主页 / unix / 问题 / 777524
Accepted
Vladimir Panteleev
Asked: 2024-06-01 14:43:02 +0800 CST

可靠地运行、等待和终止进程树

  • 772

我正在寻找一种运行进程的方法，该进程本身可能会产生更多子进程/孙进程/等子进程。然后：

  1. 能够向所有后代发送信号（例如 TERM 或 KILL）。
  2. 能够确保当主进程退出时，所有后代进程都被终止（通过终止它们或者因为我们已经等待它们全部自愿退出）。

“所有后代”应包括使用相同方法创建自己的内部进程组的后代。因此，无论我们使用什么方法，它都应该支持嵌套，否则进程就有办法通过创建自己的秘密会议来逃避我们的监督。

虽然这听起来像是一项简单的任务，但各种记录的方法都以不同的微妙方式失败了。

  • setsid留下孤立的后代 - 它只能等待顶级进程。我也不认为它可以嵌套，因为会话不能嵌套。
  • Yelpdumb-init不能嵌套（不使用--single-process）。
  • bwrap可以创建一个 PID 命名空间并init在其中运行，这似乎已经完成一半，但是它不能等到所有子进程都退出。
  • 我尝试dumb-init与结合使用bwrap --as-pid-1，这似乎使我们更进一步，但是，向整个组发送 SIGKILL 的唯一方法是使用 的dumb-init功能将另一个信号映射到 KILL --rewrite。这会破坏嵌套：将信号映射到外部的 SIGKILLdumb-init只会杀死内部的dumb-init，而其他内部进程仍在运行。
  • 在容器（docker或podman）中运行命令确实可以实现这些目标。但是，这是一个重量级的解决方案，需要额外的工作来设置，并禁用其他类型的隔离（例如文件系统或 UID）并启用嵌套（DinD 等）。

我忽略了什么吗？

linux

1 个回答

  1. Best Answer

    事实证明，我的测试方法不正确，PID 命名空间似乎是完成这项工作的最佳工具。BubbleWrap 是一款允许创建它们的工具，并且确实完成了这项工作：

    args=(
    bwrap
    # Create PID namespace
    --unshare-pid
    # Make the filesystem namespace a straight map to the outer one
    --dev-bind / /
    # Mount a working procfs
    --proc /proc
    # Let the kernel kill the entire namespace when the top-level process dies
    --as-pid-1
    # Kill the group when bwrap or the current script dies
    # (needed for nesting)
    --die-with-parent
    # Pass in the top-level command of the process tree that we want to isolate
    "$@"
) ; exec "${args[@]}"

    笔记：

    • PID 命名空间可以嵌套，满足可嵌套性要求。
    • 当 PID 1 死亡时，内核会终止其 PID 命名空间中的所有进程。通常以 PID 1bwrap运行自己的进程init，但我们可以禁用它以防止出现孤儿进程。请注意，Bash 将收割重新归属于它的僵尸进程，因此任何 Bash 脚本都应该可以用作 PID 1。
    • --die-with-parent使得当bwrap父进程死亡时，进程树也会被杀死。这样就可以根据需要可靠地清理进程树。
    • 1

相关问题