在 Pod 中的容器之间共享进程命名空间

FEATURE STATE: Kubernetes v1.17 [stable]

此页面展示如何为 pod 配置进程命名空间共享。 当启用进程命名空间共享时,容器中的进程对该 pod 中的所有其他容器都是可见的。

您可以使用此功能来配置协作容器,比如日志处理 sidecar 容器,或者对那些不包含诸如 shell 等调试实用工具的镜像进行故障排查。

准备开始

你必须拥有一个 Kubernetes 的集群,同时你的 Kubernetes 集群必须带有 kubectl 命令行工具。 如果你还没有集群,你可以通过 Minikube 构建一 个你自己的集群,或者你可以使用下面任意一个 Kubernetes 工具构建:

您的 Kubernetes 服务器版本必须不低于版本 v1.10. 要获知版本信息,请输入 kubectl version.

配置 Pod

进程命名空间共享使用 v1.PodSpec 中的 ShareProcessNamespace 字段启用。例如:

  1. apiVersion: v1
  2. kind: Pod
  3. metadata:
  4. name: nginx
  5. spec:
  6. shareProcessNamespace: true
  7. containers:
  8. - name: nginx
  9. image: nginx
  10. - name: shell
  11. image: busybox
  12. securityContext:
  13. capabilities:
  14. add:
  15. - SYS_PTRACE
  16. stdin: true
  17. tty: true
  1. 在集群中创建 nginx pod:

    1. kubectl apply -f https://k8s.io/examples/pods/share-process-namespace.yaml
  2. 获取容器 shell,执行 ps

    1. kubectl attach -it nginx -c shell

    如果没有看到命令提示符,请按 enter 回车键。

    1. / # ps ax
    2. PID USER TIME COMMAND
    3. 1 root 0:00 /pause
    4. 8 root 0:00 nginx: master process nginx -g daemon off;
    5. 14 101 0:00 nginx: worker process
    6. 15 root 0:00 sh
    7. 21 root 0:00 ps ax

您可以在其他容器中对进程发出信号。例如,发送 SIGHUP 到 nginx 以重启工作进程。这需要 SYS_PTRACE 功能。

  1. / # kill -HUP 8
  2. / # ps ax
  3. PID USER TIME COMMAND
  4. 1 root 0:00 /pause
  5. 8 root 0:00 nginx: master process nginx -g daemon off;
  6. 15 root 0:00 sh
  7. 22 101 0:00 nginx: worker process
  8. 23 root 0:00 ps ax

甚至可以使用 /proc/$pid/root 链接访问另一个容器镜像。

  1. / # head /proc/8/root/etc/nginx/nginx.conf
  2. user nginx;
  3. worker_processes 1;
  4. error_log /var/log/nginx/error.log warn;
  5. pid /var/run/nginx.pid;
  6. events {
  7. worker_connections 1024;

理解进程命名空间共享

Pod 共享许多资源,因此它们共享进程命名空间是很有意义的。 不过,有些容器镜像可能希望与其他容器隔离,因此了解这些差异很重要:

  1. 容器进程不再具有 PID 1。 在没有 PID 1 的情况下,一些容器镜像拒绝启动(例如,使用 systemd 的容器),或者拒绝执行 kill -HUP 1 之类的命令来通知容器进程。在具有共享进程命名空间的 pod 中,kill -HUP 1 将通知 pod 沙箱(在上面的例子中是 /pause)。

  2. 进程对 pod 中的其他容器可见。 这包括 /proc 中可见的所有信息,例如作为参数或环境变量传递的密码。这些仅受常规 Unix 权限的保护。

  3. 容器文件系统通过 /proc/$pid/root 链接对 pod 中的其他容器可见。 这使调试更加容易,但也意味着文件系统安全性只受文件系统权限的保护。

最后修改 June 01, 2020 at 9:23 AM PST : add zh pages (4b35d4d40)