二个嵌套容器的 PID 命名空间 inode 与父容器不同EXPECT_NE独立命名空间生效。该测试使用的 Agent 标志组合为cgroups/cpu,filesystem/linux,namespaces/pid且launcherlinux是嵌套容器场景下的典型配置示例。七、实践小结与配置清单启用namespaces/pid隔离器的完整步骤可归纳为确认环境Linux 内核支持 PID 命名空间Agent 以 root 运行--launcherlinux默认值即 linux但需确认未被改为 posix。配置隔离--isolationfilesystem/linux,namespaces/pid,...filesystem/linux必选其余隔离器按需追加例如cgroups/cpu,cgroups/mem。决定安全策略多租户场景建议设置--disallow_sharing_agent_pid_namespacetrue禁止任何容器窥探宿主机进程。框架按需声明默认每个容器独立命名空间需要容器间或与 Agent共享进程视图时由框架在ContainerInfo.linux_info.share_pid_namespace中显式声明。配置与行为要点对照表配置项位置默认值效果namespaces/pid隔离器Agent--isolation未启用每个容器默认独立 PID 命名空间并挂载/procfilesystem/linux隔离器Agent--isolation—PID 命名空间隔离器的强制前置依赖share_pid_namespace框架ContainerInfo.linux_infofalsetrue时与父级Agent 或父容器共享 PID 命名空间--disallow_sharing_agent_pid_namespaceAgent 标志falsetrue时拒绝顶层容器与 Agent 共享 PID 命名空间值得强调的是PID 命名空间隔离器与 filesystem/linux 隔离器存在强绑定前者依赖后者提供的挂载命名空间隔离确保容器内挂载的/proc不会反向传播回宿主机。理解这一依赖关系是正确组合隔离器、避免挂载泄露的前提。赞分享云原生【免费下载链接】mesosApache Mesos项目地址https://gitcode.com/gh_mirrors/mesos2/mesos点击查看免费下载相关推荐Apache Mesos Mesos Containerizer 的 PID Namespace Isolator 完整指南隔离、共享与安全配置Apache Mesos Mesos Containerizer 的 PID Namespace Isolator 完整指南隔离、共享与安全配置 导读 nam集群管理任务调度后端Mesos Containerizer 的 IPC 命名空间隔离器namespaces/ipc隔离 System V IPC、POSIX 消息队列与 /dev/shmMesos Containerizer 的 IPC 命名空间隔离器namespaces/ipc隔离 System V IPC、POSIX 消息队列与 /d云原生集群管理容器编排任务调度Apache Mesos 的 namespaces/pid Isolator为每个容器启用独立 PID 命名空间的原理与配置Apache Mesos 的 namespaces/pid Isolator为每个容器启用独立 PID 命名空间的原理与配置 Mesos Agent 的 na云原生集群管理容器编排任务调度创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考