CentOS 7如何制作chroot环境？从依赖开始的完整教程有吗？

在 Linux 系统管理中，chroot（change root）是一个强大且实用的工具，它能够将一个进程及其子进程的根目录切换到指定的位置，从而创建一个与主系统隔离的“沙盒”环境，在 CentOS 系统中制作和使用 chroot 环境，可以用于软件测试、系统恢复、安全加固以及运行不同版本的应用程序等多种场景，本文将详细介绍如何在 CentOS 上一步步构建一个功能完备的 chroot 环境。

理解 Chroot 的核心概念

chroot 的本质在于“欺骗”进程，当一个进程被 chroot 后，它所能看到的文件系统树，其根目录（）不再是宿主系统的根目录，而是我们指定的那个目录，如果我们执行 chroot /mnt/chroot，那么对于该环境内的所有进程来说，/mnt/chroot 就是它的 ，它无法访问此目录之外的任何文件,这种隔离性为系统安全和稳定性提供了有力保障。

准备工作：规划与创建目录结构

在开始之前，请确保您拥有 root 权限，并且有足够的磁盘空间来存放 chroot 环境,一个最小化的系统可能需要几百兆字节的空间。

我们需要为 chroot 环境创建一个基础目录结构，这个结构需要模拟一个真实的 Linux 根文件系统，一个典型的选择是在 /mnt 或 /var 目录下创建一个专用目录，/var/chroot。

# 创建 chroot 环境的根目录
mkdir -p /var/chroot
# 创建基础目录结构
cd /var/chroot
mkdir -p {bin,etc,lib,lib64,usr,proc,sys,dev,tmp,home}

下表列出了这些核心目录的用途：

目录名	用途说明
bin	存放必要的用户级二进制可执行文件，如 bash, ls, cp。
etc	存放配置文件，如 passwd, group, resolv.conf。
lib, lib64	存放 bin 和 usr/bin 中程序所需的共享库文件。
usr	用户程序的安装目录，包含 usr/bin, usr/lib, usr/share 等。
proc	虚拟文件系统，用于内核与进程间的通信，必须挂载。
sys	虚拟文件系统，用于访问系统内核信息，必须挂载。
dev	设备文件目录，必须挂载。
tmp	临时文件目录。
home	用户主目录。

安装核心文件：使用 YUM/DNF 的自动化方法

手动复制每一个二进制文件和其依赖的库（通过 ldd 命令查看）是一件极其繁琐且容易出错的工作，幸运的是，CentOS 的包管理器 yum（CentOS 7）或 dnf（CentOS 8/Stream）提供了一个优雅的解决方案：--installroot 参数，这个参数可以将软件包安装到我们指定的目录，而不是系统的根目录，完美契合 chroot 的需求。

以下是使用 yum/dnf 构建一个最小化 CentOS 环境的步骤：

1. 初始化 RPM 数据库
   在安装任何包之前，需要先在 chroot 目录中初始化 RPM 数据库。

   rpm --rebuilddb --root=/var/chroot

2. 安装核心包组
   我们将安装 yum 本身以及 core 包组,这会为我们带来一个基础的命令行环境。

   # 对于 CentOS 7
   yum --installroot=/var/chroot install -y yum core
   # 对于 CentOS 8 / Stream
   dnf --installroot=/var/chroot install -y dnf core

   这个命令会自动处理所有依赖关系，将指定的包及其依赖库、配置文件等完整地安装到 /var/chroot 目录下，这个过程可能需要一些时间,因为它会下载并安装大量基础软件。

   

配置 Chroot 环境

文件安装完成后，我们还需要进行一些关键的配置，才能让 chroot 环境正常工作。

1. 复制网络和用户配置
   为了让 chroot 环境能够解析域名和拥有用户信息,我们需要从宿主机复制几个关键的配置文件。

   # 复制 DNS 解析配置，让 chroot 环境可以访问互联网
   cp /etc/resolv.conf /var/chroot/etc/
   # （可选）复制用户和组信息，以便在 chroot 中使用宿主机的用户账户
   cp /etc/passwd /var/chroot/etc/
   cp /etc/group /var/chroot/etc/
   cp /etc/shadow /var/chroot/etc/

