Linux – 了解mount命名空间并克隆CLONE_NEWNS标志

我正在读 mount& clone手册页.我想澄清CLONE_NEWNS如何影响子进程的文件系统的视图.

(文件层次结构)

让我们认为这个树是目录层次结构.让我们说5& 6是父进程中的挂载点.我在另一个question中澄清了安装点.

所以我的理解是：5& 6是挂载点意味着mount命令以前用于在5& 6(这意味着必须有5&6以下的目录树).

从安装手册页：

A mount namespace is the set of filesystem mounts that are visible to a process.

从克隆手册页：

Every process lives in a mount namespace.  The namespace of a process is the data 
(the set of mounts) describing the file hierarchy as seen by that process.  After 
a fork(2) or clone() where the CLONE_NEWNS flag is not set,the child lives in the 
same mount namespace as the parent.

另外：

After a clone() where the CLONE_NEWNS flag is set,the cloned child is started in a 
new mount namespace,initialized with a copy of the namespace of the parent.

现在如果我使用clone()与CLONE_NEWNS来创建一个子进程,这是否意味着孩子会得到树中的挂载点的精确副本(5和6),并且仍然可以访问原始树的其余部分？这是否也意味着孩子可以安装5& 6在其意志上,而不影响其父进程的挂载命名空间中5或6的内容.

如果是,这也意味着孩子可以挂载/卸载不同于5或6的目录,并影响父进程可见的内容？

谢谢.

解决方法

一个进程的“mount命名空间”只是它看到的一组已安装的文件系统.一旦你从一个全局安装命名空间到具有每个进程挂载命名空间的传统情况出发,你必须决定在使用clone()创建一个子进程时该怎么做.

传统上,安装或卸载文件系统改变了所有进程所看到的文件系统：所有进程都有一个全局安装命名空间,如果进行了任何更改(例如使用mount命令),所有进程将立即看到这种更改,无论他们与mount命令的关系.

使用每进程挂载命名空间,子进程现在可以为其父进程指定不同的安装命名空间.现在的问题是：

对小孩所做的m​​ount命名空间的更改是否会传播回父节点？

显然,这个功能必须至少得到支持,而且确实必须是默认的.否则,启动mount命令本身将不会改变(因为父shell看到的文件系统不会受到影响).

同样清楚的是,还必须抑制这种必要的传播,否则我们永远不会创建一个子进程,其安装名称空间与其父代不同,并且我们再次有一个全局安装命名空间(由init看到的文件系统).

因此,我们必须决定何时使用clone()创建子进程,无论子进程是否从父进程获取有关已安装文件系统的数据的副本,它可以在不影响父进程的情况下进行更改,也可以获取指向相同数据结构的指针作为父级,它可以更改(必要的更改传播回,当您从shell启动安装).

如果将CLONE_NEWNS标志传递给clone(),则子程序将获取其父装载的文件系统数据的副本,它可以更改,而不会影响父级的装载命名空间.否则,它会获得一个指向父级安装数据结构的指针,由父级进行的更改将被父级看到(因此mount命令本身可以工作).

Now if I use clone with CLONE_NEWNS to create a child process,does this mean that child will get an exact copy of the mount points in the tree (5 & 6) and still be able to access the rest of the original tree ?

是.在调用clone()之后,它会看到与父类完全相同的树.

Does it also mean that the child Could mount 5 & 6 at its will,without effecting what’s mounted at 5 or 6 in its parent process’s mount namespace.

是.由于您已经使用了CLONE_NEWNS,所以该小孩可以从5中卸载一个设备,并在其上安装另一个设备,只有它(及其孩子)可以看到更改.在这种情况下,没有其他过程可以看到孩子所做的更改.

If yes,does it also mean that child Could mount / unmount a different directory than 5 or 6 and effect what’s visible to the parent process ?

否.如果您使用了CLONE_NEWNS,则小孩所做的更改无法传播回父母.

如果您没有使用CLONE_NEWNS,则该子节点将收到与其父项相同的装载命名空间数据的指针,并且由共享这些数据结构的任何进程(包括父进程)都可以看到子进程所做的任何更改. (当使用fork()创建新的孩子时也是如此).