linux-kernel - 取消共享/隔离挂载命名空间

Question

我正在尝试设置一个 linux container使用 unshare 使用隔离挂载命名空间工具来自 util-linux包裹 :

% sudo unshare -m -f /bin/bash

所以我期望 bash 将在一个命名空间中启动，其中挂载命名空间，即文件系统，将与主机完全隔离，但是我仍然可以修改主机 FS(在主机 FS 上创建/删除文件)。我在这里做错了什么？

Answer 1

一个坐骑namespace只通过复制父树来创建一个单独的挂载树。

您仍然需要将文件系统重新挂载为只读，卸载它们，在它们上挂载 tmpfs 或 pivot_root成一棵干净的树，以防止进入。通过用户 namespace 切换到 umapped 用户可以在某种程度上有所帮助，但它不会阻止访问世界可读/可写文件。

如果你需要设置更复杂的命名空间环境——基本上是容器——你可以使用 firejail或 runc根据配置文件自动执行这些任务。 systemd-nspawn在直接访问原语(如 unshare)和容器运行时之间提供一些中间功能集。