50줄 코드로 컨테이너를 직접 만들어보자!

chroot 시스템 콜(System Call)을 활용하여 컨테이너 내부에서 호스트 파일 시스템(Host File System) 접근을 차단, 보안 강화(Security Enhancement)

Ubuntu rootfs를 제공하여 컨테이너 내에서 쉘(Shell) 실행 환경을 구축하고, 실행 환경(Execution Environment) 독립성 확보

PID 네임스페이스(PID Namespace)와 /proc 마운트(Mount)를 통해 컨테이너 내부에서 프로세스(Process) 식별 및 관리, 프로세스 격리(Process Isolation) 구현

cgroups를 사용하여 컨테이너의 자원 사용량 제한, 자원 관리(Resource Management)를 통해 호스트 시스템(Host System) 안정성 유지

chroot를 이용한 파일 시스템 격리

본문에서는 chroot(Change Root) 시스템 콜을 사용하여 컨테이너의 루트 디렉터리(/)를 변경, 호스트 파일 시스템(Host File System) 접근을 제한한다. chroot는 프로세스(Process)의 관점에서 파일 시스템의 루트를 변경하여, 컨테이너 내부에서 호스트의 파일에 접근하는 것을 막는다.

격리된 환경(Isolated Environment) 구축: chroot를 통해 컨테이너는 자신만의 파일 시스템 뷰(File System View)를 가지며, 호스트 시스템의 파일에 접근할 수 없다.

보안 강화(Security Enhancement): chroot는 컨테이너 탈출 시도를 방지하여, 호스트 시스템의 보안을 강화하는 핵심 기술이다.

단점: chroot는 파일 시스템 격리만 제공하며, 프로세스 격리(Process Isolation)를 위해서는 네임스페이스(Namespace) 기술과 함께 사용해야 한다.

Ubuntu rootfs를 이용한 쉘(Shell) 실행 환경 구성

글에서는 컨테이너 내에서 쉘(Shell)을 실행하기 위해 Ubuntu rootfs를 제공하는 과정을 설명한다. rootfs는 쉘 실행에 필요한 기본 바이너리(Binary)와 디렉터리 구조를 포함하는 파일 시스템(File System)이다.

Docker를 활용한 rootfs 생성: Docker를 사용하여 Ubuntu 컨테이너를 생성하고, 해당 컨테이너의 파일 시스템을 압축 파일(ubuntu.tar)로 추출한다.

chroot 적용: 추출한 rootfs를 컨테이너의 루트 디렉터리로 설정하여, 컨테이너 내에서 쉘 명령어를 실행할 수 있도록 한다.

/bin/bash 실행: rootfs 내에 /bin/bash 바이너리가 존재하므로, 컨테이너 내부에서 쉘을 실행할 수 있다. rootfs는 컨테이너의 최소 실행 환경(Minimum Execution Environment)을 제공한다.

PID 네임스페이스(Namespace)와 /proc 마운트를 통한 프로세스 격리

본문에서는 PID 네임스페이스(PID Namespace)와 /proc 파일 시스템(File System)을 사용하여 컨테이너 내부의 프로세스(Process)를 격리하는 방법을 설명한다. PID 네임스페이스는 각 컨테이너에 독립적인 PID 공간을 제공하고, /proc는 실행 중인 프로세스 정보를 제공한다.

PID 네임스페이스 생성: CLONE_NEWPID 플래그(Flag)를 사용하여 새로운 PID 네임스페이스를 생성, 컨테이너 내부에서 PID 1번 프로세스를 갖도록 한다.

/proc 마운트: 컨테이너 내부에서 /proc 파일 시스템을 마운트하여, ps 명령어를 통해 실행 중인 프로세스 정보를 확인할 수 있도록 한다.

프로세스 격리: PID 네임스페이스와 /proc를 통해 컨테이너는 호스트 시스템의 프로세스에 영향을 받지 않고, 독립적으로 프로세스를 관리한다.