НАЗИВ¶

unshare - извршава програм у новим називним просторима

УВОД¶

unshare [опције] [програм [аргументи]]

ОПИС¶

Наредба unshare ствара нови називни простор (као што је наведено опцијама линије наредби описаним испод) и затим извршава наведени програм. Ако програм није дат, тад се покреће „${SHELL}“ (основно: /bin/sh).

По основи, нови називни простор постоји само све док има процесе чланове. Нови називни простор се може учинити постојаним чак и када нема процеса чланова тако што ћете повезати качење „/proc/pid/ns/врста датотеке“ на путању система датотека. Називни простор који је на овај начин постао постојан може се накнадно унети са nsenter(1) чак и након окончања програма (осим ПИД називних простора где је потребан трајно покренут процес покретања). Једном када трајни називни простор више није потребан, може се опозвати коришћењем umount(8) за уклањање повезаног качења. Погледајте одељак ПРИМЕРИ за више о томе.

unshare од „util-linux“ издања 2.36 користи /proc/[pid]/ns/пид_за_децу и /proc/[pid]/ns/време_за_децу датотеке за трајни називни простор ПИД и ВРЕМЕ. Ова измена захтева Линукс кернел 4.17 или новији.

Следеће врсте називних простора се могу направити са unshare:

mount namespace

UTS namespace

IPC namespace

network namespace

PID namespace

cgroup namespace

user namespace

time namespace

ОПЦИЈЕ¶

-i, --ipc[=датотека]

-m, --mount[=датотека]

-n, --net[=датотека]

-p, --pid[=датотека]

-u, --uts[=датотека]

-U, --user[=датотека]

-C, --cgroup[=датотека]

-T, --time[=датотека]

-f, --fork

--keep-caps

--kill-child[=назив-сигнала]

--mount-proc[=тачка-качења]

--mount-binfmt[=тачка-качења]

--map-user уид|назив

--map-users унутр-уид:спољ-уид:број|auto|subids|all

--map-group гид|назив

--map-groups унутр-гид:спољгид:број|auto|subids|all

--map-auto

--map-subids

-r, --map-root-user

-c, --map-current-user

--propagation private|shared|slave|unchanged

--setgroups allow|deny

-R, --root дир

-w, --wd дир

-S, --setuid уиб

-G, --setgid ГИБ

-l, --load-interp ниска

--monotonic померај

--boottime померај

-h, --help

-V, --version

БЕЛЕШКЕ¶

Системи датотека „proc“ и „sysfs“ који се каче као корени у корисничком називном простору морају бити ограничени тако да мање привилеговани корисник не може да добије већи приступ осетљивим датотекама које је привилегованији корисник учинио недоступним. Укратко, правило за „proc“ и „sysfs“ је што је могуће ближе свезивању качења.

ПРИМЕРИ¶

Следећа наредба ствара ПИД називни простор, користећи --fork да би се осигурало да се извршена наредба обавља у подређеном процесу који (као први процес у називном простору) има ПИД 1. Опција --mount-proc обезбеђује да се нови називни простор качења истовремено прави и да се качи нови proc(5) систем датотека који садржи информације које одговарају новом ПИД називном простору. Када се наредба readlink(1) заврши, нови називни простори се самостално руше.

# unshare --fork --pid --mount-proc readlink /proc/self
1

Као непривилеговани корисник, ствара нови кориснички називни простор где су корисничка уверења мапирана на ИД-ове корена унутар називног простора:

$ id -u; id -g
1000
1000
$ unshare --user --map-root-user \


        sh -c 'whoami; cat /proc/self/uid_map /proc/self/gid_map'
root


         0       1000          1


         0       1000          1

Као непривилеговани корисник, ствара кориснички називни простор где су првих 65536 ИД-ова сви мапирани, а креденцијали корисника су мапирани на корене ИД-ове унутар називног простора. Мапа је одређена подређеним ИД-овима додељеним у subuid(5) и subgid(5). Приказује ово мапирање стварањем датотеке са ИД-ом 1 корисника и ИД-ом 1 групе. Укратко, приказана су само мапирања ИД-а корисника:

$ id -u
1000
$ cat /etc/subuid
1000:100000:65536
$ unshare --user --map-auto --map-root-user
# id -u
0
# cat /proc/self/uid_map


         0       1000          1


         1     100000      65535
# touch file; chown 1:1 file
# ls -ln --time-style=+ file
-rw-r--r-- 1 1 1 0  file
# exit
$ ls -ln --time-style=+ file
-rw-r--r-- 1 100000 100000 0  file

Прва од следећих наредби ствара нови трајни UTS називни простор и мења назив домаћина како се види у том називном простору. Називни простор се затим уноси са nsenter(1) да би се приказао измењен назив домаћина; овај корак показује да UTS називни простор наставља да постоји иако називни простор није имао процесе чланове након што се окончала наредба unshare. Називни простор се затим уништава уклањањем свезног качења.

