파드의 컨테이너 간 프로세스 네임스페이스 공유하기

이 페이지에서는 파드의 프로세스 네임스페이스 공유를 구성하는 방법을 보여드려요. 프로세스 네임스페이스 공유가 활성화되면, 한 컨테이너의 프로세스가 같은 파드의 다른 모든 컨테이너에 보여요.

이 기능을 사용하면 로그 핸들러 사이드카 컨테이너 같은 협력 컨테이너를 구성하거나, 셸 같은 디버깅 유틸리티를 포함하지 않는 컨테이너 이미지를 문제 해결할 수 있어요.

출처: 문서

본문

시작하기 전에 (Before you begin)

쿠버네티스 클러스터가 필요하고, kubectl 명령줄 도구가 클러스터와 통신하도록 구성돼 있어야 해요. 이 튜토리얼은 컨트롤 플레인 호스트가 아닌 노드가 두 개 이상 있는 클러스터에서 실행하는 것을 권장해요. 아직 클러스터가 없다면 minikube로 만들거나 다음 쿠버네티스 플레이그라운드 중 하나를 사용할 수 있어요.

iximiuz Labs
Killercoda
KodeKloud

Pod 구성하기 (Configure a Pod)

프로세스 네임스페이스 공유는 Pod의 .spec에 있는 shareProcessNamespace 필드로 활성화돼요. 예를 들어:

apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  shareProcessNamespace: true
  containers:
  - name: nginx
    image: nginx
  - name: shell
    image: busybox:1.28
    command: ["sleep", "3600"]
    securityContext:
      capabilities:
        add:
        - SYS_PTRACE
    stdin: true
    tty: true

pods/share-process-namespace.yaml — 클러스터에 nginx 파드를 생성해요.

kubectl apply -f https://k8s.io/examples/pods/share-process-namespace.yaml

shell 컨테이너에 접속해 ps를 실행해요.

kubectl exec -it nginx -c shell -- /bin/sh

명령 프롬프트가 보이지 않으면 Enter를 눌러 보세요. 컨테이너 셸에서:

# "shell" 컨테이너 안에서 실행
ps ax

출력은 다음과 비슷해요.

PID   USER     TIME  COMMAND
    1 root      0:00 /pause
    8 root      0:00 nginx: master process nginx -g daemon off;
   14 101       0:00 nginx: worker process
   15 root      0:00 sh
   21 root      0:00 ps ax

다른 컨테이너의 프로세스에 시그널을 보낼 수 있어요. 예를 들어 nginx에 SIGHUP을 보내 워커 프로세스를 재시작해요. 이는 SYS_PTRACE capability가 필요해요.

# "shell" 컨테이너 안에서 실행
kill -HUP 8   # 필요하면 "8"을 nginx 리더 프로세스의 PID로 변경
ps ax

출력은 다음과 비슷해요.

PID   USER     TIME  COMMAND
    1 root      0:00 /pause
    8 root      0:00 nginx: master process nginx -g daemon off;
   15 root      0:00 sh
   22 101       0:00 nginx: worker process
   23 root      0:00 ps ax

/proc/$pid/root 링크를 사용해 다른 컨테이너의 파일시스템에 접근하는 것도 가능해요.

# "shell" 컨테이너 안에서 실행
# 필요하면 "8"을 Nginx 프로세스의 PID로 변경
head /proc/8/root/etc/nginx/nginx.conf

출력은 다음과 비슷해요.

user  nginx;
worker_processes  1;

error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;


events {
    worker_connections  1024;

파드는 많은 리소스를 공유하므로 프로세스 네임스페이스도 공유하는 것이 합리적이에요. 하지만 일부 컨테이너는 다른 컨테이너와 격리되기를 기대할 수도 있어서, 그 차이를 이해하는 것이 중요해요.

컨테이너 프로세스는 더 이상 PID 1을 갖지 않아요. 일부 컨테이너는 PID 1 없이는 시작을 거부하거나(systemd를 사용하는 컨테이너 등), kill -HUP 1 같은 명령을 실행해 컨테이너 프로세스에 시그널을 보내려 해요. 공유 프로세스 네임스페이스가 있는 파드에서 kill -HUP 1은 파드 샌드박스(위 예시의 /pause)에 시그널을 보내요.
프로세스는 파드의 다른 컨테이너에 보여요. 여기에는 /proc에서 보이는 모든 정보(인자나 환경 변수로 전달된 비밀번호 등)가 포함돼요. 이들은 일반 Unix 권한으로만 보호돼요.
컨테이너 파일시스템은 /proc/$pid/root 링크를 통해 파드의 다른 컨테이너에 보여요. 이는 디버깅을 쉽게 하지만, 파일시스템 비밀이 파일시스템 권한으로만 보호된다는 뜻이기도 해요.

파드의 컨테이너 간 프로세스 네임스페이스 공유하기