问题

添加CAP_SYS_ADMIN仍然是使 fuse 在无根容器内工作的唯一方法吗（使用本机覆盖或fuse-overlayfs/其他方法）？

示例

Podman 中的 Podman

此示例来自https://www.redhat.com/en/blog/podman-inside-container

podman run --user podman --security-opt label=disable --device /dev/fuse -ti quay.io/podman/stable podman run -ti docker.io/busybox echo hello

对我来说没有问题。但它让我假设它是fusermount在容器内部使用，或者可以使用它，而使用相同的设置时则不起作用。

更重要的是，它似乎没有安装任何东西：

podman run --user podman --security-opt label=disable --device /dev/fuse -ti quay.io/podman/stable
# running commands in container
cat /proc/mounts > /home/podman/before
podman run -d docker.io/busybox sleep 100
cat /proc/mounts > /home/podman/during
diff /home/podman/before /home/podman/during
# (no difference)

似乎省略/dev/fuse也有效（使用本机覆盖进行测试）：

podman run --user podman --security-opt label=disable -ti quay.io/podman/stable podman run -ti docker.io/busybox echo hello

绑定文件系统

只需添加bindfs到图像中

FROM quay.io/podman/stable

RUN dnf -y install bindfs

运行一个容器

podman run --user podman --security-opt label=disable --device /dev/fuse -ti built_image_from_above:latest
# inside the container
cd ~ && mkdir test1 test2
bindfs --no-allow-other test1 test2
fusermount: mount failed: Operation not permitted

我假设其他保险丝座的行为也相同，例如sshfs。这可能是容器内的权限问题，还是主机拒绝了它？

想法

需要特权

这个答案暗示要使用 fuse，您需要拥有特权。

提到了 Setuid，但我不确定它是什么意思。在 continer 中：

ls -l $(which fusermount3)
-rwsr-xr-x. 1 root root 40800 Jul 17 00:00 /usr/bin/fusermount3

无根覆盖

我也尝试mount_program过从 中删除行storage.conf并运行podman system reset，如此处所述。但我不确定这是否仅与覆盖有关，还是也与保险丝有关。如果我不添加/dev/fuse，则设备不会出现在 continer 中：

fuse-overlayfs 的另一个缺点是它需要访问 /dev/fuse。当人们尝试在受限容器内运行 Podman 和 Buildah 时，我们会取消 CAP_SYS_ADMIN 权限，即使以 root 身份运行也是如此。这迫使我们使用用户命名空间，以便我们可以挂载卷。为了实现这一点，用户必须将 /dev/fuse 添加到容器中。一旦我们有了无根模式（无 CAP_SYS_ADMIN）的原生覆盖，就不再需要 /dev/fuse。

版本

Host: Fedora 41
Podman: 5.3.1

我正在尝试运行borg mountin Borg Backup，但它说fusermount3没有安装。

fuse: failed to exec fusermount3: No such file or directory

谷歌搜索这个问题没有帮助。我安装了保险丝：

fuse is already the newest version (2.9.9-3).

和 libfuse 一样：

libfuse2 is already the newest version (2.9.9-3).

我正在使用内核 5.4.0-113-generic 运行 Linux Mint 20

当我运行 podman 时，--storage-opt ignore_chown_errors=true我得到了

错误：内核不支持覆盖 fs：在 extfs 上不支持“覆盖” /home/user/.local/share/containers/storage/overlay：此图形驱动程序不支持后备文件系统

/sys内核空间设备驱动程序通常实现通过或显示的目录和文件/proc。长期运行的用户空间程序也能做到这一点吗？

我有一个守护程序或长时间运行的程序，需要能够查询某些数据并在运行时由外部程序设置一些数据。
我可以做一个完整的套接字接口，但这对程序和外部请求者来说是很多开销。
正如 linux 内核开发人员发现的那样，使用“一切都是文件”模型对于调整内核设置很有用。我也想这样做。

