Que sont les espaces de noms sur un SSD et comment sont-ils utilisés sous Linux ?

Quand on s'intéresse sérieusement au stockage moderne , au NVMe et à Linux , il est normal de se sentir un peu perdu : espaces de noms, partitions, LVM, conteneurs, Kubernetes… On a l'impression que tout le monde utilise le même terme, mais il ne signifie pas toujours la même chose. Ici, nous allons nous concentrer sur ce que sont les espaces de noms dans un SSD NVMe , comment ils apparaissent sous Linux et, puisque le terme est souvent utilisé, nous verrons également comment ils s'intègrent au noyau Linux et à Kubernetes afin d'éviter toute confusion.

L'idée est de dresser un tableau complet : à partir de ce qui se passe physiquement à l'intérieur d'un SSD NVMe avec espaces de noms logiques, notamment la manière dont ils sont exposés en tant que périphériques /dev/nvme0n1 sous Linux, et la manière dont ils sont gérés avec des outils tels que nvme-cliEnfin, nous aborderons le concept d'espaces de noms au niveau système (IPC, PID, réseau, etc.) et dans les orchestrateurs comme Kubernetes. Le tout sera présenté de manière pratique et accessible, et surtout, sans laisser de questions sans réponse.

Qu'est-ce qu'un espace de noms sur un SSD NVMe, exactement ?

Dans la technologie NVMe, un espace de noms correspond à un ensemble d'adresses de blocs logiques (LBA) que le système d'exploitation interprète comme un périphérique de stockage distinct. Il ne s'agit pas d'une mémoire NAND physique séparée, mais d'une séparation logique au sein du SSD.

Lors de la configuration du disque par le fabricant, le contrôleur NVMe organise la mémoire flash en un ou plusieurs espaces de noms. Chaque espace de noms est identifié par un NSID (identifiant d'espace de noms) , et le contrôleur se charge de les exposer au système hôte. Chaque espace de noms est présenté au système comme une destination indépendante, permettant ainsi à un seul SSD d'apparaître comme plusieurs disques distincts.

Sous Linux, chaque espace de noms apparaît comme un périphérique de bloc de type /dev/nvmeXnYoù X est l'index du contrôleur (par exemple, 0) et Y est l'identifiant de l'espace de noms (par exemple, 1). Ainsi, /dev/nvme0n1 Il indique « Contrôleur NVMe 0, espace de noms 1 ». Ce périphérique peut traitez-le comme n'importe quel autre disque: il peut être partitionné, formatear, ajouter à LVM, utiliser comme volume brut, etc.

Un détail important : la plupart des disques utilisent par défaut un seul espace de noms, dont la taille couvre la totalité de la capacité utilisable du SSD. Cependant, la norme NVMe permet de supprimer cet espace de noms et d’en recréer plusieurs, chacun avec sa propre taille et ses propriétés spécifiques, comme un format LBA particulier ou des politiques de sécurité spécifiques.

Taille, capacité et utilisation d'un espace de noms NVMe

La norme NVMe définit une structure appelée Identifier l'espace de noms qui contient plusieurs indicateurs clés : la taille, la capacité et l’utilisation de chaque espace de noms. Vous pouvez accéder à ces informations à l’aide d’outils tels que : nvme-cli en utilisant la commande nvme id-ns et aussi avec programmes de diagnostic des disques durs et des SSD.

Au sein de cette structure, trois champs clés se distinguent : NSZE, NCAP et NUSE . Leur compréhension est fondamentale pour contrôler l’utilisation réelle de l’espace dans chaque espace de noms et la manière dont l’unité réagit aux opérations de suppression logique (TRIM ou Deallocate).

Le champ Taille de l'espace de noms (NSZE) indique le nombre total de blocs logiques qui composent l'espace de noms, numérotés de LBA 0 à LBA n-1. Il s'agit, pour ainsi dire, de la taille nominale de l'espace de noms : le nombre d'adresses de blocs que l'hôte voit comme disponibles, qu'elles soient allouées en interne ou non.

Le champ « Capacité de l'espace de noms » (NCAP) indique le nombre maximal de blocs que le périphérique peut se voir allouer simultanément. Bien qu'il puisse sembler identique à NSZE, il ne s'agit pas nécessairement de la même chose : la capacité peut être inférieure à la taille officielle de l'espace de noms, ce qui permet des techniques avancées de gestion de l'espace et un surprovisionnement interne.

