Linux命名空间实现容器隔离，提供文件系统、网络、进程等资源的独立视图，结合cgroups可限制资源使用，增强安全性。
Linux 命名空间（Namespaces）是实现容器隔离的核心机制。通过将系统资源划分到不同的逻辑视图中，每个进程只能看到所属命名空间内的资源，从而达到隔离效果。这种轻量级的虚拟化方式被 Docker、Podman 等容器运行时广泛使用。
理解 Linux 命名空间的作用
命名空间让多个进程组拥有独立的系统视图，彼此互不干扰。内核提供了多种类型的命名空间，每种控制一类资源的可见性：
- Mount (mnt)：隔离文件系统挂载点，使不同命名空间有各自的目录结构
- UTS：允许独立的主机名和域名
- IPC：隔离进程间通信资源，如消息队列、信号量
- PID：提供独立的进程 ID 空间，一个命名空间中的进程在另一个中不可见
- Network (net)：拥有独立的网络设备、IP 地址、路由表和端口空间
- User：隔离用户和用户组 ID，支持非特权用户运行容器
创建并进入命名空间的实践方法
可以使用 unshare 和 nsenter 工具手动操作命名空间，验证其隔离能力。
例如，创建一个新的 UTS 命名空间并修改主机名：
unshare --uts --fork hostname container-test exec bash此时更改的主机名只在该命名空间内生效，不影响宿主机。
若要加入已有进程的命名空间，可通过 /proc/
这常用于调试正在运行的容器进程。
结合 cgroups 实现完整的容器隔离
命名空间负责“隔离”，而 cgroups 负责“限制”。两者配合才能构成安全可控的容器环境。
例如，在创建命名空间的同时，将进程加入特定 cgroup 以限制 CPU 或内存使用：
- 用 mkdir /sys/fs/cgroup/cpu/mycontainer 创建 cgroup
- 写入进程 PID 到 cgroup.procs 文件
- 设置 cpu.cfs_quota_us 限制 CPU 时间片
这样既实现了资源视图隔离，又防止某个容器耗尽系统资源。
安全建议与注意事项
虽然命名空间提供了良好隔离，但配置不当仍可能带来风险：
- 避免挂载敏感路径（如 /proc、/sys）到容器，或使用只读模式
- 启用 User 命名空间，让容器内 root 映射为普通用户，减少提权风险
- 禁止容器共享宿主机命名空间（如 hostNetwork、hostPID）除非明确需要
- 定期更新内核，修复已知的命名空间逃逸漏洞
基本上就这些。合理利用命名空间，再辅以 cgroups、seccomp、capabilities 等机制，就能构建出安全可靠的容器运行环境。
