Linux proc cgroup namespace 怎样隐藏宿主路径

如果隔离环境里的进程执行 cat /proc/self/cgroup，结果出现了 /batchjobs/container-a/worker 这样的宿主层级路径，问题通常不是 cgroup 资源限制失效，而是进程仍在初始 cgroup namespace 中观察完整视图。Linux 的 cgroup namespace 可以把这份视图的根固定到创建 namespace 时所在的 cgroup，使进程看到 0::/ 或相对路径。

先记住边界：它主要虚拟化 /proc/$PID/cgroup 和相关挂载视图，不会自动隐藏普通文件系统、主机网络、进程信息，也不会替你配置 cgroup 权限。

最小处理方式是让目标进程在自己的 cgroup namespace 中启动，再用 /proc/self/cgroup 复查；如果还要隐藏可浏览的 cgroup 树，则需要配合 mount namespace 和私有 cgroup2 挂载。

触发信号：/proc/self/cgroup 出现宿主层级

在 cgroup v2 中，典型记录是 0::/路径。下面的路径可以是宿主调度层级、租户标识或容器编排器生成的目录名。它本身不等于“已经能修改宿主资源”，但会暴露不必要的系统结构。

# 只读取当前进程的 cgroup 视图，不修改任何资源配置
cat /proc/self/cgroup

# 读取当前进程所在的 cgroup namespace 句柄
readlink /proc/self/ns/cgroup

# 查看 proc 挂载是否带有与当前隔离环境匹配的选项
grep ' /proc ' /proc/self/mountinfo

如果第一条输出中出现明显的宿主层级，而 namespace 句柄仍与宿主工作负载共用，优先处理“视图边界”，不要先去改 cgroup.procs。这一步只回答“看到了什么”，不回答“能不能写入”。

快速判断：先区分路径可见性和权限

处理前可以用三个问题缩小范围：

• 是否为 cgroup v2：输出通常包含 0::；v1 可能有多行层级，不能只按一行判断。
• 是否已经进入非初始 cgroup namespace：对比 readlink /proc/1/ns/cgroup 与当前进程的句柄，只把它当作线索。
• 是否还暴露可遍历的 cgroup 树：/proc/self/mountinfo 只说明挂载视图，不能替代权限检查。

cgroup namespace 的根是在创建时确定的：创建进程当时所在的 cgroup 会成为 namespace root。之后进程即使被移动到子 cgroup，/proc/self/cgroup 也会以这个根为相对起点显示。

处理步骤：用 unshare 创建临时 cgroup namespace

下面的命令只启动一个临时 shell，不创建子 cgroup，也不改变配额。它适合先确认路径可见性；实际服务应在容器运行时或服务启动配置中长期设置，而不是让生产进程依赖人工进入的 shell。

# --cgroup 创建新的 cgroup namespace；--fork 让子 shell 承担隔离视图
unshare --cgroup --fork sh -c '
  # namespace root 通常对应创建前当前进程所在的 cgroup
  printf "cgroup namespace: "
  readlink /proc/self/ns/cgroup

  # 这里观察的是 namespace 内的相对视图，不是宿主完整路径
  cat /proc/self/cgroup
'

在权限允许且当前环境支持该选项时，输出中的路径应从宿主层级变成以 / 为根的相对视图。若收到权限错误，先检查 user namespace、容器能力和系统策略；不要为了“让命令成功”直接给服务增加不必要的特权。

如果还需要限制 cgroup 文件树的可见范围，应在同一个隔离设计中配合 mount namespace 和 namespace-private 的 cgroup2 挂载。cgroup namespace 本身不等价于完整容器隔离。

回滚路径：退出临时 shell，再做三项复查

临时 namespace 没有持久化配置，退出上面的 shell 就会释放该 namespace；宿主原有 cgroup 层级不会因此删除。若同时创建了私有挂载，先在对应 mount namespace 内卸载，再退出。

# 复查一：确认 cgroup v2 记录的路径只在当前 namespace 根内
grep '^0::' /proc/self/cgroup

# 复查二：确认当前 namespace 句柄与预期隔离对象一致
readlink /proc/self/ns/cgroup

# 复查三：确认没有把 namespace 误当成普通权限控制
test -r /proc/self/cgroup && echo '可读视图存在' || echo '需要检查 proc 挂载'

值班时可以把这三项作为告警确认条件：路径是否仍暴露宿主层级、namespace 是否被意外回到初始视图、以及 proc 是否按预期挂载。不要用“能看到 /”推断资源已经隔离，也不要用“不能看到完整路径”推断权限已经收紧。

常见误区与复盘清单

这套处理的目标是减少 /proc cgroup 路径暴露，而不是把 Linux namespace 变成万能安全边界。上线前应把 namespace、mount、user 权限和 cgroup 委派范围作为一个整体复盘。

相关问题

cgroup namespace 会隐藏所有宿主路径吗？

不会。它针对 cgroup 视图，不能替代 mount、PID、网络或 user namespace。

为什么输出有时是 /../xxx？

跨 namespace 查看其他进程时，内核会用相对于调用者 namespace root 的路径表示；这不等于恢复了完整宿主绝对路径。