主页 / unix / 问题

问题[namespace](unix)

Martin Hope
Eugene D. Gubenkov
Asked: 2024-12-08 05:18:58 +0800 CST
  • 6

我注意到一种奇怪的行为nsenter，正在寻找一些解释。

当我进入使用创建的另一个进程的命名空间时，unshare我观察到将根目录指定为常规路径与使用符号链接的情况之间产生的行为的差异/proc/PID/root。

这是示例设置。

  1. 准备目标进程

    sudo unshare --mount --mount-proc --pid --fork --root /tmp/jail bash

    /tmp/jail里面有一个Linux发行版（我通过docker export使用ubuntu图像来准备它）：

    $ docker run ubuntu
 (grab the container ID)
$ docker export 8c67e1fb5443 > ubuntu.tar
$ mkdir /tmp/jail && cd /tmp/jail && tar -xf ~/ubuntu.tar

  2. 从另一个终端尝试进入该进程的命名空间

    sudo nsenter --target=28716 --root=/tmp/jail --all bash

  3. 尝试ps命令

    在这里我观察到错误：

    root@ubuntu:/proc# ps
Error, do this: mount -t proc proc /proc

root@ubuntu:/proc# mount
mount: failed to read mtab: No such file or directory

然而，如果我指定--root=/proc/28716/root它nsenter，它就会突然开始工作。

$ sudo readlink /proc/28716/root
/tmp/jail

$ sudo nsenter --target=28716 --root=/proc/28716/root --all bash

root@ubuntu:.# ps aux
USER         PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root           1  0.0  0.0   4624  3712 ?        S+   21:04   0:00 bash
root          31  0.0  0.0   4624  3712 ?        S    21:10   0:00 bash
root          39  0.0  0.0   7060  2944 ?        R+   21:10   0:00 ps aux

root@ubuntu:.# mount
proc on /proc type proc (rw,nosuid,nodev,noexec,relatime)

造成这种现象的原因是什么？既然符号链接和常规路径指向同一个目录，为什么它们会有区别？

$ sudo nsenter --target=28716 --root=/proc/28716/root --all bash  # WORKS GOOD
$ sudo nsenter --target=28716 --root=/tmp/jail --all bash         # DOES NOT WORK GOOD

 (where /proc/28716/root is symlink to /tmp/jail)

strace源代码似乎都nsenter不能解释这些差异。

6.8.0-49-generic
Ubuntu 24.04.1 LTS
namespace
Martin Hope
karlsebal
Asked: 2023-12-13 16:12:22 +0800 CST
  • 5

我遇到了 Kubernetes 命名空间陷入“终止”状态的问题。运行会kubectl get ns cattle-monitoring-system -o json|jq产生与命名空间状态相关的错误消息custom.metrics.k8s.io/v1beta1，并显示DiscoveryFailed命名空间状态中的条件：

E1213 08:02:39.979034  953148 memcache.go:287] couldn't get resource list for custom.metrics.k8s.io/v1beta1: the server is currently unable to handle the request
…
{
  "apiVersion": "v1",
  "kind": "Namespace",
  …
  "status": {
    "conditions": [
      {
        "lastTransitionTime": "2023-12-12T14:53:40Z",
        "message": "Discovery failed for some groups, 1 failing: unable to retrieve the complete list of server APIs: custom.metrics.k8s.io/v1beta1: the server is currently unable to handle the request",
        "reason": "DiscoveryFailed",
        "status": "True",
        "type": "NamespaceDeletionDiscoveryFailure"
      },
      …
    ]
  }
}

如何解决此问题以成功删除命名空间？

namespace
Martin Hope
Vaibhav.c
Asked: 2022-02-26 22:48:06 +0800 CST
  • 1

我正在尝试通过写入 uid_map 和 gid_map 文件来映射新命名空间中的用户和组 ID。

所以在终端 1我正在做

vaibhav@vaibhav:~$ unshare -U /bin/sh
$ id
uid=65534(nobody) gid=65534(nogroup) groups=65534(nogroup)
$ echo $$
2506

然后我打开新终端，即终端 2，然后我做

vaibhav@vaibhav:~$ echo '0 1000 1' > /proc/2506/
uid_map
vaibhav@vaibhav:~$ echo '0 1000 1' > /proc/2506/
gid_map
-bash: echo: write error: Operation not permitted

现在如果我检查终端 1

$ id
uid=0(root) gid=65534(nogroup) groups=65534(nogroup)

