Skip to content

L
lxc
Commit 3f163e45 by KATOH Yasufumi
Options

doc: add "force" option of lxc.mount.auto to Japanese lxc.container.conf(5)

Update for commit 3f69fb12, and and reduce commentnized English line. Signed-off-by: 's avatarKATOH Yasufumi <karma@jazz.email.ne.jp>
parent 07410c63
Showing with 79 additions and 65 deletions
doc/ja/lxc.container.conf.sgml.in
...@@ -1440,138 +1440,159 @@ by KATOH Yasufumi <karma at jazz.email.ne.jp> ...@@ -1440,138 +1440,159 @@ by KATOH Yasufumi <karma at jazz.email.ne.jp>
</para> </para>
<itemizedlist> <itemizedlist>
<listitem> <listitem>
<!--
<para> <para>
<option>proc:mixed</option> (or <option>proc</option>): <option>proc:mixed</option> (or <option>proc</option>):
<!--
mount <filename>/proc</filename> as read-write, but mount <filename>/proc</filename> as read-write, but
remount <filename>/proc/sys</filename> and remount <filename>/proc/sys</filename> and
<filename>/proc/sysrq-trigger</filename> read-only <filename>/proc/sysrq-trigger</filename> read-only
for security / container isolation purposes. for security / container isolation purposes.
</para>
--> -->
<para>
<option>proc:mixed</option> (or <option>proc</option>):
<filename>/proc</filename> を読み書き可能でマウントします。 <filename>/proc</filename> を読み書き可能でマウントします。
ただし、<filename>/proc/sys</filename> と <filename>/proc/sysrq-trigger</filename> は、セキュリティとコンテナの隔離の目的でリードオンリーで再マウントされます。 ただし、<filename>/proc/sys</filename> と <filename>/proc/sysrq-trigger</filename> は、セキュリティとコンテナの隔離の目的でリードオンリーで再マウントされます。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>proc:rw</option>: mount <option>proc:rw</option>:
<!--
<filename>/proc</filename> as read-write <filename>/proc</filename> as read-write
</para>
--> -->
<para>
<option>proc:rw</option>:
<filename>/proc</filename> を読み書き可能でマウントします。 <filename>/proc</filename> を読み書き可能でマウントします。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>sys:mixed</option> (or <option>sys</option>): <option>sys:mixed</option> (or <option>sys</option>):
<!--
mount <filename>/sys</filename> as read-only but with mount <filename>/sys</filename> as read-only but with
/sys/devices/virtual/net writable. /sys/devices/virtual/net writable.
</para>
--> -->
<para>
<option>sys:mixed</option> (or <option>sys</option>):
/sys/devices/virtual/net のみ書き込み可能で、その他の <filename>/sys</filename> はリードオンリーでマウントします。 /sys/devices/virtual/net のみ書き込み可能で、その他の <filename>/sys</filename> はリードオンリーでマウントします。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>sys:ro</option> <option>sys:ro</option>:
<!--
mount <filename>/sys</filename> as read-only mount <filename>/sys</filename> as read-only
for security / container isolation purposes. for security / container isolation purposes.
</para>
--> -->
<para>
<option>sys:ro</option>:
<filename>/sys</filename> を、セキュリティとコンテナの隔離の目的でリードオンリーでマウントします。 <filename>/sys</filename> を、セキュリティとコンテナの隔離の目的でリードオンリーでマウントします。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>sys:rw</option>: mount <option>sys:rw</option>:
<!--
<filename>/sys</filename> as read-write <filename>/sys</filename> as read-write
</para>
--> -->
<para>
<option>sys:rw</option>:
<filename>/sys</filename> を読み書き可能でマウントします。 <filename>/sys</filename> を読み書き可能でマウントします。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>cgroup:mixed</option>: <option>cgroup:mixed</option>:
mount a tmpfs to <filename>/sys/fs/cgroup</filename>, <!--
create directories for all hierarchies to which Mount a tmpfs to <filename>/sys/fs/cgroup</filename>,
the container is added, create subdirectories create directories for all hierarchies to which the container
there with the name of the cgroup, and bind-mount is added, create subdirectories in those hierarchies with the
