在 Pod 中的容器之间共享进程命名空间

FEATURE STATE: Kubernetes v1.17 [stable]

此页面展示如何为 pod 配置进程命名空间共享。 当启用进程命名空间共享时，容器中的进程对该 pod 中的所有其他容器都是可见的。

您可以使用此功能来配置协作容器，比如日志处理 sidecar 容器，或者对那些不包含诸如 shell 等调试实用工具的镜像进行故障排查。

准备开始

你必须拥有一个 Kubernetes 的集群，同时你的 Kubernetes 集群必须带有 kubectl 命令行工具。 如果你还没有集群，你可以通过 Minikube 构建一 个你自己的集群，或者你可以使用下面任意一个 Kubernetes 工具构建：

您的 Kubernetes 服务器版本必须不低于版本 v1.10. 要获知版本信息，请输入 kubectl version.

配置 Pod

进程命名空间共享使用 v1.PodSpec 中的 ShareProcessNamespace 字段启用。例如：

pods/share-process-namespace.yaml 在 Pod 中的容器之间共享进程命名空间 - 图1

  1. apiVersion: v1
  2. kind: Pod
  3. metadata:
  4.   name: nginx
  5. spec:
  6.   shareProcessNamespace: true
  7.   containers:
  8.   - name: nginx
  9.     image: nginx
  10.   - name: shell
  11.     image: busybox
  12.     securityContext:
  13.       capabilities:
  14.         add:
  15.         - SYS_PTRACE
  16.     stdin: true
  17.     tty: true

  1. 在集群中创建 nginx pod：

    1. kubectl apply -f https://k8s.io/examples/pods/share-process-namespace.yaml

  2. 获取容器 shell，执行 ps：

    1. kubectl attach -it nginx -c shell

    如果没有看到命令提示符，请按 enter 回车键。

    1. / # ps ax
    2. PID   USER     TIME  COMMAND
    3.     1 root      0:00 /pause
    4.     8 root      0:00 nginx: master process nginx -g daemon off;
    5.    14 101       0:00 nginx: worker process
    6.    15 root      0:00 sh
    7.    21 root      0:00 ps ax

您可以在其他容器中对进程发出信号。例如，发送 SIGHUP 到 nginx 以重启工作进程。这需要 SYS_PTRACE 功能。

  1. / # kill -HUP 8
  2. / # ps ax
  3. PID   USER     TIME  COMMAND
  4.     1 root      0:00 /pause
  5.     8 root      0:00 nginx: master process nginx -g daemon off;
  6.    15 root      0:00 sh
  7.    22 101       0:00 nginx: worker process
  8.    23 root      0:00 ps ax

甚至可以使用 /proc/$pid/root 链接访问另一个容器镜像。

  1. / # head /proc/8/root/etc/nginx/nginx.conf
  3. user  nginx;
  4. worker_processes  1;
  6. error_log  /var/log/nginx/error.log warn;
  7. pid        /var/run/nginx.pid;
  10. events {
  11.     worker_connections  1024;

理解进程命名空间共享

Pod 共享许多资源，因此它们共享进程命名空间是很有意义的。 不过，有些容器镜像可能希望与其他容器隔离，因此了解这些差异很重要:

  1. 容器进程不再具有 PID 1。 在没有 PID 1 的情况下，一些容器镜像拒绝启动（例如，使用 systemd 的容器)，或者拒绝执行 kill -HUP 1 之类的命令来通知容器进程。在具有共享进程命名空间的 pod 中，kill -HUP 1 将通知 pod 沙箱（在上面的例子中是 /pause）。

  2. 进程对 pod 中的其他容器可见。 这包括 /proc 中可见的所有信息，例如作为参数或环境变量传递的密码。这些仅受常规 Unix 权限的保护。

  3. 容器文件系统通过 /proc/$pid/root 链接对 pod 中的其他容器可见。 这使调试更加容易，但也意味着文件系统安全性只受文件系统权限的保护。