主页 / unix / 问题

问题[unshare](unix)

Martin Hope
user1689430
Asked: 2021-09-29 11:20:11 +0800 CST
  • 1

我对--mount-proc与unshare命令一起使用时的作用有点困惑。

当我使用 时unshare -fp --mount-proc bash，我注意到它会产生一个新的 PID 命名空间和一个新的 MNT 命名空间。

鉴于我在一个新的 MNT 命名空间中，我尝试卸载其中一个循环设备，并注意到这没有反映在父 MNT 中（当我df -h在父命名空间中运行时，挂载仍然显示）。

现在，我领先一步，在新的 MNT 命名空间中使用 创建了一个新的根目录pivot_root，并卸载了原来的根目录。正如预期的那样，新的命名空间现在有一个不同的根。父命名空间仍然具有原始根目录。

-m我的问题：如果我可以在不使用命令中的选项的情况下实现创建新的MNT命名空间unshare，并且还可以实现为新进程创建隔离的根目录，那么MNT命名空间有什么不同的用途？

我将不胜感激专家的任何指导。

编辑：我修改了我的原始帖子，其中说更改新命名空间中的根也会更改父命名空间中的根。我不再能够重现这一点。但是我关于能够仅使用--mount-proc选项而不使用-mwith来创建新的 MNT 命名空间的问题unshare仍然存在。

namespace unshare
Martin Hope
Jake
Asked: 2019-04-11 14:04:09 +0800 CST
  • 0

我正在尝试unshare在 Linux 中测试该命令。我正在使用它来创建一个新的用户命名空间。我尝试了以下测试：

user1@myPC$ strace -e clone,unshare,fork,execve unshare --user
execve("/usr/bin/unshare", ["unshare", "--user"], [/* 71 vars */]) = 0
unshare(CLONE_NEWUSER)                  = 0
execve("/bin/bash", ["-bash"], [/* 71 vars */]) = 0
clone(child_stack=0, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0xb7275768) = 9153
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=9153, si_uid=65534, si_status=0, si_utime=0, si_stime=0} ---
clone(child_stack=0, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0xb7275768) = 9155
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=9155, si_uid=65534, si_status=0, si_utime=0, si_stime=0} ---
clone(child_stack=0, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0xb7275768) = 9160
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=9160, si_uid=65534, si_status=0, si_utime=0, si_stime=0} ---
clone(child_stack=0, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0xb7275768) = 9162
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=9162, si_uid=65534, si_status=0, si_utime=0, si_stime=0} ---
clone(child_stack=0, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0xb7275768) = 9164
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=9164, si_uid=65534, si_status=0, si_utime=0, si_stime=0} ---
clone(child_stack=0, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0xb7275768) = 9167
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=9167, si_uid=65534, si_status=0, si_utime=0, si_stime=0} ---
nobody@MyPC:~$

我想问为什么有这么多的电话clone()打？

namespace unshare
Martin Hope
koalo
Asked: 2018-07-20 12:36:06 +0800 CST
  • 10

我观察到以下我无法解释的现象。添加CAP_SYS_ADMIN功能后，unshare不再能够写入/proc/self/setgroups.

事实上，写入这个文件需要这个能力，但这是通过改变用户命名空间来实现的。那么为什么向父进程添加功能会阻止写入该文件呢？

me@myhost:~$ unshare -r
root@myhost:~# exit
logout

me@myhost:~$ sudo setcap cap_sys_admin=ep /usr/bin/unshare
me@myhost:~$ unshare -r
unshare: cannot open /proc/self/setgroups: Permission denied

me@myhost:~$ sudo setcap cap_sys_admin= /usr/bin/unshare
me@myhost:~$ unshare -r
root@myhost:~#

顺便说一句：我正在运行内核版本为 4.4 的 Ubuntu 16.04.4 LTS，而 util-linux（包括unshare）的版本是 2.27.1。

namespace unshare