Enfin, le champ Utilisation de l'espace de noms (NUSE) indique le nombre de blocs logiques actuellement alloués. Après un formatage complet, NUSE doit être égal à zéro ; à mesure que des données sont écrites, cette valeur augmente et ne diminue que lorsque le système envoie des commandes de libération de blocs (TRIM ou Deallocate). Cet indicateur est très utile pour les applications et les systèmes qui doivent savoir si le périphérique gère correctement les demandes de libération d'espace.

Format de bloc et autres fonctionnalités d'espace de noms

Outre la taille et l'utilisation, chaque espace de noms décrit, via la commande `Identify` , les formats LBA qu'il prend en charge, les tailles de blocs optimales et s'il dispose de fonctionnalités supplémentaires telles que la protection de bout en bout ou différents modes de sécurité. Les systèmes d'exploitation et les applications utilisent ces informations pour ajuster la taille des opérations de lecture/écriture et optimiser l'utilisation du matériel.

Un seul SSD peut accepter un ou plusieurs formats LBA (par exemple, 4 Kio, 8 Kio, etc.). Sur certains modèles, tous les espaces de noms doivent utiliser le même format ; sur d’autres, chaque espace de noms peut avoir une taille de bloc différente. Ceci est particulièrement utile pour combiner des charges de travail diverses, où un espace de noms est optimisé pour les E/S de petits fichiers et un autre pour les lectures séquentielles de grands volumes.

La structure d'identification indique également si l'espace de noms prend en charge les informations de protection (PI), c'est-à-dire des métadonnées supplémentaires permettant de vérifier l'intégrité des données depuis l'application jusqu'à la mémoire NAND, réduisant ainsi la probabilité de corruption silencieuse.

Il est important de noter qu'un même espace de noms peut être associé à un ou plusieurs contrôleurs NVMe au sein d'un même sous-système. S'il est lié à un seul contrôleur, on parle d'espace de noms privé ; s'il est associé à plusieurs, on parle d'espace de noms partagé. Cette flexibilité est essentielle dans les environnements à haute disponibilité et les baies de stockage NVMe-oF (NVMe over Fabrics).

Gestion des espaces de noms : création, suppression et association

La spécification NVMe comprend deux groupes principaux de commandes pour la gestion des espaces de noms : la gestion et l’association . Le premier permet de créer, modifier et supprimer des espaces de noms ; le second permet de les associer ou de les dissocier d’un ou plusieurs contrôleurs du sous-système.

Le processus se déroule généralement comme suit : l’hôte crée d’abord un espace de noms avec les paramètres souhaités (taille, capacité, format LBA, etc.). À ce stade, l’espace de noms n’est pas encore reconnu comme un périphérique de stockage par le système d’exploitation. Pour le rendre visible, il faut exécuter la commande ` attach` , qui l’associe à un ou plusieurs contrôleurs. Après une réinitialisation ou une redécouverte du contrôleur, le système l’exposera finalement comme un périphérique `/dev/nvmeXnY`.

Vous pouvez également procéder inversement : détacher un espace de noms existant de ses contrôleurs pour qu’il ne soit plus exposé à l’hôte, puis le supprimer définitivement. Cette opération est généralement effectuée lorsque vous souhaitez recréer la distribution des espaces de noms sur une unité, par exemple pour modifier le pourcentage de surprovisionnement ou réorganiser la répartition entre différents locataires.

Sous Linux, l'outil de référence pour cela est nvme-cliIl vous permet de lister les espaces de noms (nvme list), vérifiez les détails avec Identify, créez de nouveaux espaces de noms (nvme create-ns), attachez-les (nvme attach-ns), séparez-les (nvme detach-ns) et supprimez-les (nvme delete-nsCes opérations nécessitent généralement des privilèges d'administrateur et doivent être soigneusement planifiées, car elles impliquent des modifications importantes de l'agencement de l'unité. De plus, il est conseillé garder le firmware à jour.

