Início / unix / Perguntas / 500241
Accepted
sourcejedi
Asked: 2019-02-13 11:01:20 +0800 CST

Quem ganharia, RLIMIT_NPROC ou namespaces de usuário?

  • 772

Dependendo da configuração, processos sem privilégios (não raiz) podem criar um namespace de usuário.

RLIMIT_NPROClimita o número de processos por usuário .

Se eu inserir um namespace de usuário, posso criar processos com UIDs diferentes e, portanto, exceder meu real RLIMIT_NPROC?

ulimit resources

2 respostas

  1. Há um princípio geral de que ter namespaces não oferece privilégios adicionais. Não há nada que você possa fazer com o resto do sistema com vários namespaces que você não poderia fazer com um único namespace. O que os namespaces oferecem é a capacidade adicional de aplicar restrições adicionais a alguns de seus processos.

    RLIMIT_NPROCé o número máximo de processos que você pode criar. Se alguns desses processos estiverem em namespaces, eles podem ter menos privilégios, mas ainda contam como um processo. Todos esses processos são processos nos namespaces externos, de qualquer maneira. Eles podem ter UIDs diferentes dentro do namespace, mas fora do namespace, eles são seus processos.

    • 2
  2. Best Answer

    Não parece.

    $ unshare -r
# ulimit -u 1000
# sh -c 'for i in $(seq 998); do sleep 1& done' >/dev/null
sh: fork: retry: Resource temporarily unavailable
sh: fork: retry: Resource temporarily unavailable
... (i.e. more than one error - so I guess my existing processes were already counted)
sh: fork: retry: Resource temporarily unavailable
-bash: fork: retry: Resource temporarily unavailable

    De forma similar:

    $ unshare -r
# ulimit -u 1002
# sh -c 'for i in $(seq 100); do sleep 1& done' >/dev/null
# sleep 2
# for i in $(seq 10); do unshare -r sh -c 'for i in $(seq 100); do sleep 1& done' >/dev/null; done
sh: fork: retry: Resource temporarily unavailable
sh: fork: retry: Resource temporarily unavailable

    A execução ulimit -u 1000interna unshare -rnão afeta meu usuário fora do namespace do usuário. Ah - isso porque ulimit -usempre define um limite dentro do processo. Mas quando o limite é verificado em fork() , comparamos o RLIMIT_NPROC desse processo, com o número total de processos do UID "real", ou seja, do ponto de vista do namespace "raiz".

    Então, tanto quanto eu posso ver, tudo isso funciona muito bem.

    Aliás, notei que você não pode usar namespaces de usuário para criar processos com vários UIDs diferentes, se você não for privilegiado.

    $ unshare -r
# id -u
0
# setpriv --ruid 1 sh
setpriv: setresuid failed: Invalid argument

    As regras para este aspecto são explicadas, por exemplo, por Michael Kerrisk em Namespaces em operação, parte 5: User namespaces .

    • 0

relate perguntas