From 84289e9145f94bc1904ba367f0e1aa3921bd110c Mon Sep 17 00:00:00 2001 From: Guangwen Feng Date: Wed, 29 Jun 2022 10:52:53 +0800 Subject: [PATCH] [zh-cn] Update share-process-namespace.md Signed-off-by: Guangwen Feng --- .../share-process-namespace.md | 192 ++++++++++-------- 1 file changed, 108 insertions(+), 84 deletions(-) diff --git a/content/zh-cn/docs/tasks/configure-pod-container/share-process-namespace.md b/content/zh-cn/docs/tasks/configure-pod-container/share-process-namespace.md index e4144739a5..fe3fa6f81e 100644 --- a/content/zh-cn/docs/tasks/configure-pod-container/share-process-namespace.md +++ b/content/zh-cn/docs/tasks/configure-pod-container/share-process-namespace.md @@ -1,13 +1,11 @@ --- title: 在 Pod 中的容器之间共享进程命名空间 -min-kubernetes-server-version: v1.10 content_type: task weight: 160 --- -{{< feature-state state="stable" for_k8s_version="v1.17" >}} - -此页面展示如何为 pod 配置进程命名空间共享。 -当启用进程命名空间共享时，容器中的进程对该 pod 中的所有其他容器都是可见的。 +此页面展示如何为 Pod 配置进程命名空间共享。 +当启用进程命名空间共享时，容器中的进程对同一 Pod 中的所有其他容器都是可见的。 -你可以使用此功能来配置协作容器，比如日志处理 sidecar 容器，或者对那些不包含诸如 shell 等调试实用工具的镜像进行故障排查。 - - +你可以使用此功能来配置协作容器，比如日志处理 sidecar 容器， +或者对那些不包含诸如 shell 等调试实用工具的镜像进行故障排查。 ## {{% heading "prerequisites" %}} - -{{< include "task-tutorial-prereqs.md" >}} {{< version-check >}} - - +{{< include "task-tutorial-prereqs.md" >}} @@ -53,68 +45,85 @@ include debugging utilities like a shell. ## 配置 Pod -进程命名空间共享使用 `v1.PodSpec` 中的 `ShareProcessNamespace` 字段启用。例如： +使用 Pod `.spec` 中的 `shareProcessNamespace` 字段可以启用进程命名空间共享。例如： {{< codenew file="pods/share-process-namespace.yaml" >}} -1. 在集群中创建 `nginx` pod： +1. 在集群中创建 `nginx` Pod： - ```shell - kubectl apply -f https://k8s.io/examples/pods/share-process-namespace.yaml - ``` -1. 获取容器 `shell`，执行 `ps`： + ```shell + kubectl apply -f https://k8s.io/examples/pods/share-process-namespace.yaml + ``` - ```shell - kubectl attach -it nginx -c shell - ``` - 如果没有看到命令提示符，请按 enter 回车键。 + +2. 获取容器 `shell`，执行 `ps`： + + ```shell + kubectl attach -it nginx -c shell + ``` + + + 如果没有看到命令提示符，请按 enter 回车键。在容器 shell 中： + + ```shell + # 在 “shell” 容器中运行以下命令 + ps ax + ``` + + + 输出类似于： + + ```none + PID USER TIME COMMAND + 1 root 0:00 /pause + 8 root 0:00 nginx: master process nginx -g daemon off; + 14 101 0:00 nginx: worker process + 15 root 0:00 sh + 21 root 0:00 ps ax + ``` - ``` - / # ps ax - PID USER TIME COMMAND - 1 root 0:00 /pause - 8 root 0:00 nginx: master process nginx -g daemon off; - 14 101 0:00 nginx: worker process - 15 root 0:00 sh - 21 root 0:00 ps ax - ``` -你可以在其他容器中对进程发出信号。例如，发送 `SIGHUP` 到 nginx 以重启工作进程。这需要 `SYS_PTRACE` 功能。 +`nginx` to restart the worker process. This requires the `SYS_PTRACE` capability. +```shell +# run this inside the "shell" container +kill -HUP 8 # change "8" to match the PID of the nginx leader process, if necessary +ps ax ``` -/ # kill -HUP 8 -/ # ps ax +--> +你可以在其他容器中对进程发出信号。例如，发送 `SIGHUP` 到 `nginx` 以重启工作进程。 +此操作需要 `SYS_PTRACE` 权能。 + +```shell +# 在 “shell” 容器中运行以下命令 +kill -HUP 8 # 如有必要，更改 “8” 以匹配 nginx 领导进程的 PID +ps ax +``` + + +输出类似于： + +```none PID USER TIME COMMAND 1 root 0:00 /pause 8 root 0:00 nginx: master process nginx -g daemon off; @@ -124,14 +133,29 @@ PID USER TIME COMMAND ``` -甚至可以使用 `/proc/$pid/root` 链接访问另一个容器镜像。 +```shell +# run this inside the "shell" container +# change "8" to the PID of the Nginx process, if necessary +head /proc/8/root/etc/nginx/nginx.conf ``` -/ # head /proc/8/root/etc/nginx/nginx.conf +--> +甚至可以使用 `/proc/$pid/root` 链接访问另一个容器的文件系统。 +```shell +# 在 “shell” 容器中运行以下命令 +# 如有必要，更改 “8” 为 Nginx 进程的 PID +head /proc/8/root/etc/nginx/nginx.conf +``` + + +输出类似于： + +```none user nginx; worker_processes 1; @@ -143,45 +167,45 @@ events { worker_connections 1024; ``` - - ## 理解进程命名空间共享 Pod 共享许多资源，因此它们共享进程命名空间是很有意义的。 -不过，有些容器镜像可能希望与其他容器隔离，因此了解这些差异很重要: +不过，有些容器可能希望与其他容器隔离，因此了解这些差异很重要: +1. **容器进程不再具有 PID 1。** 在没有 PID 1 的情况下，一些容器拒绝启动 + （例如，使用 `systemd` 的容器)，或者拒绝执行 `kill -HUP 1` 之类的命令来通知容器进程。 + 在具有共享进程命名空间的 Pod 中，`kill -HUP 1` 将通知 Pod 沙箱（在上面的例子中是 `/pause`）。 + +2. **进程对 Pod 中的其他容器可见。** 这包括 `/proc` 中可见的所有信息， + 例如作为参数或环境变量传递的密码。这些仅受常规 Unix 权限的保护。 + - -1. **容器进程不再具有 PID 1。** 在没有 PID 1 的情况下，一些容器镜像拒绝启动（例如，使用 `systemd` 的容器)，或者拒绝执行 `kill -HUP 1` 之类的命令来通知容器进程。在具有共享进程命名空间的 pod 中，`kill -HUP 1` 将通知 pod 沙箱（在上面的例子中是 `/pause`）。 - -2. **进程对 pod 中的其他容器可见。** 这包括 `/proc` 中可见的所有信息，例如作为参数或环境变量传递的密码。这些仅受常规 Unix 权限的保护。 - -3. **容器文件系统通过 `/proc/$pid/root` 链接对 pod 中的其他容器可见。** 这使调试更加容易，但也意味着文件系统安全性只受文件系统权限的保护。 - - - +3. **容器文件系统通过 `/proc/$pid/root` 链接对 Pod 中的其他容器可见。** 这使调试更加容易， + 但也意味着文件系统安全性只受文件系统权限的保护。