Como executar o ntpd apenas como servidor, sem ajustar o horário da máquina local, no LXC

Conforme discutido nos comentários, o chrony recebeu recentemente uma nova opção -xpara não tentar alterar o relógio do sistema, tornando-o especialmente adequado para operações de contêiner. Infelizmente, a primeira versão (3.2) a receber esta opção não era completa e ainda solicita a capacidade do Linux, então ainda falha.

Traçando chronyd do pacote chrony versão 3.2-2.el7 em um contêiner CentOS7 LXC (com host não CentOS) com opção -x, na verdade, a correção do bug não está aqui:

# strace /usr/sbin/chronyd -x -d

[...]

[pid   571] capget({_LINUX_CAPABILITY_VERSION_3, 0}, NULL) = 0
[pid   571] capset({_LINUX_CAPABILITY_VERSION_3, 0}, {1<<CAP_NET_BIND_SERVICE|1<<CAP_SYS_TIME, 1<<CAP_NET_BIND_SERVICE|1<<CAP_SYS_TIME, 0}) = -1 EPERM (Operation not permitted)

Portanto, se você pudesse impedir que o binário não modificável chronyd solicitasse um recurso proibido, ele seria executado (é sobre isso que trata a correção de bug 3.3). Boas notícias, é possível com um LD_PRELOAD/ dlsym()wrapper.

Compile em outro sistema Linux em outro lugar (a compilação foi realmente feita no host Debian 9 e não deu nenhum problema para executar no contêiner CentOS7 como está) este código chamado capsetwrapper.c, com definições de estruturas encontradas lá, por exemplo (isso não t mudar do kernel 3.10 também).

#define _GNU_SOURCE 1
#include <dlfcn.h>

#include <sys/capability.h>

int capset(cap_user_header_t hdrp, const cap_user_data_t datap) {
    int (*orig_capset)(cap_user_header_t,const cap_user_data_t)=dlsym(RTLD_NEXT,"capset");
    datap->effective &= ~ (1<<CAP_SYS_TIME);
    datap->permitted &= ~ (1<<CAP_SYS_TIME);
    return orig_capset(hdrp, datap);
}

usando esta maneira específica (para tornar uma biblioteca adequada para LD_PRELOADuso):

gcc -shared -fPIC -o libcapsetwrapper.so capsetwrapper.c -ldl

E está funcionando como visto aqui:

[root@centos7-amd64bis ~]# LD_PRELOAD=/root/libcapsetwrapper.so /usr/sbin/chronyd -x -d
2019-03-24T10:09:58Z chronyd version 3.2 starting (+CMDMON +NTP +REFCLOCK +RTC +PRIVDROP +SCFILTER +SECHASH +SIGND +ASYNCDNS +IPV6 +DEBUG)
2019-03-24T10:09:58Z Disabled control of system clock
2019-03-24T10:09:58Z Frequency 0.000 +/- 1000000.000 ppm read from /var/lib/chrony/drift

verificando seus recursos durante a execução:

# egrep '^Cap(Prm|Eff)' /proc/$(pidof chronyd)/status
CapPrm: 0000000000000400
CapEff: 0000000000000400

mostra 0x400 que é o restante 1<<CAP_NET_BIND_SERVICEcomo visto acima.

Para integrar isso no sistema:

• coloque a libcapsetwrapper.soembalagem como/usr/local/lib/libcapsetwrapper.so

• com systemctl edit chronyd, substitua a CAP_SYS_TIMEverificação e o executável começa com isso:

  [Unit]
  ConditionCapability=
  
  [Service]
  ExecStart=
  ExecStart=/bin/sh -c 'export LD_PRELOAD=/usr/local/lib/libcapsetwrapper.so; exec /usr/sbin/chronyd -x'
  

  Desculpe, não consegui reutilizar o $OPTIONSparâmetro (que está vazio e deve estar recebendo a -xopção, carregada de /etc/sysconfig/chronyd), mas com mais conhecimento do systemd deve ser possível.

