1. 程式人生 > >Docker和宿主機作業系統檔案目錄互相隔離的實現原理

Docker和宿主機作業系統檔案目錄互相隔離的實現原理

我們知道在Docker容器裡是無法訪問到宿主作業系統的檔案目錄的,但這種隔離是怎麼實現的呢?

其實一點也不神奇——利用了Linux系統的內部命令chroot。

chroot能將程序的根目錄設定成任意指定的目錄。

使用chroot我們能建立一個新的程序,並且以chroot執行時傳入的引數作為新程序的根目錄。

因為新程序建立之後就無法訪問除了新程序建立時傳入chroot引數之外的其他檔案目錄,為了確保這個新程序能夠正常工作,我們必須手動拷貝一些檔案到新程序的根目錄對映的舊目錄下。

做一個如下測試:

新建一個資料夾,執行chroot . 意思是把資料夾$HOME/container當作新建程序的根目錄。但是沒有成功,報錯誤訊息chroot: failed to run command ‘/bin/bash’: No such file or directory

執行下面兩條命令:

執行命令ldd $HOME/container/bin/bash:

該命令為了檢視需要有哪些庫檔案得手動拷貝到資料夾$/HOME/container/bin/bash下面:

根據ldd的輸出,再次執行下圖的八條命令:

再次執行chroot . , 發現這次成功了:

pwd發現是在根目錄下,ls也只能發現執行chroot時指定的container目錄下的子目錄:

這就是docker檔案目錄隔離的實現原理。

要獲取更多Jerry的原創文章,請關注公眾號"汪子熙":