Docker和宿主機操做系統文件目錄互相隔離的實現原理

咱們知道在Docker容器裏是沒法訪問到宿主操做系統的文件目錄的，但這種隔離是怎麼實現的呢？

其實一點也不神奇——利用了Linux系統的內部命令chroot。

chroot能將進程的根目錄設置成任意指定的目錄。

使用chroot咱們能建立一個新的進程，而且以chroot執行時傳入的參數做爲新進程的根目錄。

由於新進程建立以後就沒法訪問除了新進程建立時傳入chroot參數以外的其餘文件目錄，爲了確保這個新進程可以正常工做，咱們必須手動拷貝一些文件到新進程的根目錄映射的舊目錄下。

作一個以下測試：

新建一個文件夾，執行chroot . 意思是把文件夾$HOME/container看成新建進程的根目錄。可是沒有成功，報錯誤消息chroot: failed to run command ‘/bin/bash’: No such file or directory

執行下面兩條命令：

執行命令ldd $HOME/container/bin/bash:

該命令爲了查看須要有哪些庫文件得手動拷貝到文件夾$/HOME/container/bin/bash下面：

根據ldd的輸出，再次執行下圖的八條命令：

再次執行chroot . ， 發現此次成功了：

pwd發現是在根目錄下，ls也只能發現執行chroot時指定的container目錄下的子目錄：

這就是docker文件目錄隔離的實現原理。

要獲取更多Jerry的原創文章，請關注公衆號"汪子熙":