<div id="readability-page-1" class="page"><div id="content">
		<main id="main" role="main">

		
			<article id="post-1748">
			
		<div>
			
<p>정리되지 않음.</p>



<h2 id="이전-발표-수정-vm-vs-containers">이전 발표 수정: VM VS Containers</h2>



<p>VM: 하이퍼바이저 위에서 게스트 OS 실행</p>



<p>Containers: 호스트 OS의 커널에서 실행하는 가상 프로세스</p>



<p>이번 주제: 그래서 뭔 기술을 써서 이렇게 주어진 컴퓨터 자원을 가상으로 쪼개고 그룹화 하고 할 수 있는가?</p>



<h2 id="docker란-무엇인가">Docker란 무엇인가</h2>



<p>컨테이너를 쉽게 배보할 수 있는 프로그램</p>



<p>컨테이너: 호스트 커널을 공유하고 프로세스의 실행영역을 격리</p>



<p>namespace: 프로세스 실행 환경 격리</p>



<p>Cgroups: 리소스 분할 사용</p>



<h2 id="클라우드-환경을-제공하기-위해-컨테이너의-필수-조건">클라우드 환경을 제공하기 위해 컨테이너의 필수 조건</h2>



<ol><li>fake root path 제공 – host와 달리 container가 독립된 fake root 가 필요하다</li><li>Isolation – 호스트의 파일시스템, 프로세스 트리, 네트워크 등이 분리되어야 한다.</li><li>root 권한 사용 – 리눅스 루트 권한 사용 가능 여부와 그에 따른 보안 문제 관리</li><li>HW 리소스 제한, CPU, 메모리, I/O, 네트워크 등 호스트의 자원에서 할당된 양만큼만 사용해야 함.</li></ol>



<h2 id="chroot">chroot</h2>



<p>루트 디렉토리를 바꾸는 명령어</p>



<p>원격 유저에게 특정 루트 디렉토리로 격리하기 위해 사용함. 컨테이너의 시작.</p>



<h3 id="chroot-실습">chroot 실습</h3>



<p>단순히 새 디렉토리에 chroot를 실행하면 안됨.</p>



<p>오류 메세지를 보면 bash가 없어서 그럼. -&gt; 그래서 새 루트로 bash를 옮겨줘야 함. bin도 옮기고 lib도 옮겨줘야 함.</p>



<p>그러면 bash로 새 루트로 접속이 됨.</p>



<p>하지만 ls같은 기본 명령어도 안됨. -&gt; 역시 새 루트에선 ls를 실행할 수 없기 때문에 bash처럼 bin을 옮겨줘야 함.</p>



<p>chroot 후에 새 루트로 들어간 후에는 아무리 새 루트 위에 상위 디렉토리가 있다 해도 올라갈 수 없음.</p>



<h3 id="chroot가-너무-귀찮아">chroot가 너무 귀찮아 </h3>



<p>-&gt; 새 루트를 위한 파일들을 미리 묶어두고 복붙하면 될 것 같아 <br>-&gt; 그래서 tarball로 압축해둔게 image</p>



<p>그래서 docker의 이미지를 tar로 압축 해제하면 chroot가 가능한 디렉토리가 세팅되어 있음.</p>



<p>chroot의 치명적인 문제점</p>



<ol><li>fake root path 제공 가능하지만 탈옥이 됨.</li><li>isolation 되지 않음. 호스트 파일시스템에 직접 접근 가능</li><li>루트 권한 사용 불가</li><li>resource 무제한</li></ol>



<h2 id="대안점-pivot-root">대안점: pivot_root</h2>



<p>루트 파일시스템을 변경함. </p>



<p>-&gt; 원래 chroot는 pid 1의 정보를 상속받기 때문에 파일 시스템에 남은 상위 디렉토리로 이동 가능(탈옥)<br>-&gt; pivot_root는 프로세스가 보고 있는 파일 시스템을 바꿔서 탈옥이 불가능함.</p>



<p>이러면 fake root path에 대한 문제가 완전히 해결됨. 이제 격리와 리소스 관련 문제를 해결해야 함.</p>



<h2 id="namespace">Namespace</h2>



<p>네임스페이스는 프로세스에 격리된 환경과 리소스를 제공함. 7개가 있음.</p>



<p>time, syslog는 아직 전부 구현되지 않아서 docker같은 컨테이너 구현체마다 다르게 구현되어 있음.</p>



<h2 id="cgroup">CGroup</h2>



<p>프로세스에 할당하는 리소스를 제어하는 파일시스템</p>



<p>그룹별로 여러 장치들을 묶어서 각각 어떻게 자원을 사용할 지 파일로 기록해둠. 그리고 이 그룹에 프로세스를 바인딩함.</p>



<p>실습: stress 명령어로 CGroup 테스트하기</p>



<h2 id="정리">정리</h2>



<p>컨테이너는 프로세스다.</p>



<ol><li>tarball에 의해 탄생하고</li><li>namespace에 고정되어 있으며</li><li>cgroup에 의해 제어되고 있다.</li></ol>



<p>그래서 왜 VM보다 컨테이너가 용량이 적음?</p>



<h2 id="이미지-최적화-문제">이미지 최적화 문제</h2>



<p>ubuntu + nginx + mysql + …</p>



<p>ubuntu + nginx + tomcat + …</p>



<p>이러면 중복된 이미지가 많아져서 공간 문제가 발생하는거 아닌가?</p>



<h3 id="union-filesystem">union filesystem</h3>



<p>복수의 filesystem을 하나로 마운트하는 기능</p>



<p>두 파일시스템에 동일한 파일이 있는 경우, 나중에 마운트되는 파일시스템의 파일을 오버레이함.</p>



<p>하위 파일시스템에 대한 쓰기 작업 진행시 Copy on Write. 복사본을 생성하여 수행</p>



<p>일명 상속 파일시스템이라고 불림.</p>



<p>현재는 OverlayFS2를 사용.</p>



<p>이미지 -&gt; 병합된 이미지 -&gt; 컨테이너 내의 수정본 으로 계층으로 쌓여있음.</p>



<p>Docker에선 layer DB에서 관리함.</p>



<p>그래서 VM은 위에서처럼 약간의 변화가 있는 각각의 가상머신을 구분해서 저장하기 때문에 차지하는 공간이 크지만, 컨테이너는 중복된 부분을 union filesystem으로 관리하기 때문에 공간을 작게 차지한다.</p>
			
			
								</div>
</article>

			
	
			

		
		</main>
	</div></div>

Wraithkim의 지식공방

정리되지 않음. 이전 발표 수정: VM VS Containers VM: 하이퍼바이저 위에서 게스트 OS 실행 Containers: 호스트 OS의 커널에서 실행하는 가상 프로세스 이번 주제: 그래서 뭔 기술을 써서 이렇게 주어진 컴퓨터 자원을 가상으로 쪼개고 그룹화 하고 할 수 있는가? Docker란 무엇인가 컨테이너를 쉽게 배보할 수 있는 프로그램 컨테이너: 호스트 커널을 공유하고 프로세스의 실행영역을 격리 namespace: 프로세스 […]

랜각코-K8S 공부 내용

댓글