在linux中，隔离进程环境的核心技术是Linux Namespace。它允许系统将全局资源（如进程ID、网络接口、文件系统挂载点等）进行抽象和分区，使得每个进程组都能拥有自己独立的视图，从而实现环境隔离。
解决方案
Linux Namespace通过为不同进程提供其各自的系统资源视图来实现隔离。这不像传统的虚拟机那样需要完整的操作系统副本，而是在同一内核上运行，但每个进程组看到的资源是独立的。简单来说，它把原本全局共享的资源“私有化”了，每个“私有化”的集合就是一个Namespace。当你创建一个新的进程并指定它进入一个新的Namespace时，这个进程及其子进程就会在这个新的隔离环境中运行，看不到或无法直接影响到其他Namespace中的资源。这包括进程ID（PID）、网络接口、文件系统挂载点、用户和组ID、主机名、进程间通信（IPC）机制，甚至包括Cgroup控制器。
Linux Namespace的核心理念是什么？
对我来说，Linux Namespace最吸引人的地方在于它的“分而治之”哲学。它不是真的复制了资源，而是给每个进程或进程组一个独立的“视角”，让它们以为自己是独占这些资源的。这就像是同一栋大楼里，不同的住户有各自的房间和家具，虽然都在同一栋楼里，但彼此之间是隔离的。Namespace就是为进程划定了这样的“房间”。
我一直觉得，理解Namespace的关键在于它改变了进程与系统资源交互的方式。比如，一个进程在它自己的PID Namespace里，它看到自己的PID是1，但实际上在全局的PID Namespace里，它可能是一个很大的数字。这种“相对性”是其隔离能力的基石。它让容器技术成为可能，因为每个容器本质上就是运行在一组特定的Namespace里的进程集合，拥有自己独立的网络、文件系统和进程空间，但又共享同一个宿主机内核。这种轻量级的隔离方式，比传统的虚拟机效率高得多，资源消耗也小得多，这在云原生时代尤其重要。
如何实际操作：使用unshare命令体验Namespace隔离
要亲身体验Namespace的隔离效果，
unshare
命令是个非常棒的工具。它允许你在一个新的Namespace中运行一个命令。我第一次用这命令时，觉得它简直是魔法，能把一个进程“变”到一个全新的世界里。
举个最简单的例子，我们来创建一个独立的PID Namespace：
sudo unshare --pid --fork bash
当你执行这个命令后，你会发现你进入了一个新的bash shell。在这个新的shell里，你尝试运行
ps aux
，你会发现进程列表变得非常短，你的
bash
进程的PID可能是1，而宿主机上原本运行的那些进程，你一个都看不到了。这就是PID Namespace隔离的直观体现。
再比如，如果你想在一个隔离的文件系统挂载点中工作，你可以这样做：
sudo unshare --mount --fork bash
进入这个新的bash shell后，如果你尝试
mount --bind /tmp /mnt
，这个挂载操作只会影响到你当前这个Namespace，宿主机上的其他进程是看不到这个挂载点的。当你退出这个bash shell时，这个临时的挂载点也会自动消失，不会污染宿主机的全局挂载表。这种能力在构建安全、可重复的环境时非常有用，比如在容器构建过程中，或者在进行一些敏感的系统操作时。
当然，实际使用中，你可能还需要结合
chroot
或者更高级的工具如
pivot_root
来真正改变进程的根文件系统视图，因为
--mount
Namespace只是隔离了挂载点，并没有改变根目录本身。
Namespace与Cgroups：隔离的黄金搭档
光有Namespace实现环境隔离还不够，进程间的资源竞争和滥用是个大问题。Namespace解决了“看到什么”和“如何交互”的问题，但没有解决“能用多少”的问题。这时候，Cgroups（Control Groups）就登场了。
对我而言，Namespace和Cgroups就像是容器技术的“左右手”。Namespace提供了隔离的“边界”，定义了进程能看到的资源视图；而Cgroups则提供了“限额”，规定了进程能使用的CPU、内存、I/O等资源的上限。想象一下，Namespace为你搭建了一个独立的“房间”，而Cgroups则在这个房间里设定了水、电、煤气的用量限制。两者结合，才能真正实现全面、高效且安全的进程隔离。
比如，一个恶意进程可能在它自己的Namespace里运行，但如果它没有Cgroups的限制，它依然可以耗尽宿主机的所有CPU或内存资源，导致整个系统崩溃。所以，在生产环境中，无论是docker、kubernetes还是其他容器运行时，它们都无一例外地同时利用了Namespace和Cgroups。Namespace确保了进程间的视图隔离，而Cgroups则保证了资源使用的公平性和稳定性。理解它们各自的职责和协同工作方式，是深入理解容器化技术不可或缺的一部分。