Lorsqu'on travaille avec plusieurs espaces de noms dans la même unité, il est courant d'utiliser des espaces de noms privés pour les environnements isolés (par exemple, un hôte spécifique) et des espaces de noms partagés pour les architectures plus complexes, où plusieurs hôtes accèdent de manière coordonnée aux mêmes données via un sous-système NVMe-oF.

Pourquoi diviser un SSD NVMe en plusieurs espaces de noms ?

Il pourrait sembler que la solution la plus simple consiste à n'utiliser qu'un seul espace de noms sur le SSD, occupant toute sa capacité. Cependant, il existe des raisons convaincantes de créer plusieurs espaces de noms. Parmi les plus courantes figurent la séparation logique des clients, une sécurité renforcée et un réglage précis des performances et de la durabilité.

Dans les environnements mutualisés , comme ceux impliquant des fournisseurs de services cloud ou de grandes plateformes, un seul SSD physique peut héberger les données de plusieurs clients. Grâce aux espaces de noms, chaque client dispose de son propre « disque logique » isolé. Cela simplifie considérablement la gestion, la facturation et la définition des SLA, sans nécessiter le partitionnement physique de la mémoire NAND.

Une autre raison fréquente concerne la sécurité et le chiffrement des espaces de noms . De nombreux disques NVMe compatibles OPAL permettent de définir des politiques de chiffrement sur les plages LBA. Avec un seul espace de noms, vous pouvez configurer plusieurs plages protégées. En revanche, si vous créez des espaces de noms distincts pour différents ensembles de données, vous pouvez appliquer des clés et des règles de chiffrement différentes à chaque espace de noms, en fonction du niveau de sensibilité de chaque ensemble de données.

Il y a aussi le cas d' environnements présentant des exigences de performance très différentes sur une même machine. Un espace de noms peut être réservé à une base de données critique, avec un surdimensionnement important pour minimiser la latence et améliorer la résilience, tandis qu'un autre espace de noms sert aux données moins gourmandes en E/S. Cette séparation permet d'éviter qu'une charge de travail bruyante ne dégrade les performances d'une charge plus sensible.

De plus, les espaces de noms permettent d'appliquer des politiques de lecture seule aux données critiques, telles qu'un système d'exploitation embarqué ou une image de démarrage dans les appareils mobiles, les environnements à haute sécurité ou les systèmes industriels. NVMe peut marquer temporairement un espace de noms comme étant en lecture seule (jusqu'à la prochaine mise hors tension), jusqu'à ce que le verrou soit levé et que le disque soit redémarré, ou même le maintenir en mode lecture seule de façon permanente pendant toute la durée de vie du disque.

Surdimensionnement et réglage fin par espace de noms

Les SSD réservent toujours en interne une certaine quantité de mémoire flash, invisible pour le système, qui sert de surprovisionnement pour des tâches internes telles que le nettoyage de la mémoire, l'équilibrage de l'usure et la gestion des blocs défectueux. Cependant, en ajustant la taille des espaces de noms, l'administrateur peut influencer la quantité de mémoire NAND non allouée à l'hôte et donc disponible comme réserve interne.

Si l'espace de noms créé est nettement inférieur à la capacité totale de la mémoire flash physique, une plus grande partie de cette mémoire reste inaccessible à l'hôte. Plus le périphérique est surdimensionné, meilleure est la stabilité des performances et plus grande est l'endurance en écriture, un facteur crucial pour les charges de travail intensives en écriture.

Par exemple, imaginez un SSD de 7,68 To défini avec un espace de noms utilisable d'environ 6,14 TBLe reste demeure caché à l'hôte et est ajouté à la mémoire tampon de surprovisionnement. Avec des outils comme nvme-cli Il est possible de supprimer les espaces de noms précédents, de les recréer avec la taille souhaitée et de les rattacher aux contrôleurs pour obtenir précisément cet effet.

L'une des difficultés de ce processus réside dans l'ajustement précis de la granularité de la taille et de la capacité de l'espace de noms . La norme autorise la gestion des NSZE et NCAP en unités qui ne correspondent pas nécessairement à la taille exacte des blocs logiques, ce qui peut entraîner la présence de petites portions de mémoire non adressable si les valeurs ne sont pas choisies avec soin. L'objectif est de minimiser cet espace « gaspillé » afin d'optimiser au maximum l'espace de noms.

