![gihyo.jp](data:image/svg+xml,<svg xmlns="http://www.w3.org/2000/svg" width="282" height="54"><rect fill-opacity="0"/></svg>){kind=small}
![次のページへ](data:image/svg+xml,<svg xmlns="http://www.w3.org/2000/svg" width="81" height="13"><rect fill-opacity="0"/></svg>){kind=small}
先日，
さて今年もAdvent Calendarの季節がやってきました。この記事は，
毎年この連載でLinux Advent Calendarに参加していますので，
前回，
コンテナとファイルケーパビリティ
前回，
ここで問題になってくるのが，
実は，
これは，
ユーザ名前空間は一般ユーザで作成できます。ユーザ名前空間内のrootがファイルケーパビリティを設定できるとすると，
まずは古いカーネルではユーザ名前空間内でファイルケーパビリティが設定できないことを確認したあとに，
古いカーネルのユーザ名前空間内のファイルケーパビリティ（4.13以前）
Plamo 7.
$ uname -r 4.12.7-plamo64
LXCを使って一般ユーザ権限でコンテナを作り，
$ id -u 1000 （一般ユーザ） $ lxc-start c1 （一般ユーザ権限でコンテナを起動） $ lxc-info -p c1 PID: 8246 （コンテナのPIDを確認） $ cat /proc/8246/{u,g}id_map 0 200000 65536 0 200000 65536 （ユーザ名前空間内のrootはUID:200000のユーザにマッピングされている） $ ps aux | grep 8246 200000 8246 0.0 0.0 2472 788 pts/1 Ss+ 02:10 0:00 init [3] （UID:200000でコンテナが起動している）
このコンテナ上でファイルケーパビリティを設定してみます。
$ lxc-attach c1 （コンテナ内に入る） root@c1:~# id -u 0 （rootユーザ） root@c1:~# cp /bin/ping . root@c1:~# /sbin/getcap ./ping （ファイルケーパビリティは設定されていない） root@c1:~# /sbin/setcap cap_net_raw+p ./ping Failed to set capabilities on file `./ping' (Operation not permitted) （rootなのにファイルケーパビリティが設定できない） root@c1:~# grep Cap /proc/$$/status CapInh: 0000000000000000 CapPrm: 0000003fffffffff CapEff: 0000003fffffffff CapBnd: 0000003fffffffff CapAmb: 0000000000000000 （プロセスでケーパビリティが削られているわけではない）
rootで実行しているにも関わらずファイルケーパビリティが設定できません。ファイルケーパビリティを設定するためのケーパビリティが削られているわけでもありません。
以上のように，
ユーザ名前空間内のファイルケーパビリティ（4.14以降）
これを解決する機能がカーネルにマージされたのは4.
ユーザ名前空間内でファイルケーパビリティが設定できることを，
Plamo 7.
$ uname -r 5.3.11-plamo64 （5.3.11カーネルで起動している） $ id -u 1000 $ lxc-start c1 $ lxc-info -p c1 PID: 8668 $ cat /proc/8668/{u,g}id_map 0 200000 65536 0 200000 65536 $ ps aux | grep 8668 200000 8668 0.0 0.0 2468 1740 pts/1 Ss+ 17:55 0:00 init [3] （UID:200000でコンテナが起動している）
先の実行例と同じように一般ユーザ権限でコンテナを起動しました。確かにUID:200000でコンテナが起動しており，
このコンテナ内でファイルケーパビリティを設定してみましょう。
$ lxc-attach c1 root@c1:~# id -u 0 root@c1:~# cp /bin/ping . root@c1:~# /sbin/getcap ./ping （ファイルケーパビリティは設定されていない） root@c1:~# /sbin/setcap cap_net_raw+p ./ping （ファイルケーパビリティを設定してもエラーは発生しない） root@c1:~# /sbin/getcap ./ping ./ping = cap_net_raw+p （ファイルケーパビリティが設定されている）
このように非特権コンテナ内でファイルケーパビリティが設定できました。
このpingコマンドが実行できるかも確認しておきましょう。
root@c1:~# su - gihyo $ id -u 1000 （一般ユーザ） $ ./ping -c1 127.0.0.1 PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data. 64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.029 ms --- 127.0.0.1 ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 0.029/0.029/0.029/0.000 ms （pingが実行できた）
このように，
まずはコンテナの外でファイルケーパビリティを確認してみます。ホスト環境上で上の例で使ったpingコマンドを確認します。
$ cd ~/.local/share/lxc/c1/rootfs/home/gihyo/ （ホスト環境上でコンテナのファイルシステムがある場所に移動） $ ls -l ./ping -rwxr-xr-x 1 200000 200000 183,872 12月 1日 18:03 ./ping* （ユーザ名前空間内のrootにマッピングされていたUID所有になっている） $ /sbin/getcap ./ping ./ping = cap_net_raw+p （ファイルケーパビリティが設定されている）
このように，pingコマンドを実行してみましょう。
$ id -u 1000 （一般ユーザ） $ ./ping -c1 127.0.0.1 ./ping: socket: Operation not permitted （名前空間の外で実行したため実行できない）
ファイルケーパビリティが設定されているにも関わらずエラーになっており，
- ※1）
- Ubuntu 16.
04のカーネルは4. 4ですが， この機能がバックポートされているため， ファイルケーパビリティが設定できます。
カーネルデータ構造の変更
上の例では，
この機能がカーネルにマージされたのは"Introduce v3 namespaced file capabilities"というパッチです。
4.
#define VFS_CAP_REVISION_2 0x02000000
: （略）
struct vfs_cap_data {
__le32 magic_etc; /* Little endian */
struct {
__le32 permitted; /* Little endian */
__le32 inheritable; /* Little endian */
} data[VFS_CAP_U32];
};
上記のvfs_構造体に加えて4.
#define VFS_CAP_REVISION_3 0x03000000
: （略）
struct vfs_ns_cap_data {
__le32 magic_etc;
struct {
__le32 permitted; /* Little endian */
__le32 inheritable; /* Little endian */
} data[VFS_CAP_U32];
__le32 rootid;
};
4.vfs_構造体と，vfs_構造体は，vfs_構造体の最後にrootidという変数が追加されている以外は同じです。
このvfs_構造体は，
permitted変数: Pemittedケーパビリティセットinheritable変数: Inheritableケーパビリティセットmagic_変数: Effectiveケーパビリティや，etc ファイルケーパビリティのバージョン rootid変数: ユーザ名前空間内のrootユーザにマッピングされている名前空間外のUID
magic_変数には，
ファイルケーパビリティのバージョンは，rootidを含む情報であれば，VFS_rootidが設定されていないファイルケーパビリティであれば，magic_にはVFS_が設定されています。
このファイルケーパビリティのバージョンで，
rootid変数がユーザ名前空間用の変数で，rootidの値と名前空間にマッピングされているUIDの一致を確認して，
libcapは2.setcap，getcapコマンドにも-nオプションが追加されています。
先の例で，getcap -nを実行してみましょう。
$ lxc-attach c1 （コンテナ内に入る）
root@c1:~# /sbin/getcap -n ./ping
./ping = cap_net_raw+p [rootid=200000]このコンテナは，[rootid=200000]という表示が追加されています。
このようにgetcapコマンドで-nを使うと，rootidに設定されているUIDを表示できます。
