一、什么情况下会发生栈内存溢出？1、栈是线程私有的，栈的生命周期和线程一样，每个方法在执行的时候就会创建一个栈帧，它包含局部变量表、操作数栈、动态链接、方法出口等信息，局部变量表又包括基本数据类型和对象的引用； 2、当线程请求的栈深度超过了虚拟机允许的最大深度时，会抛出StackOverFlowError异常，方法递归调用肯可能会出现该问题；3、调整参数-xss去调整jvm栈的大小二、详解JVM内
转载
2024-08-16 11:05:34
33阅读
# Docker 内核隔离机制
Docker 是一种轻量级的容器化技术，它利用 Linux 内核的一些特性来实现容器之间的隔离，其中一个重要的特性就是内核隔离机制。本文将介绍 Docker 内核隔离机制的原理，并通过代码示例来展示其功能。
## 内核隔离机制原理
Docker 利用 Linux 内核的一些特性来实现容器之间的隔离，其中包括命名空间（namespace）和控制组（cgroup
原创
2024-04-14 05:03:19
93阅读
Docker资源隔离Docker 是利用linux的LXC技术，内核的Kernel namespaceNamespace：PID - 通过PID的namespace隔离，可以嵌套NET - 通过网络的NET的namespace隔离IPC - 隔离IPCmnt - 挂在隔离Uts - 可以实现每个docker 容器有自己的hostname，daemin nameUser - 让每个容器有自己的用户和
转载
2023-08-27 21:37:30
144阅读
Docker本质上是运行在宿主机上的进程，它通过namespace实现了资源隔离，并通过cgroups实现了资源限制，同时通过写时复制（copy-on-write）实现了高效的文件操作。一、通过namespace实现资源隔离Linux内核中提供了6种namespace隔离的系统调用，分别完成对文件系统、网络、进程间通信、主机名、进程号以及用户权限的隔离。具体如下所示：namespace系统调用参数
转载
2023-09-14 22:07:34
96阅读
Docker的安全很大程度依赖于Linux系统自身的安全，在使用中主要考虑的是一下几个方面的内容： 1、Linux内核的命名空间(namespace)机制提供的容器隔离安全； 2、Linux控制组(cgroup
转载
2023-07-11 13:12:38
68阅读
介绍 相信很多开发者都默认Docker这样的容器是一种沙盒（sandbox）应用，也就是说他们可以用root权限在Docker中运行随便什么应用，而Docker有安全机制能保护宿主系统。比如，有些人觉得Docker容器里面的进程跟虚拟机里面的进程一样安全；还有的人随便找个源就下载没有验证过的Docker镜像，看都不看内容就
转载
2023-12-29 22:06:35
19阅读
Docker作为最重视安全的容器技术之一，在很多方面都提供了强安全性的默认配置，其中包括：容器root用户的Capability能力限制、Seccomp系统调用过滤、Apparmor的 MAC 访问控制、ulimit限制、pid-limits的支持，镜像签名机制等。这篇文章我们就带大家详细了解一下。Docker利用Namespace实现了6项隔离，看似完整，实际上依旧没有完全隔离Linux资源，比
转载
2024-03-14 21:19:24
13阅读
上一篇文章中，介绍了 Linux 容器中用来实现“隔离”的技术手段：Namespace。**Namespace 技术实际上修改了应用进程看待整个计算机“视图”，即它的“视线”被操作系统做了限制，只能“看到”某些指定的内容。**但对于宿主机来说，这些被“隔离”了的进程跟其他进程并没有太大区别。说到这一点，相信你也能够知道在之前虚拟机与容器技术的对比图里，不应该把 Docker Engine 或者任何
转载
2023-07-11 15:19:17
54阅读
# Docker 隔离机制
## 引言
Docker 是一个广泛使用的容器化平台，它允许开发者将应用及其依赖打包到一个轻量级的容器中。Docker 的核心优势之一在于其强大的隔离机制。本文将探讨 Docker 的隔离机制以及其如何确保应用的安全性和可靠性，并附带代码示例来帮助理解。
---
## Docker 隔离机制
### 1. 命名空间
Docker 利用 Linux 的命名空间
原创
2024-09-06 05:58:10
54阅读
Docker内核知识Docker容器本质上是宿主机上的进程。Docker通过namespaces实现了资源隔离，通过cgroups实现了资源限制，通过写时复制机制（copy-on-write）实现了高效的文件操作。namespaces资源隔离 想要实现一个资源隔离的容器，首先，根目录/的挂载点需要切换，即文件系统需要隔离；接着，为了在分布式的环境下进行通信和定位，容器必然要有独立的IP、端口、路由
转载
2023-12-24 19:29:47
36阅读