# touch /root/uts-ns
# unshare --uts=/root/uts-ns hostname FOO
# nsenter --uts=/root/uts-ns hostname
FOO
# umount /root/uts-ns

Следеће наредбе успостављају постојан називни простор качења на који упућује свеза качења /root/namespace/mnt. Да би се осигурало да стварање тог свезивања качења буде успешно, родитељски директоријум (/root/namespaces) је учињен свезом качења чија врста простирања није shared.

# mount --bind /root/namespaces /root/namespaces
# mount --make-private /root/namespaces
# touch /root/namespaces/mnt
# unshare --mount=/root/namespaces/mnt

Следеће наредбе показују коришћење опције --kill-child приликом стварања ПИД називног пропстора, да би се осигурало да када је unshare убијено, сви процеси у ПИД називном простору су убијени.

# set +m                # Не исписује поруке стања посла
# unshare --pid --fork --mount-proc --kill-child -- \


       bash --norc -c '(sleep 555 &) && (ps a &) && sleep 999' &
[1] 53456
#     ПИД КОНЗ     СТАЊЕ  ВРЕМЕ НАРЕДБА


      1 pts/3    S+     0:00 sleep 999


      3 pts/3    S+     0:00 sleep 555


      5 pts/3    R+     0:00 ps a
# ps h -o 'comm' $!     # Показује да је позадински посао „unshare(1)“
unshare
# kill $!               # Убија „unshare(1)“
# pidof sleep

Наредба pidof(1) не исписује никакав излаз, јер су sleep процеси убијени. Тачније, када је процес sleep који има ПИД 1 у називном простору (тј. покретачки процес називног простора) био убијен, то је довело до тога да сви остали процеси у називном простору буду убијени. Насупрот томе, слична серија наредби где се опција --kill-child не користи показује да када се unshare оконча, процеси у ПИД називном простору нису убијени:

# unshare --pid --fork --mount-proc -- \


       bash --norc -c '(sleep 555 &) && (ps a &) && sleep 999' &
[1] 53479
#     ПИД КОНЗ     СТАЊЕ  ВРЕМЕ НАРЕДБА


      1 pts/3    S+     0:00 sleep 999


      3 pts/3    S+     0:00 sleep 555


      5 pts/3    R+     0:00 ps a
# kill $!
# pidof sleep
53482 53480

Следећи пример показује стварање временског називног простора где је сат времена подизања система постављен да показује неколико година у прошлости:

# uptime -p             # Приказује „uptime“ у почетном временском називном простору
up 21 сат, 30 минута
# unshare --time --fork --boottime 300000000 uptime -p
up 9 година, 28 седмице, 1 дан, 2 сата, 50 минута

Следећи пример извршава „chroot“ у директоријуму „/chroot/powerpc/jessie“ и инсталира тумача „/bin/qemu-ppc-static“ да изврши „powerpc“ извршне.

$  unshare --map-root-user --fork --pid --load-interp=":qemu-ppc:M::\\x7fELF\x01\\x02\\x01\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x02\\x00\\x14:\\xff\\xff\\xff\\xff\\xff\\xff\\xff\\x00\\xff\\xff\\xff\\xff\\xff\\xff\\xff\\xff\\xff\\xfe\\xff\\xff:/bin/qemu-ppc-static:OCF" --root=/chroot/powerpc/jessie /bin/bash -l

Параметар „load-interp“ се може читати као што следи

АУТОРИ¶

Mikhail Gusarov <dottedmag@dottedmag.net>, Karel Zak <kzak@redhat.com>

ПОГЛЕДАЈТЕ ТАКОЂЕ¶

newuidmap(1), newgidmap(1), clone(2), unshare(2), namespaces(7), mount(8)

ПРИЈАВЉИВАЊЕ ГРЕШАКА¶

За пријављивање грешака, користите „https://github.com/util-linux/util-linux/issues[issue tracker]“.

ДОСТУПНОСТ¶

Наредба unshare је део „util-linux“ пакета који се може преузети са Архиве Линукс кернела <https://www.kernel.org/pub/linux/utils/util-linux/>.