Lors de la création d'un espace de noms, les restrictions signalées par le périphérique doivent être prises en compte. En ajustant les valeurs NSZE et NCAP en fonction de ces facteurs, la quasi-totalité de la mémoire physique peut être utilisée de manière optimale, soit comme espace accessible à l'hôte, soit comme surprovisionnement interne disponible pour le contrôleur.

Espaces de noms, partitions Linux, LVM et raccourcis de blocs

Sous Linux, chaque espace de noms NVMe apparaît comme un périphérique de bloc de base tel que /dev/nvme0n1 . L'administrateur peut alors décider de son utilisation : le laisser non partitionné pour les E/S directes, le partitionner comme un disque classique ou l'intégrer à LVM ou à d'autres systèmes de gestion de volumes.

Lorsque des partitions sont créées dans cet espace de noms, le noyau les expose sous la forme /dev/nvme0n1p1, /dev/nvme0n1p2 , etc. Le suffixe « p » indique qu'il s'agit d'une partition de cet espace de noms, tout comme /dev/sda1 est une partition de /dev/sda. Il est possible de monter des systèmes de fichiers sur ces partitions, et celles-ci peuvent être utilisées dans LVM, le RAID logiciel, etc.

Si l'objectif est d'exposer directement un stockage bloc brut à une base de données ou à un système de stockage distribué, on utilise généralement un espace de noms sans partitions, ou une partition dédiée sans système de fichiers installé. Dans ce cas, l'application communique généralement directement au niveau des blocs logiques et gère son propre espace interne.

Il est important de noter que le partitionnement d'un espace de noms existant sans affecter les données n'est pas une opération simple. La modification de la structure des espaces de noms implique généralement la sauvegarde des données, le démontage et la suppression de l'espace de noms, puis sa recréation à la taille souhaitée, ce qui exige une planification rigoureuse en environnement de production.

En ce qui concerne les permissions, un périphérique de stockage par blocs sans système de fichiers est contrôlé comme n'importe quel autre nœud. /devà travers propriétaire, groupe et mode d'accèsDe plus, ils peuvent être utilisés ACL, règles udev et des mécanismes de contrôle d'accès au système (par exemple, des groupes spéciaux pour l'accès au disque) pour décider quels utilisateurs ou services peuvent lire et écrire dans un espace de noms ou l'une de ses partitions.

Espaces de noms du noyau Linux : isolation des ressources système

Le terme « espace de noms » ne se limite pas au contexte NVMe. Le noyau Linux propose un mécanisme du même nom, conçu pour isoler les ressources système pour des processus spécifiques . Cette fonctionnalité est à la base de technologies telles que les conteneurs Docker, Podman, LXC et les environnements d'exécution isolés (sandbox) comme Flatpak et BubbleWrap.

Dans ce cas, un espace de noms encapsule une ressource globale (points de montage, pile réseau, PID, utilisateurs, nom d'hôte, horloges, etc.) dans une abstraction qui permet aux processus qui s'y trouvent de voir leur propre instance isolée de cette ressource. Les modifications effectuées depuis cet espace de noms ne sont visibles que par les processus qui partagent ce même espace de noms.

Linux prend actuellement en charge plusieurs types d'espaces de noms : cgroup, ipc, mnt (mount), net, pid, user, uts et time . Chacun isole un aspect spécifique du système. Par exemple, l'espace de noms réseau permet à un conteneur d'avoir ses propres interfaces et tables de routage, tandis que l'espace de noms PID lui attribue sa propre numérotation de processus, commençant à 1.

Pour vérifier à quels espaces de noms appartient un processus spécifique, il suffit de consulter le liens symboliques dans /proc/<PID>/ns/Chaque lien pointe vers un identifiant d'espace de noms, qui peut être partagé avec d'autres processus (s'ils se trouvent dans le même espace) ou être différent (s'il s'agit d'un environnement isolé).

Des outils comme bubblewrap (bwrap) , utilisé par Flatpak, reposent précisément sur ces mécanismes. Bwrap crée des environnements isolés en lançant des processus avec des espaces de noms distincts pour le montage, le PID, l'utilisateur, le réseau, etc., de sorte que l'application s'exécute dans un environnement confiné où elle n'a accès qu'aux ressources qui lui sont allouées.