Resultado de trabalho:

# systemctl status chronyd
● chronyd.service - NTP client/server
   Loaded: loaded (/usr/lib/systemd/system/chronyd.service; enabled; vendor preset: enabled)
  Drop-In: /etc/systemd/system/chronyd.service.d
           `-override.conf
   Active: active (running) since Sun 2019-03-24 10:24:26 UTC; 13min ago
     Docs: man:chronyd(8)
           man:chrony.conf(5)
  Process: 843 ExecStartPost=/usr/libexec/chrony-helper update-daemon (code=exited, status=0/SUCCESS)
  Process: 839 ExecStart=/bin/sh -c export LD_PRELOAD=/usr/local/lib/libcapsetwrapper.so; exec /usr/sbin/chronyd -x (code=exited, status=0/SUCCESS)
 Main PID: 841 (chronyd)
   CGroup: /system.slice/chronyd.service
           `-841 /usr/sbin/chronyd -x

O que não foi testado é se o ambiente SELinux padrão (não disponível aqui) permite a operação de pré-carregamento ou se algo mais deve ser feito /usr/local/lib/libcapsetwrapper.so(certifique-se de usar restoreconnele).

Desde a versão 7.7.1908 , o CentOS tem a chronyversão 3.4 que suporta o -xsinalizador corretamente e pode ser executado em LXC, com pequenos ajustes de configuração.

• O padrão /usr/lib/systemd/system/chronyd.servicetem o ConditionCapability=CAP_SYS_TIMEque não deveria estar lá quando executado com o -xLXC, então remova-o adicionando este drop in file/etc/systemd/system/chronyd.service.d/lxc.conf

    [Unit]
    # Default service has:
    # ConditionCapability=CAP_SYS_TIME
    # which does not work under LXC and causes service to refuse to start
    # Clear it.
    ConditionCapability=

• Edite /etc/sysconfig/chronyde adicione -xpara OPTIONSterminar comOPTIONS="-x"

• Altere /etc/chrony.confpara NÃO sincronizar com nenhum servidor NTP, mas para servir a hora do relógio local. Remova/desative todas as outras serverentradas e adicione:

    # Comment out default/other server entries
    #server 0.centos.pool.ntp.org iburst
    #server 1.centos.pool.ntp.org iburst
    #server 2.centos.pool.ntp.org iburst
    #server 3.centos.pool.ntp.org iburst
    #
    # Add these as per https://www.thegeekdiary.com/centos-rhel-7-chrony-how-to-sync-to-local-clock/
    server 127.127.1.0
    local stratum 10
    allow all

Revise a allowdiretiva para atender às suas necessidades, pois allow all, como no exemplo, pode não ser adequado para você.

• Recarregue e reinicie o serviço

    systemctl daemon-reload
    systemctl restart chronyd

Deve ser isso.

Eu encontrei uma maneira de fazê-lo funcionar, mas não estou feliz com minha solução, então ainda estou procurando uma resposta melhor.

Parte 1. Eu impedi ntpdde tentar remover privilégios de root.

Nele /usr/lib/systemd/system/ntpd.servicetem por padrão:

[Service]
EnvironmentFile=-/etc/sysconfig/ntpd
ExecStart=/usr/sbin/ntpd -u ntp:ntp $OPTIONS

então eu ''removo'' -u ntp:ntpcolocando/etc/systemd/system/ntpd.service.d/local.conf

[Service]
ExecStart=
ExecStart=/usr/sbin/ntpd $OPTIONS

O que permite ntpdcontinuar rodando como root. Funciona, mas não estou feliz com essa abordagem.

Parte 2. A parte da hora local não atualizada

A adição de causas em /etc/ntp.conflinha no serviço começa a registrar o erro apenas uma vez, em vez de 3 vezes sem a configuração. Uma vez que não pode alterar o relógio, isso é aceitável. Idealmente, nem tentaria mudar o relógio.disable kernelntpdntp_adjtime() failed: Operation not permitted