간단히 말해서 네임 스페이스는 더 큰 Linux 시스템 내에 가상 Linux 시스템을 구축하는 방법을 제공합니다. 이는 권한이없는 프로세스로 실행되는 가상 시스템을 실행하는 것과 다릅니다. 가상 시스템은 호스트에서 단일 프로세스로 표시되는 반면 네임 스페이스 내에서 실행되는 프로세스는 여전히 호스트 시스템에서 실행됩니다.
더 큰 시스템에서 실행되는 가상 시스템을 컨테이너 라고합니다 . 컨테이너의 개념은 컨테이너 내부에서 실행되는 프로세스가 시스템의 유일한 프로세스라고 믿습니다. 특히, 컨테이너 내부의 루트 사용자에게는 컨테이너 외부의 루트 권한이 없습니다 (최근 충분한 버전의 커널에서만 적용됨).
네임 스페이스는 한 번에 하나의 기능을 가상화합니다. 네임 스페이스 유형의 몇 가지 예는 다음과 같습니다.
- 사용자 네임 스페이스 — 네임 스페이스 내부와 외부에서 다른 사용자로 실행중인 것처럼 프로세스가 작동 할 수 있습니다. 특히 네임 스페이스 내에서 UID 0으로 실행되는 프로세스는 동일한 네임 스페이스에서 실행되는 프로세스에 대해서만 수퍼 유저 권한을 갖습니다.
Linux 커널 3.8부터 권한이없는 사용자는 사용자 네임 스페이스를 만들 수 있습니다. 이를 통해 일반 사용자는 루트로 예약 된 기능 (예 : 라우팅 테이블 변경 또는 기능 설정)을 사용할 수 있습니다.
- PID 네임 스페이스 — PID 네임 스페이스 내의 프로세스는 해당 네임 스페이스 외부의 프로세스를 종료하거나 추적 할 수 없습니다.
- 마운트 네임 스페이스 — 프로세스가 파일 시스템을 직접 볼 수 있도록합니다. 이보기는 파일 시스템의 일부를 숨기고 일부를 재구성하여 디렉토리 트리가 다른 위치에 표시되도록하는 부분보기 일 수 있습니다. 마운트 네임 스페이스는 전통적인 Unix 기능인 chroot를 일반화하여 프로세스를 특정 하위 트리로 제한 할 수 있습니다.
- 네트워크 네임 스페이스 — 네트워킹 리소스 (네트워크 장치)를 분리하여 프로세스 격리를 향상시킵니다.
네임 스페이스는 커널을 사용하여 네임 스페이스를 격리시킵니다. 이 작업은 매우 복잡하므로 보안 버그가 여전히있을 수 있습니다. 보안 버그의 위험은이 기능을 사용하지 않는 주된 이유입니다. 임베디드 장치를 위해 작은 커널을 만들 때이를 활성화하지 않는 또 다른 이유가 있습니다. 일반적인 서버 나 워크 스테이션에 설치하는 범용 커널에서 다른 성숙한 커널 기능과 마찬가지로 네임 스페이스를 활성화해야합니다.
네임 스페이스를 사용하는 애플리케이션은 여전히 적습니다. 몇 가지가 있습니다 :
자세한 내용 은 Michael Kerrisk의 LWN 기사 시리즈 를 참조하십시오.