默认情况下，一个容器没有资源限制，几乎可以使用宿主主机的所有资源。docker提供了控制内存、cpu、block io。但是实际上主要是namespace和cgroup控制资源的隔离。传统上Linux中的PID是唯一且独立的，在正常情况下，用户不会看见重复的PID。Docker采用了Namespace，从而不同的Namespace中独立存在相同的PID。如，A Container 之中PID=1是
转载
2023-07-18 19:48:29
14阅读
Docker 是如何实现隔离的在学习Docker 是时候, 了解到Docker 容器隔离,觉得很神奇,但是Docker 到底是如何实现隔离的 自己并不了解.从运行一个容器开始我们开始运行一个简单的容器，这里以busybox镜像为例，它是一个常用的Linux工具箱，可以用来执行很多Linux命令，我们以它为镜像启动容器方便来查看容器内部环境。 执行命令：docker run -it --name d
转载
2023-07-25 16:39:58
95阅读
Docker的隔离机制
Docker是一种用于创建和管理容器化应用程序的开源平台。与虚拟机不同，Docker容器是轻量级的，因为它们与主机操作系统共享内核，可以在多个环境中运行。Docker通过一种称为隔离机制的技术，保证了容器的安全性和稳定性。本文将介绍Docker的隔离机制，并使用代码示例来说明。
隔离机制是Docker背后的核心概念之一。它使得在同一台主机上同时运行多个容器成为可能，而且
原创
2024-01-19 07:32:54
102阅读
容器自身所提供的隔离性只是相对的，并没有虚拟机那样完善。因此，必须对容器内应用进行严格的安全审查。同时从容器层面来看，容器即应用，原先保障应用安全的各种手段，都可以合理地借鉴利用。一、命名空间隔离的安全当用docker run命令启动一个容器时，Docker将在后台为容器创建一个独立的命名空间。命名空间提供了最基础也是最直接的隔离，在容器中运行的进程不会被运行在本地主机上的进程和其他容器通过正常渠
转载
2023-07-25 21:48:52
40阅读
在云计算中，[多租户技术]被认为是一个非常重要的功能。如果我们将容器中运行的应用看作一个租户，那么优秀的安全隔离技术设计可以确保租户只能使用它们可用的资源。 随着容器技术的发展，它的[安全]、隔离和资源控制的功能也在不断进步。本文中，我们将回顾Docker容器如何仅仅使用linux的原始功能来实现安全与隔离，比如namespaces, cgroups, capabilit
转载
2023-07-18 10:20:39
145阅读
docker 作者：DevOps旭一、容器是什么1、传统虚拟化和容器在传统VM时代，我们要解决的核心问题是资源调配。在这一阶段，通过HyperV层抽象底层设施资源，提供互相隔离的机制，实现了统一管理、统一配置、计算资源的可运维性和资源利用率，让一台物理机能够同时运行多台虚拟主机，实现了资源利用率的有效提升。而到了容器时代，可以直接使用宿主机操作系统调度硬件资源，使得资源利用率远超传统VM，
转载
2023-07-12 10:19:19
77阅读
文章目录1. 概述2. namespace的API3. 六项隔离3.1 UTS（UNIX Time-sharing System）3.2 IPC（Interprocess Communication）进程间通信3.3 PID namespace3.3.1 PID namespace 的树状结构3.3.2 PID namespace 中的 init 进程3.3.3 信号与 init 进程3.3.4
转载
2024-03-31 21:22:05
77阅读
能力机制（Capability）是 Linux 内核一个强大的特性，可以提供细粒度的权限访问控制。 Linux 内核自 2.2 版本起就支持能力机制，它将权限划分为更加细粒度的操作能力，既可以作用在进程上，也可以作用在文件上。 例如，一个 Web 服务进程只需要绑定一个低于 1024 的端口的权限，
原创
2018-02-20 13:37:00
166阅读
1.数据库的锁机制 讲一个例子来理解数据库的锁机制吧，一个数据表中记录企业的雇员情况，a在修改雇员的时候，b在查询雇员信息，这样查询出来的雇员信息必定与现实出现冲突。为了解决这样的一个冲突，数据表中出现了锁机制，即当有人在修改数据表时，将该表加上锁，不允许其他人进行操作当然这样的机制可以最大限度的防止更新查询冲突的出现，但这是建立在牺牲效率的基础上实现的，因此选择怎样的机制要视实际情况而定 从
转载
2023-12-03 12:24:56
39阅读
本博文转载自http://www.infoq.com/cn/articles/docker-kernel-knowledge-namespace-resource-isolationDocker这么火，喜欢技术的朋友可能也会想，如果要自己实现一个资源隔离的容器，应该从哪些方面下手呢？也许你第一反应可能就是chroot命令，这条命令给用户最直观的感觉就是使用后根目录/的挂载点切换了，即文件系统被隔离
转载
2016-11-02 10:36:22
2021阅读
