<הקודם | תוכן | הבא>

5.11. מיפוי UID ומכולות מועדפות

כברירת מחדל, LXD יוצר קונטיינרים לא מורשים. המשמעות היא שהשורש במיכל הוא UID שאינו שורש במארח. זה מוגן מול המשאבים שבבעלות המכולה, אך ללא פריבילגיה ביחס למארח, מה שהופך את השורש במיכל לשקול בערך למשתמש חסר הרשאות במארח. (החריג העיקרי הוא משטח ההתקפה המוגדל שנחשף דרך ממשק שיחות המערכת)

בקצרה, בקונטיינר לא מוגן, 65536 מזהי UID 'מוזזים' לתוך המכולה. לדוגמה, UID 0 במיכל עשוי להיות 100000 במארח, UID 1 במיכל הוא 100001 וכו', עד 165535. הערך ההתחלתי עבור UIDs ו-GIDs, בהתאמה, נקבע על ידי הערך 'root' /etc/subuid ו /etc/subgid קבצים. (ראה את דף ידני subuid(5).42.

אפשר לבקש מיכל לרוץ ללא מיפוי UID על ידי הגדרת הדגל security.privileged ל-true:

lxc config set c1 security.privileged true

עם זאת, שים לב שבמקרה זה משתמש השורש במיכל הוא משתמש השורש במארח.

<הקודם | תוכן | הבא>