Docker 架构中 Namespace 隔离技术的具体分类和作用是什么

Docker中的Namespace是实现容器轻量级隔离的核心机制，通过PID、Network、MNT、UTS、IPC、User六类命名空间，分别隔离进程ID、网络栈、文件系统挂载点、主机名与域名、进程间通信资源及用户/用户组ID，使容器拥有独立资源视图。

Docker 中的 Namespace 是实现容器轻量级隔离的核心机制，它不复制硬件、也不模拟完整系统，而是让每个容器“看到”的是一套独立的资源视图。这种隔离是逻辑层面的——不是禁止访问，而是让进程根本感知不到其他命名空间里的东西。

六类 Namespace 及其核心作用

Linux 内核提供 6 种 Namespace 类型，Docker 在创建容器时默认启用其中多数，各自负责不同维度的隔离：

1. PID Namespace：隔离进程 ID 空间。容器内 PID=1 的进程只看到自己命名空间内的进程树；宿主机和其他容器的进程完全不可见。父命名空间（如宿主机）可查看子进程（需权限），但反向不可行。
2. Network Namespace：提供独立网络栈。每个容器拥有专属网卡、IP 地址、路由表、iptables 规则和端口空间。Docker 默认用 bridge 模式，通过 veth-pair 将容器网络接入宿主机 docker0 网桥。
3. MNT Namespace：隔离文件系统挂载点。使容器能拥有自己的根路径（如通过 overlay2 联合挂载镜像层+可写层），容器内执行 mount 或 umount 不影响宿主机或其他容器。
4. UTS Namespace：隔离主机名（hostname）和域名（domainname）。容器可通过 -h 参数指定主机名，多个容器可共用或独占名称，互不干扰，便于服务发现与标识。
5. IPC Namespace：隔离进程间通信资源。包括 System V IPC（信号量、消息队列、共享内存）和 POSIX 消息队列。不同容器的进程无法直接通过这些机制通信，除非显式打通。
6. User Namespace：隔离用户和用户组 ID。容器内 root 用户（UID 0）可映射为宿主机上的非特权用户，大幅降低容器逃逸风险；配合 SELinux 等机制可进一步加固安全边界。

Namespace 不做什么，要分清边界

需要明确的是，Namespace 本身只做“视图隔离”，它不控制资源用量，也不解决所有安全问题：

1. 它不管 CPU、内存、磁盘 IO 用了多少——这类限制靠 cgroups 实现；
2. 它让进程“看不见”其他命名空间的资源，但不阻止恶意程序利用内核漏洞越界——需结合 user namespace、seccomp、AppArmor/SELinux 等协同防护；
3. 它不提供跨容器的资源共享能力——卷挂载（-v）、网络互通（--network host/bridge）等属于主动打通，不在 Namespace 隔离范围内。

实际使用中的关键细节

日常操作中，有些行为直接受 Namespace 特性影响：

1. 运行 docker run -it ubuntu ps aux，看到的只是该容器自己的进程，哪怕宿主机跑着上百个服务也看不到；
2. 两个容器都用 -p 8080:80，不会端口冲突——因为 Network Namespace 让它们各自拥有独立的 80 端口视图；
3. 用 --user 1001:1001 启动容器时，User Namespace 会将容器内 UID 映射到宿主机安全范围，避免容器 root 直接对应宿主机 root；
4. 修改容器内 /etc/hostname 不影响宿主机——这是 UTS Namespace 在起作用。

Namespace 是 Docker 实现“一个进程一个世界”的底层支撑，理解这六类隔离如何分工协作，才能真正看懂容器为什么既轻量又可靠。