有些人可能认为/sys目录是内核的神圣空间，但我没有看到什么是“系统”与其他一些服务/服务器/应用程序之间的重要界限。

使用 FUSE... 我决定使用 FUSE，即“用户空间中的文件系统”包 libfuse3.so。（在为它编写了一个包装器之后......）我可以定义一个结构数组，每个访问变量/文件一个：

struct fileObj files[] = {
  {"mode", mode, getFunc, putFunc},
  {"numbProcs", numbProcs, getFunc, putFunc},
  {"svrHostPort", hostPort, getFunc, putFunc},
  {"somethingWO", jakeBuf, NULL, putFunc},  // Write only file (why?)
  {"timestamp", NULL, getTimestampFunc, NULL},  // Returns timestamp, R/O
  {0}
};

FUSE 文件系统的挂载点是'/ssm/fuse'...'ls -l' 表明'files' 数组中的每个条目都显示为一个文件，一些 R/O，一些 R/W，一个 W /O。'get' 函数位置中的 'getTimestampFunc 表明可以将特殊函数与文件关联以执行计算响应。

ribo@box:~/c$ ls -l /ssm/fuse
total 0
-rw-r--r-- 1 ribo ribo 10 Dec 28 17:17 mode
-rw-r--r-- 1 ribo ribo  1 Dec 28 17:17 numbProcs
--w------- 1 ribo ribo  3 Dec 28 17:17 somethingWO
-rw-r--r-- 1 ribo ribo  5 Dec 28 17:17 svrHostPort
-r--r--r-- 1 ribo ribo 32 Dec 28 17:17 timestamp
ribo@box:~/c$ cat /ssm/fuse/timestamp
18/12/28 17:17:27ribo@box:~/c$cat  /ssm/fuse/mode
hyperSpeedribo@box:~/c$ echo slow >/ssm/fuse/mode
ribo@box:~/c$ cat  /ssm/fuse/mode
slow

'echo >' 显示将值传递到程序中。所以我很容易在程序运行时查看和查看程序的各种参数。

$ mkdir mnt

$ bindfs /tmp mnt
fusermount: option allow_other only allowed if 'user_allow_other' is set in /etc/fuse.conf

$ bindfs --no-allow-other /tmp mnt

$ mkdir /tmp/mnt2
$ bindfs --no-allow-other /tmp mnt/mnt2
fusermount: bad mount point /home/alan/mnt/mnt2: Permission denied

fusermount失败，因为它以不同的用户身份运行。

$ sudo ls mnt/
ls: cannot open directory 'mnt/': Permission denied

fusermount是 set-uid root。这是必需的，因为非特权用户无法使用mount()系统调用。

$ ls -l $(which fusermount)
-rwsr-xr-x. 1 root root 32848 Feb  7  2018 /usr/bin/fusermount

   ^ set-uid bit

但是。据报道，FUSE 可以在 NFS 主目录中使用。即使主目录具有模式700- 只能由拥有用户访问。NFS 服务器默认为root_squash，这意味着“root 用户将具有与用户nobody 相同的访问权限”。

为什么这两种情况不同？

我在 Fedora 28 上进行测试。关于 NFS 的报告来自 Ubuntu 18.04。这些分布在年龄上非常相似，但可能存在一些差异。

当用户直接对较低目录进行一些修改（即不通过 bindfs）时，bindfs的表现如何？

（动机：我认为在写入目录时用 bindfs 包装目录不是一个好主意。但这让我很好奇。

理论上，如果有另一个 FUSE 文件系统或基于一般 FUSE 原则的文件系统的答案，我也会感兴趣，但我想不出一个好的方法来问这个问题）。

内核绑定挂载——mount --bind以某种方式共享 VFS 缓存。据我所知，这是一个完全支持并发修改的示例。

根本不支持修改后备文件系统的一个示例是内核overlayfs文件系统。

不允许在挂载覆盖文件系统的一部分时更改底层文件系统。如果底层文件系统发生变化，覆盖的行为是不确定的，尽管它不会导致崩溃或死锁。

当其中一条路径中有冒号时，是否可以进行覆盖安装？我看过的所有 FUSE 覆盖安装解决方案都使用冒号来分隔覆盖中的路径，但我找不到逃避它的方法。

我正在尝试不同的联合/覆盖文件系统类型。我unionfs-fuse在 Ubuntu 中找到了允许我以unionfs非 root 用户身份使用 mount 命令的软件包。但它似乎aufs是为了提供与 unionfs 类似的选项而创建的，不能用作非 root 用户。我需要为 aufs mount 提供 sudo 密码。