Expérimentations pratiques avec unshare et nsenter

Si vous souhaitez expérimenter avec les espaces de noms Linux sans installer quoi que ce soit d'inhabituel, vous disposez de commandes système telles que : unshare y nsenterIls sont très utiles pour comprendre ce qui se passe en coulisses lorsque vous exécutez des conteneurs ou des applications en mode sandbox.

Avec unshare Vous pouvez lancer un nouveau processus avec un ou plusieurs espaces de noms isolés : par exemple, un shell qui possède son propre ensemble de PID et d’utilisateurs. Lorsqu'il est exécuté avec des options telles que --user, --pid et --forkVous obtiendrez une session dans laquelle le processus exécuté à l'intérieur considère le PID 1 comme le sien et, de plus, s'exécute avec un utilisateur différent (par exemple, personne), ce qui souligne cet isolement.

Dans ces environnements, il est important de mettre en place un /proc nouveau et isolé en utilisant l'option --monter-procSi cela n'est pas fait, certains utilitaires qui en dépendent ne pourront pas fonctionner correctement. /proc/<PID>/exe Elles peuvent échouer car elles tentent de consulter des informations sur les processus en fonction de l'espace de noms de l'hôte, et le noyau bloque cet accès pour maintenir l'isolation de sécurité.

Il convient également de noter que, si unshare aucune usa -fourchetteIl pourrait exécuter la commande au sein du même processus et provoquer des erreurs étranges, comme l'impossibilité de monter /proc de manière adéquate ou en cas d'échecs d'allocation de mémoire, puisque le processus n'assume pas le rôle correct de PID 1 dans le nouvel espace de noms.

En outre, nsenter Il fonctionne à l'inverse : il permet d'« accéder » aux espaces de noms d'un processus existant. C'est généralement la méthode utilisée pour examiner comment un conteneur ou une application Flatpak perçoit le monde depuis l'hôte. Une fois à l'intérieur, vous pouvez inspecter sa pile réseau, ses points de montage, sa table des processus internes, etc., comme si vous étiez « à l'intérieur » du conteneur.

Espaces de noms et conteneurs : de Flatpak à Podman et Docker

Une fois que vous comprenez les espaces de noms du noyau, il est facile de voir que les conteneurs ne sont pas magiques, mais une composition de plusieurs primitives : des espaces de noms pour isoler les ressources, des cgroups pour limiter la consommation, des capacités pour contrôler les privilèges et des systèmes de fichiers en couches pour empaqueter les applications.

Flatpak utilise le modèle « bullewpack » pour créer des environnements isolés pour les applications de bureau. Chaque application s'exécute dans un ensemble d'espaces de noms où les chemins d'accès, la visibilité des processus, l'accès réseau, etc., sont restreints. Au niveau du processus, il est clair que les PID, les points de montage et souvent l'utilisateur diffèrent de ceux du système hôte.

De même, des outils tels que LXC, Docker ou Podman Ils comprennent différents espaces de noms pour créer des conteneurs à usage général. Par exemple, un conteneur sans privilèges root peut utiliser un espace de noms utilisateur pour associer des identifiants internes à des identifiants non privilégiés sur l'hôte, et un espace de noms réseau pour disposer d'interfaces virtuelles dédiées. L'analyse de l'identifiant du processus du conteneur sur l'hôte et l'accès avec nsenterCette isolation peut être vérifiée directement.

Pour les situations où vous souhaitez créer plus facilement des espaces de noms « sans accès root », vous pouvez utiliser des outils comme rootlesskit , qui aident à configurer tout ce qui est nécessaire pour qu'un utilisateur sans privilèges puisse créer des environnements isolés sans accès direct à root , une fonctionnalité de plus en plus demandée dans les environnements multi-utilisateurs modernes.

Espaces de noms dans Kubernetes : clusters virtuels logiques

Le terme « espace de noms » réapparaît dans Kubernetes, mais il désigne ici un mécanisme logique de segmentation des ressources au sein d'un même cluster . Il n'a rien à voir avec les adresses de blocs NVMe ni avec l'isolation au niveau du noyau, même si, conceptuellement, il est également utilisé pour la séparation et l'organisation.

