跨 Docker 容器共享内存：'--ipc=host' vs. '--ipc=shareable'

Question

我正在设置两个 docker 容器 - 一个作为服务器在内存中保存数据，另一个作为客户端来访问该数据。为此，我相信我需要使用--ipc 标志在容器之间共享内存。 Docker documentation 很好地解释了 --ipc 标志。根据文档，对我来说有意义的事情正在运行：

docker run -d --ipc=shareable data-server
docker run -d --ipc=container:data-server data-client

但我读过的所有 Stackoverflow 问题（1、2、3、4）都将两个容器直接链接到主机：

docker run -d --ipc=host data-server
docker run -d --ipc=host data-client

哪个更适合这个用例？如果ipc=host更好，你什么时候用ipc=shareable？

Answer 1

来自doc：

--ipc="MODE" : 设置容器的IPC模式

“shareable”：自己的私有 IPC 命名空间，可以与其他容器共享。

“host”：使用主机系统的 IPC 命名空间。

shareable和host的区别在于主机是否可以访问共享内存。

• IPC (POSIX/SysV IPC) 命名空间提供命名共享内存段、信号量和消息队列的分离。因此，两种模式之间的性能应该没有差异。
• 共享内存通常用于科学计算和金融服务行业的数据库和定制（通常是 C/OpenMPI、C++/使用 boost 库）高性能应用程序。

考虑到服务的安全性，使用host 会将IPC 命名空间暴露给控制主机的攻击者。使用shareable，IPC 命名空间只能在容器内部访问，其中可能包含任何攻击。 host 模式的存在是为了允许容器与其宿主之间进行合作。

通常很难知道询问者的环境和要求的所有细节，因此host 往往是最常用的推荐，因为它最容易理解和配置。