2. 挂载虚拟文件系统
   这是至关重要的一步，许多 Linux 工具依赖于 /proc, /sys, /dev 这些虚拟文件系统提供的信息，我们需要将宿主机的这些目录挂载到 chroot 环境中对应的目录上。

   mount -t proc proc /var/chroot/proc
   mount -t sysfs sysfs /var/chroot/sys
   mount -o bind /dev /var/chroot/dev

   --bind 选项允许我们将一个目录挂载到另一个位置,而不是挂载整个设备。

进入并使用 Chroot 环境

一切准备就绪，我们可以使用 chroot 命令进入这个新世界了。

chroot /var/chroot /bin/bash

执行此命令后，您会发现命令提示符可能变成了类似 bash-4.2# 的样子，这表示您已经成功进入了 chroot 环境，您可以像在一个独立的 CentOS 系统中一样操作了，尝试 ls /，您会看到我们之前创建的目录结构，您也可以在这个环境中使用 yum 或 dnf 来安装更多的软件。

要退出 chroot 环境，只需在 bash 提示符下输入 exit 即可。

清理工作

退出 chroot 后，为了保持系统的整洁,应该卸载之前挂载的虚拟文件系统。

umount /var/chroot/dev
umount /var/chroot/proc
umount /var/chroot/sys

至此，一个完整的 CentOS chroot 环境的创建、配置、使用和清理流程就全部完成了，通过这种方法，您可以快速、可靠地部署隔离的运行环境,极大地提升了系统管理的灵活性和安全性。

---

相关问答 FAQs

chroot 环境中无法联网，提示 “Name or service not known”，该怎么办？

解答： 这个问题几乎总是由于 DNS 解析配置缺失导致的，当您在 chroot 环境中尝试使用 yum 安装软件或 ping 一个域名时，系统需要知道如何将域名转换为 IP 地址，解决方法很简单，确保您已经将宿主机的 /etc/resolv.conf 文件复制到了 chroot 环境的 /etc/ 目录下：

cp /etc/resolv.conf /var/chroot/etc/

如果宿主机的网络配置发生变化（例如更换了 DNS 服务器），您需要重新执行此命令以更新 chroot 环境中的配置,请确保宿主机本身网络是通畅的。

如何让 chroot 环境在系统重启后依然可用，避免每次都手动挂载虚拟文件系统？

解答： 手动挂载 /proc, /sys, /dev 确实很繁琐，为了让这些挂载操作在系统启动时自动执行，您可以将它们添加到宿主机的 /etc/fstab 文件中。fstab 是 Linux 系统中用于定义文件系统挂载点的配置文件。

使用 root 权限编辑 /etc/fstab 文件,在文件末尾添加以下几行：

# Chroot environment mounts
proc /var/chroot/proc proc defaults 0 0
sysfs /var/chroot/sys sysfs defaults 0 0
/dev /var/chroot/dev none bind 0 0

解释：

• proc /var/chroot/proc proc defaults 0 0：在启动时将 proc 文件系统挂载到 /var/chroot/proc。
• sysfs /var/chroot/sys sysfs defaults 0 0：在启动时将 sysfs 文件系统挂载到 /var/chroot/sys。
• /dev /var/chroot/dev none bind 0 0：在启动时使用 bind 模式将 /dev 目录挂载到 /var/chroot/dev。

添加完毕后，保存文件，下次系统重启时，这些目录会自动挂载，您就可以直接使用 chroot /var/chroot /bin/bash 进入环境，无需再手动执行 mount 命令了，您也可以立即执行 mount -a 命令来测试 fstab 配置是否正确，该命令会挂载 fstab 中所有尚未挂载的条目。