linux - 在非特权命名空间沙箱中挂载 proc

Question

我正在尝试使用 Linux 命名空间创建一个沙盒环境。我在 https://github.com/swetland/mkbox 找到了一个很好的例子这大致满足了我的要求，但我希望在沙箱中出现可信的/proc。我该怎么做？

我尝试将 proc FS 绑定(bind)安装到“proc”上，但是失败并返回 EINVAL。当我尝试正常挂载“proc”时，它会生成 EPERM。

想法？

Answer 1

一位本地大师为我解决了这个问题:proc 必须使用(未记录的？)MS_REcflags，如下所示:

    ok(mount, "/proc", "proc", NULL, MS_REC|MS_BIND, NULL);

显然，如果未设置 CLONE_PIDNS，绑定(bind)挂载只会做一些有用的事情。