容器间内核资源共享通过复用特定Namespace实现，而非简单开关；Docker默认隔离全部六类Namespace，共享需显式指定如--ipc=container:NAME或--network=container:NAME等参数，使多个容器共用同一Namespace实例以达成网络、IPC或PID等维度的受控互通。

容器间内核资源共享不是“开启某个开关”就能实现的，而是通过有选择地共享特定 Namespace来达成受控的资源可见性与互通性。Docker 默认为每个容器创建独立的全部六类 Namespace（PID、NET、MNT、UTS、IPC、USER），隔离是常态；所谓“共享”，本质是让两个或多个容器复用同一个 Namespace 实例，从而打破对应维度的隔离边界。

明确目标：共享哪一类资源？

不同 Namespace 控制不同资源视图，需先确认业务真实需求：

• 网络互通：需共享 NET Namespace，使容器共用一套网络栈（IP、端口、路由、防火墙规则）
• 进程可见/信号互通：需共享 PID Namespace，让容器内进程能互相 kill 或观察对方 PID 树
• 共享内存/信号量/消息队列：需共享 IPC Namespace，这是 POSIX 共享内存（/dev/shm）、System V IPC 的前提
• 挂载点同步：需共享 MNT Namespace，使 mount/umount 在一方生效后另一方立即可见（极少用于跨容器，多见于容器与宿主机间）
• 主机名/域名一致：需共享 UTS Namespace，但实际价值有限，一般不单独使用

常用共享方式与对应命令

所有共享操作都通过 docker run 的 --*ns 参数或 --ipc 等等显式指定，不可事后修改：

Docker Compose Optimizer

优化 Docker Compose 配置，适用于开发和生产环境——审计服务、网络、卷、健康检查和资源管理。

下载

• 共享宿主机网络：docker run --network=host ... 或 --net=host → 容器直接使用宿主机 NET Namespace
• 共享另一个容器的网络：docker run --network=container:<target> ...</target> → 新容器复用目标容器的 NET Namespace
• 共享 IPC 资源：docker run --ipc=container:<target> ...</target> → 复用目标容器的 IPC Namespace，可访问同一块 /dev/shm
• 共享宿主机 IPC：docker run --ipc=host ... → 所有容器和宿主机进程共用 IPC 空间（高风险，慎用）
• 共享 PID 命名空间：docker run --pid=container:<target> ...</target> → 新容器能看到目标容器内的全部进程（如调试、监控场景）

典型组合实践示例

例如，运行一个 Nginx 和一个日志收集 sidecar 容器，要求它们共享网络和 IPC：

1. 先启动主容器并命名：docker run -d --name nginx-app --ipc=shareable -p 80:80 nginx（加 --ipc=shareable 允许被其他容器复用）
2. 再启动 sidecar 并复用其 IPC 和网络：docker run -d --name log-collector --ipc=container:nginx-app --network=container:nginx-app alpine tail -f /dev/null

此时两个容器拥有完全一致的网络接口、IP 地址、端口占用视图，并可通过 /dev/shm 高效交换日志缓冲区数据。

注意事项与限制

共享 Namespace 是强耦合行为，带来便利也引入约束：

• 共享 NET 后，容器无法再绑定自己的端口映射（-p 失效），也无法使用用户定义 bridge 网络
• 共享 PID 后，init 进程（PID 1）由第一个启动的容器承担，后续容器无权接管信号处理
• 共享 IPC 时，若未设 --shm-size，默认 /dev/shm 只有 64MB，大内存通信需显式扩大
• 不能混合共享：比如不能只共享 NET + IPC 而不共享 PID —— Docker 不支持部分复用，必须整 Namespace 实例复用