Início / unix / Perguntas / 777524
Accepted
Vladimir Panteleev
Asked: 2024-06-01 14:43:02 +0800 CST

Execute, espere e elimine com segurança uma árvore de processos

  • 772

Estou procurando uma maneira de executar um processo, que por si só pode gerar mais subprocessos filhos/netos/etc. Então:

  1. Ser capaz de enviar um sinal (por exemplo, TERM ou KILL) a todos os descendentes.
  2. Ser capaz de garantir que, quando o processo principal terminar, todos os descendentes sejam encerrados (seja matando-os ou porque esperamos que todos saíssem voluntariamente).

" todos os descendentes" devem incluir descendentes que usam o mesmo método para criar seu próprio grupo de processos internos. Portanto, seja qual for o método que usarmos, ele deverá suportar o aninhamento, caso contrário, os processos terão uma maneira de escapar da nossa supervisão criando seu próprio conclave.

Embora pareça uma tarefa simples, vários métodos documentados falham de diferentes maneiras sutis.

  • setsiddeixa descendentes órfãos - só pode esperar pelo processo de nível superior. Também não acho que possa ser aninhado, porque as sessões não podem ser aninhadas.
  • O Yelp dumb-initnão pode ser aninhado (sem usar --single-process).
  • bwrappode criar um namespace PID e executar um initdentro dele, o que parece estar na metade do caminho, porém não pode esperar até que todos os subprocessos sejam encerrados.
  • Tentei combinar dumb-initcom bwrap --as-pid-1, o que parece nos levar um passo adiante, no entanto, a única maneira de enviar um SIGKILL para todo o grupo é mapear outro sinal para KILL usando o recurso dumb-initde --rewrite. Isso interrompe o aninhamento: mapear um sinal para SIGKILL no exterior dumb-initapenas matará o inner dumb-init, deixando outros processos internos em execução.
  • A execução dos comandos em um contêiner ( dockerou podman) atinge esses objetivos. No entanto, é uma solução pesada que requer trabalho extra para configurar e desabilitar outros tipos de isolamento (por exemplo, do sistema de arquivos ou UIDs) e habilitar o aninhamento (DinD etc.).

Algo que eu esqueci?

linux

1 respostas

  1. Best Answer

    Acontece que minha metodologia de teste estava errada e os namespaces PID parecem ser a melhor ferramenta para este trabalho. BubbleWrap é uma ferramenta que permite criá-los e faz o trabalho:

    args=(
    bwrap
    # Create PID namespace
    --unshare-pid
    # Make the filesystem namespace a straight map to the outer one
    --dev-bind / /
    # Mount a working procfs
    --proc /proc
    # Let the kernel kill the entire namespace when the top-level process dies
    --as-pid-1
    # Kill the group when bwrap or the current script dies
    # (needed for nesting)
    --die-with-parent
    # Pass in the top-level command of the process tree that we want to isolate
    "$@"
) ; exec "${args[@]}"

    Notas:

    • Os namespaces PID podem ser aninhados, o que satisfaz o requisito de nestabilidade.
    • Quando o PID 1 morre, o kernel mata todos os processos de seu namespace PID. Geralmente bwrapé executado initcomo PID 1, mas podemos desativá-lo para evitar processos órfãos. Observe que o Bash colherá processos zumbis relacionados a ele, portanto, qualquer script Bash deve ser utilizável como PID 1.
    • --die-with-parentfaz com que quando bwrapseu pai morrer, a árvore de processos também seja morta. Isso permite limpá-lo de forma confiável sob demanda.
    • 1

relate perguntas