我知道我们只能写入一次 uid_map 和 gid_map 文件，但它在第一次写入时失败。

我想知道为什么写入 gid_map 失败。我在用着Linux Mint 20.3

linux-mint namespace
Martin Hope
Ahmad Ismail
Asked: 2022-01-19 08:08:32 +0800 CST
  • 2

cgroup 是一种命名空间吗？

我问这个是因为我看到博客说 cgroup 和命名空间是不同的。但是，在不同的 linux 命令中，cgroup 被视为一种命名空间。例如，

% unshare --help | grep cgroup
 -C, --cgroup[=<file>]     unshare cgroup namespace
% lsns --help | grep cgroup
 -t, --type <name>      namespace type (mnt, net, ipc, user, pid, uts, cgroup)

这里到底发生了什么？

cgroups namespace
Martin Hope
sea chub
Asked: 2022-01-13 18:14:05 +0800 CST
  • 2

我有一个在网络命名空间中运行的应用程序。这很好用。

我想在不同的命名空间中多次运行该应用程序。为方便起见，我想将应用程序的工作目录绑定到命名空间内的 /tmp/nsX 之类的目录。

如果我只是mount --bind /tmp/nsX /var/lib/my-app在命名空间中执行，那么当我退出命名空间时，挂载就会消失。

通过进入/退出命名空间，我的意思是ip netns exec bash

我在看，unshare但nsenter我不知道该怎么做。

我想要：

  • 为命名空间配置网络
  • 在命名空间中为我的应用程序的工作目录创建绑定挂载。
  • 在命名空间中生成我的应用程序。如果有帮助，它有一个“叉子”选项。
  • 能够离开和进入命名空间而不会死亡或消失。

如果我需要使用其他一些命名空间类型，那很好。

namespace network-namespaces
Martin Hope
user1689430
Asked: 2021-09-29 11:20:11 +0800 CST
  • 1

我对--mount-proc与unshare命令一起使用时的作用有点困惑。

当我使用 时unshare -fp --mount-proc bash，我注意到它会产生一个新的 PID 命名空间和一个新的 MNT 命名空间。

鉴于我在一个新的 MNT 命名空间中，我尝试卸载其中一个循环设备，并注意到这没有反映在父 MNT 中（当我df -h在父命名空间中运行时，挂载仍然显示）。

现在，我领先一步，在新的 MNT 命名空间中使用 创建了一个新的根目录pivot_root，并卸载了原来的根目录。正如预期的那样，新的命名空间现在有一个不同的根。父命名空间仍然具有原始根目录。

-m我的问题：如果我可以在不使用命令中的选项的情况下实现创建新的MNT命名空间unshare，并且还可以实现为新进程创建隔离的根目录，那么MNT命名空间有什么不同的用途？

我将不胜感激专家的任何指导。

编辑：我修改了我的原始帖子，其中说更改新命名空间中的根也会更改父命名空间中的根。我不再能够重现这一点。但是我关于能够仅使用--mount-proc选项而不使用-mwith来创建新的 MNT 命名空间的问题unshare仍然存在。

namespace unshare
Martin Hope
o.awajan
Asked: 2019-05-09 04:45:44 +0800 CST
  • 1

我正在尝试使用新的命名空间创建一个进程，为此我需要使用带有适当标志的 clone(2)，以下是 clone 系统调用和 printf() 语句来打印父 PID：

printf("clone() = %ld\n", (long)getpid());
printf("PID: %ld\n", (long)getpid());
struct utsname utsname;
uname(&utsname);
printf("parent namespace hostname: %s\n", utsname.nodename);

clone(child_main(&process_struct, checkpoint), stack + process_struct.Stack,
  CLONE_NEWCGROUP
 |CLONE_NEWIPC
 |CLONE_NEWNET
 |CLONE_NEWNS
 |CLONE_NEWPID
 |CLONE_NEWUTS|SIGCHLD, &process_struct)

和 child_main() 函数，子函数会设置主机名，然后会打印子进程的 PID，问题是系统的主机名改变的不仅仅是命名空间的主机名，而且子进程的 PID 与父进程的 PID 相同，这个错误，命名空间内的子 PID 应为 1，其 PPID 为 0（表示没有父进程），sethostname(2) 也只能影响子进程命名空间

int child_main(struct process *process, int *checkpoint){

  char c;

  fprintf(stderr,"=> IPC setup...");
  //double check the IPC
  close(checkpoint[1]);
  fprintf(stderr,"Done\n");
  if ( sethostname(process->Hostname, strlen(process->Hostname)){

    //close(process->File_descriptor);
    return -1;
  }


  printf("PID: %ld\n", (long)getpid());
  struct utsname utsname;
  uname(&utsname);
  printf("child namespace hostname: %s\n", utsname.nodename);

  // startup the IPC pipes
  read(checkpoint[0], &c, 1);
  char* argv[]={(char*)0};
  if(execve("/bin/bash", argv, NULL) == -1 ){
    fprintf(stderr,"--> Launching process Failed %m\n");
    return -1;
  }

  return 0;

}
linux namespace