Dans Kubernetes, un espace de noms est comparable à un cluster virtuel au sein d'un cluster physique . Il permet de regrouper les ressources (pods, services, déploiements, etc.) afin qu'elles puissent être gérées et isolées par équipes, projets ou environnements (développement, test, production) sans qu'il soit nécessaire de configurer plusieurs clusters physiques.

Ces espaces de noms permettent à des ressources portant le même nom de coexister dans différents contextes . Par exemple, un service nommé « my-service » peut exister dans l’ espace de noms de développement , et un autre service portant le même nom en production , sans conflit, car l’unicité est garantie uniquement au sein de chaque espace de noms.

De plus, les espaces de noms Kubernetes s'intègrent au RBAC (contrôle d'accès basé sur les rôles) . Il est possible de définir des autorisations limitant les utilisateurs ou comptes de service autorisés à créer, modifier ou consulter des ressources dans un espace de noms donné, ce qui facilite grandement la délégation sécurisée entre différentes équipes ou organisations partageant une infrastructure.

Un autre élément clé est la gestion des quotas de ressources . Kubernetes permet de limiter, par espace de noms, la quantité de processeur, de mémoire, d'objets (tels que les pods) et d'autres ressources que les charges de travail peuvent consommer. Cela empêche un seul projet d'accaparer l'intégralité du cluster et favorise une utilisation plus prévisible et équitable.

Fonctionnement pratique des espaces de noms dans Kubernetes

Dans un cluster nouvellement installé, Kubernetes crée généralement plusieurs espaces de noms par défaut : default, kube-system et kube-public . Le premier est utilisé pour les ressources qui ne spécifient pas d’espace de noms ; le deuxième pour les composants système internes ; le troisième, accessible même aux utilisateurs non authentifiés, est réservé à certains éléments qui doivent être accessibles publiquement au niveau du cluster.

Pour afficher les espaces de noms disponibles, vous pouvez utiliser kubectl get namespaces ou son abréviation. À partir de là, l'administrateur peut créer et supprimer des espaces de noms selon les besoins, généralement en suivant une stratégie organisationnelle axée sur les projets ou sur l'environnement (par exemple, dev, mise en scène, poussée).

Lorsqu'une commande est lancée avec kubectlL'espace de noms cible peut être spécifié temporairement à l'aide de l'option –espace de nomsVous pouvez également configurer un contexte par défaut qui fait pointer toutes les opérations vers un espace de noms spécifique, ce qui évite les erreurs et vous dispense de saisir l'option dans chaque commande.

Concernant le DNS, Kubernetes enregistre les services à l'aide d'un nom de domaine pleinement qualifié (FQDN) tel que `<nom-du-service>.<espace-de-noms>.svc.cluster.local` . Au sein d'un même espace de noms, le nom du service suffit ; la résolution DNS se charge du reste. En revanche, pour accéder à un service situé dans un espace de noms différent depuis un pod appartenant à un même espace de noms, il est nécessaire d'utiliser le FQDN ou un nom partiel incluant au moins le nom du service et l'espace de noms.

Tous les objets Kubernetes ne résident pas dans un espace de noms. Les espaces de noms eux-mêmes, les nœuds et les volumes persistants sont des ressources de niveau cluster et ne sont pas encapsulés dans un espace de noms. Il est important de comprendre quelles ressources sont logiquement segmentées et lesquelles sont considérées comme globales.

En général, il est recommandé d'utiliser les espaces de noms lorsque le cluster compte déjà un nombre important d'utilisateurs et d'applications , ou lorsqu'une isolation claire entre les machines est nécessaire. Pour les différences moins critiques (comme les versions d'applications), il est généralement préférable d'utiliser des étiquettes au sein du même espace de noms plutôt que de multiplier inutilement le nombre d'espaces de noms.

Si l'on considère tous ces éléments — les espaces de noms des SSD NVMe pour la segmentation des adresses de blocs, les espaces de noms du noyau pour l'isolation des ressources des processus et les espaces de noms Kubernetes pour l'organisation logique des ressources du cluster — on constate que le même terme est réutilisé pour des concepts connexes : la création de domaines distincts au sein d'un espace partagé , chacun avec sa propre vision et ses propres règles. Savoir à quelle couche on se trouve à un instant donné est essentiel pour un système organisé et un système impossible à maintenir.