私は期待
uid=0(root) gid=0(root) groups=0(root)
両方の出力です
$ rootlesskit id
$ unshare -U bash -c 'newuidmap $$ 0 '"$(id -u)"' 1; id'
しかし、より詳細な-x
コマンドは
$ unshare -U bash -xc 'newuidmap $$ 0 '"$(id -u)"' 1; id'
出力は変更されません。
+ newuidmap 41372 0 1000 1
newuidmap: uid range [0-1) -> [1000-1001) not allowed
+ id
uid=65534(nobody) gid=65534(nobody) groups=65534(nobody)
newuidmap
ユーザーを新しいユーザーの名前空間uid
にマップすることが許可されていないと考えられるのはなぜですか。0
ここに含まれる情報の私の理解man 7ユーザーネームスペースはい、すべてのユーザー(CONFIG_USER_NS_UNPRIVILEGED
構成されていると仮定)は、新しいユーザーの名前空間を実行またはunshare
作成clone
できます(フラグの設定CLONE_NEWUSER
)。
今私の主な「追加値」はnewuidmap
指定された範囲をマッピングすることですが、/etc/subuid
私のstrace
仕事はrootlesskit
次のとおりです。
[pid 35921] execve("/usr/bin/newuidmap", ["newuidmap", "35909", "0", "1000", "1", "1", "200000", "65536"], 0xc000002480 /* 44 vars */ <unfinished ...>
[....]
[pid 35921] openat(3, "uid_map", O_WRONLY) = 5
[pid 35921] write(5, "0 1000 1\n1 200000 65536\n", 24) = 24
最後に
もちろん、そうでなくてもマッピングは完全に可能です。newuidmap
[user1@host tmp]$ cat > unshare.c << EOF
> #define _GNU_SOURCE
#include <sched.h>
#include <fcntl.h>
#include <string.h>
#include <unistd.h>
#include <stdlib.h>
#include <stdio.h>
int main(int argc, char* argv[])
{
int fd_uidmap;
char mapping[255];
sprintf(mapping,"0 %ld 1\n",(unsigned int) geteuid());
if (unshare(CLONE_NEWUSER) == -1)
{
puts("error\n");
exit(1);
}
fd_uidmap = open("/proc/self/uid_map",O_RDWR,NULL);
write(fd_uidmap,mapping,strlen(mapping));
close(fd_uidmap);
execvp(argv[1], argv+1);
return 0;
}
EOF
[user1@host tmp]$ gcc unshare.c -o unshare
[user1@host tmp]$ ./unshare id
uid=0(root) gid=65534(nobody) groups=65534(nobody)