alexeiled/nsenter

nsenter

!Docker Pulls

镜像概述和主要用途

alexeiled/nsenter是一个基于scratch的Docker镜像，仅包含一个静态链接的nsenter可执行文件。nsenter是一个Linux工具，允许用户进入正在运行的进程的命名空间（如PID、网络、挂载等），从而在目标命名空间中执行命令。该镜像设计轻量且功能单一，主要用于通过容器化方式便捷地访问和操作其他容器、Docker主机或Kubernetes节点的命名空间。

核心功能和特性

• 轻量级设计：基于scratch基础镜像，镜像体积极小，仅包含必要的nsenter工具
• 静态链接：nsenter文件采用静态链接方式构建，无需依赖外部库，可在任何Linux环境中运行
• 多命名空间支持：支持进入多种Linux命名空间（PID、网络、挂载、用户等）
• 便捷访问：通过简单的Docker命令即可进入目标容器、主机或Kubernetes节点的命名空间

使用场景和适用范围

• Docker容器调试：进入运行中容器的命名空间，排查网络、进程或文件系统问题
• Docker主机维护：在无法直接登录Docker主机时，通过该镜像进入主机命名空间执行管理操作
• Kubernetes节点管理：通过辅助脚本进入Kubernetes集群中的特定节点，进行节点级别的调试和维护

使用方法和配置说明

前提条件

• 需在Linux环境中使用，nsenter工具依赖Linux命名空间特性
• Docker引擎版本需支持--privileged和--pid参数

进入容器命名空间

通过以下命令进入指定容器的所有命名空间：

sh
# 进入目标容器的所有命名空间
docker run -it --rm --privileged --pid=container:<容器名称或ID> alexeiled/nsenter --all --target 1 -- su -

参数说明：

• --privileged：授予容器特权模式，允许访问主机命名空间
• --pid=container:<容器名称或ID>：将容器的PID命名空间设置为目标容器的PID命名空间
• --all：进入目标进程的所有命名空间
• --target 1：指定目标进程ID（容器内的init进程，通常为1）
• su -：切换到root用户并启动交互式shell

进入Docker主机命名空间

通过以下命令进入Docker主机的所有命名空间：

sh
# 进入Docker主机的所有命名空间
docker run -it --rm --privileged --pid=host alexeiled/nsenter --all --target 1 -- su -

参数说明：

• --pid=host：将容器的PID命名空间设置为主机的PID命名空间
• 其他参数与进入容器命名空间的命令相同

进入Kubernetes节点

使用辅助脚本nsenter-node.sh可创建一个容忍指定节点的Pod，从而进入Kubernetes节点的命名空间。

1. 获取节点列表：

sh
kubectl get nodes

示例输出：

NAME                                            STATUS   ROLES    AGE     VERSION
ip-192-168-151-104.us-west-2.compute.internal   Ready    <none>   6d17h   v1.13.7-eks-c57ff8
ip-192-168-171-140.us-west-2.compute.internal   Ready    <none>   5d10h   v1.13.7-eks-c57ff8

2. 进入指定节点：

sh
# 进入选定节点，默认以root用户启动shell
./nsenter-node.sh ip-192-168-151-104.us-west-2.compute.internal

成功进入后将看到节点的shell提示符：

[root@ip-192-168-171-140 ~]#

官方文档参考

有关nsenter工具的详细使用方法，请参阅官方文档：[***]