第3章：进程级隔离——容器、虚拟化、命名空间、资源限制
进程级隔离是功能边界隔离体系中最细粒度的安全屏障，它依托操作系统内核的命名空间（Namespaces）与控制组（Cgroups）机制，在单个宿主机内创建彼此隔离的进程执行环境。本章从架构方案视角定义进程级隔离的边界模型、分层职责与核心权衡，为后续的冗余设计提供隔离基座。
3.1 边界定义与分层模型
进程级隔离的边界位于操作系统内核之上、应用进程之下，通过隔离视图（命名空间）和资源配额（控制组）实现进程组之间的逻辑分割。与虚拟化（Hypervisor）相比，容器共享宿主内核，边界更薄、更轻，但隔离强度也较低。
| 维度 | 容器（Namespace + Cgroup） | 虚拟机（Hypervisor） |
|---|---|---|
| 隔离边界层 | 用户空间 + 内核资源视图 | 物理硬件虚拟化 + 独立内核 |
| 进程视图 | 共享宿主机内核，仅隔离 PID/IPC/Mount 等 | 完全独立的进程树 |
| 资源限制 | 控制组（Cgroup）限制 CPU/内存/IO | 虚拟机资源预留，由 VMM 调度 |
| 启动速度 | 毫秒级 | 秒级至分钟级 |
| 密度 | 每台宿主机可运行数百至数千 | 通常数十至数百 |
3.2 组件职责与信任链路
进程级隔离架构包含以下核心组件：
- Linux 命名空间（Namespace）：提供 8 类视图隔离（Mount、PID、Network、IPC、UTS、User、Cgroup、Time），每个容器拥有独立的命名空间集合。
- 控制组（Cgroup）：管理进程组的资源使用上限、优先级和统计，防止单一容器耗尽宿主机。
- 容器引擎（Docker/containerd/Podman）：创建并管理命名空间+控制组组合，暴露容器生命周期接口。
- 虚拟机监控器（Hypervisor）：在硬件级别隔离，每个虚拟机拥有独立内核，通过 VMM 进行资源分配。
控制流：容器进程通过系统调用陷入宿主机内核，内核根据进程所属命名空间进行权限校验与视图映射；来自不同命名空间的进程无法通过共享资源（如共享内存、信号量）直接通信。
信任链路：容器逃逸攻击的核心路径是突破命名空间隔离后直接访问宿主机内核漏洞，因此共享内核是最大的信任风险点。
架构原则：在同一安全域内优先使用命名空间隔离（容器）；当业务对安全等级要求极高（如运行不可信代码、多租户强隔离）时，必须采用虚拟机超强化隔离。
3.3 选型权衡与风险点
| 权衡点 | 容器优先场景 | 虚拟化优先场景 |
|---|---|---|
| 隔离强度 | 低（共享内核） | 高（独立内核+硬件虚拟化） |
| 性能开销 | 接近原生（<5%） | 5~15% 虚拟化开销 |
| 部署密度 | 高 | 低 |
| 资源超分 | 灵活（Cgroup 动态调整） | 需提前预留，粒度较粗 |
| 安全管理 | 需依赖 Seccomp、AppArmor 等辅助加固 | 天然物理级隔离 |
主要风险点：
- 命名空间逃逸：通过未 mount 隔离的 /proc、/sys 或 cgroup 漏洞获取宿主机权限。
- 资源限制失效：Cgroup 配置错误或内核 bug 导致容器突破 CPU/内存上限，影响邻居。
- 共享内核信息泄露：如通过 dmesg、内核符号表等获取宿主机状态。
3.4 落地步骤与验收标准
以容器化迁移为例，落地分四步：
- 边界审计：识别需要隔离的进程组，标注共享资源（网络端口、存储目录、IPC）。
- 命名空间分配：为每个进程组建立独立的 User、PID、Network、Mount 命名空间，禁用不需要的 namespace 类型。
- 资源配额设定：根据业务压力测试设定 Cgroup 的 cpu.shares、memory.limit_in_bytes，并启用 OOM 保护。
- 隔离验证与加固：通过安全配置（Seccomp 白名单、只读 rootfs、Capability 降权）闭环风险。
验收标准：
- 进程在容器内无法查看或影响其他容器的进程列表、网络接口、文件系统。
- 单个容器的 CPU 占用率不超过预设上限（如 2 核），内存使用超过上限后触发 Kill 而非影响宿主机。
- 容器内执行
unshare或nsenter应被拒绝（确保命名空间不可逃逸）。 - 镜像无复制粘贴，使用最小化基础镜像（如 Alpine 或 scratch）。
典型落地陷阱：很多团队在容器内挂载了宿主机的 docker.sock 或 /var/run，导致容器获得管理宿主机容器的能力，完全破坏了进程级隔离边界。架构方案必须严格禁止此类挂载。
3.5 隔离架构对比图
上图清晰展示了容器与虚拟化在隔离深度、资源共享模式上的本质区别。容器通过命名空间和控制组在共享内核之上创建轻量隔离，适合高密度、微服务场景；虚拟化则通过独立内核和硬件虚拟化提供牢不可破的隔离边界，适合多租户、高安全等级场景。