我可以aufs在不提供root密码的情况下使用吗？

我正在尝试使用 udev 规则自动安装各种 SD 卡。我从这些规则开始，在this question的帮助下解决了一个问题，现在我有以下情况：

ext4 和 vfat 格式的设备运行良好，但是当我插入 exfat 或 NTFS 格式的磁盘时，我得到以下行mount：

/dev/sda1 on /media/GoPro type fuseblk (rw,nosuid,nodev,noatime,user_id=0,group_id=0,default_permissions,allow_other,blksize=4096)

目录列表如下所示：

$ ls -l /media/
ls: cannot access '/media/GoPro': Transport endpoint is not connected
total 0
d????????? ? ? ? ?            ? GoPro

我不能在那个挂载点下做任何事情，即使是 root：

$ sudo ls -l /media/GoPro
ls: cannot access '/media/GoPro': Transport endpoint is not connected

我可以从其他人那里找到的唯一带有错误消息的问题Transport endpoint is not connected似乎发生在磁盘未正确卸载之后。但是我在安装磁盘时遇到了问题。

我当前的 udev 规则如下所示：

KERNEL!="sd[a-z][0-9]", GOTO="media_by_label_auto_mount_end"
ACTION=="add", PROGRAM!="/sbin/blkid %N", GOTO="media_by_label_auto_mount_end"

# Do not mount devices already mounted somewhere else to avoid entries for all your local partitions in /media
ACTION=="add", PROGRAM=="/bin/grep -q ' /dev/%k ' /proc/self/mountinfo", GOTO="media_by_label_auto_mount_end"

# Global mount options
ACTION=="add", ENV{mount_options}="noatime"
# Filesystem-specific mount options
ACTION=="add", PROGRAM=="/sbin/blkid -o value -s TYPE %E{device}", RESULT=="vfat|ntfs", ENV{mount_options}="%E{mount_options},utf8,uid=1000,gid=100,umask=002"
ACTION=="add", PROGRAM=="/sbin/blkid -o value -s TYPE %E{device}", RESULT=="exfat", ENV{mount_options}="%E{mount_options},utf8,allow_other,umask=002,uid=1000,gid=1000"

# Get label if present, otherwise assign one
ENV{ID_FS_LABEL}!="", ENV{dir_name}="%E{ID_FS_LABEL}"
ENV{ID_FS_LABEL}=="", ENV{dir_name}="usbhd-%k"

# Mount the device
ACTION=="add", ENV{dir_name}!="", RUN+="/bin/mkdir -p '/media/%E{dir_name}'", RUN+="/bin/mount -o %E{mount_options} /dev/%k '/media/%E{dir_name}'"

# Clean up after removal
ACTION=="remove", ENV{dir_name}!="", RUN+="/bin/umount -l '/media/%E{dir_name}'"
ACTION=="remove", ENV{dir_name}!="", RUN+="/bin/rmdir '/media/%E{dir_name}'"

# Exit
LABEL="media_by_label_auto_mount_end"

我尝试使用user_idandgroup_id而不是uidandgid但无济于事。

手动安装设备可以正常工作：

$ sudo mount -o noatime,utf8,allow_other,umask=002,uid=1000,gid=1000 /dev/sdb1 /media/GoPro/
FUSE exfat 1.2.5
$ ls -l /media/
total 132
drwxrwxr-x 1 pi   pi   131072 Jan  1  1970 GoPro