the container's own cgroup into that directory. name of the cgroup, and bind-mount the container's own cgroup
The container will be able to write to its own into that directory. The container will be able to write to
cgroup directory, but not the parents, since they its own cgroup directory, but not the parents, since they will
will be remounted read-only be remounted read-only.
</para>
--> -->
<para> <filename>/sys/fs/cgroup</filename> を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層に対するディレクトリを作成し、それらの階層内に cgroup 名でサブディレクトリを作成し、そのコンテナ自身の cgroup をそのディレクトリにバインドマウントします。コンテナは自身の cgroup ディレクトリに書き込みが可能ですが、親ディレクトリはリードオンリーで再マウントされているため書き込めません。
<option>cgroup:mixed</option>:
<filename>/sys/fs/cgroup</filename> を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、その cgroup の名前でその中にサブディレクトリを作製し、そのコンテナ自身の cgroup をそのディレクトリにバインドマウントします。
コンテナは自身の cgroup ディレクトリに書き込みが可能ですが、親ディレクトリはリードオンリーで再マウントされているため書き込めません。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<para>
<option>cgroup:mixed:force</option>:
<!-- <!--
The <option>force</option> option will cause LXC to perform
the cgroup mounts for the container under all circumstances.
Otherwise it is similar to <option>cgroup:mixed</option>.
This is mainly useful when the cgroup namespaces are enabled
where LXC will normally leave mounting cgroups to the init
binary of the container since it is perfectly safe to do so.
-->
<option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup:mixed</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。
</para>
</listitem>
<listitem>
<para> <para>
<option>cgroup:ro</option>: similar to <option>cgroup:ro</option>:
<!--
<option>cgroup:mixed</option>, but everything will <option>cgroup:mixed</option>, but everything will
be mounted read-only. be mounted read-only.
</para>
--> -->
<para>
<option>cgroup:ro</option>:
<option>cgroup:mixed</option> と同様にマウントされますが、全てリードオンリーでマウントされます。 <option>cgroup:mixed</option> と同様にマウントされますが、全てリードオンリーでマウントされます。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>cgroup:rw</option>: similar to <option>cgroup:ro:force</option>:
<option>cgroup:mixed</option>, but everything will <!--
be mounted read-write. Note that the paths leading The <option>force</option> option will cause LXC to perform
up to the container's own cgroup will be writable, the cgroup mounts for the container under all circumstances.
but will not be a cgroup filesystem but just part Otherwise it is similar to <option>cgroup:ro</option>.
of the tmpfs of <filename>/sys/fs/cgroup</filename> This is mainly useful when the cgroup namespaces are enabled
</para> where LXC will normally leave mounting cgroups to the init
binary of the container since it is perfectly safe to do so.
--> -->
<option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup:ro</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。
</para>
</listitem>
<listitem>
<para> <para>
<option>cgroup:rw</option>: <option>cgroup:rw</option>:
<!--
<option>cgroup:mixed</option>, but everything will be mounted
read-write. Note that the paths leading up to the container's
own cgroup will be writable, but will not be a cgroup
filesystem but just part of the tmpfs of
<filename>/sys/fs/cgroup</filename>
-->
<option>cgroup:mixed</option> と同様にマウントされますが、全て読み書き可能でマウントされます。 <option>cgroup:mixed</option> と同様にマウントされますが、全て読み書き可能でマウントされます。
コンテナ自身の cgroup に至るまでのパスも書き込み可能になることに注意が必要ですが、cgroup ファイルシステムにはならず、 コンテナ自身の cgroup に至るまでのパスも書き込み可能になることに注意が必要ですが、cgroup ファイルシステムにはならず、
<filename>/sys/fs/cgroup</filename> の tmpfs の一部分になるでしょう。 <filename>/sys/fs/cgroup</filename> の tmpfs の一部分になるでしょう。
</para> </para>
</listitem> </listitem>
<listitem>
<para>
<option>cgroup:rw:force</option>:
<!--
The <option>force</option> option will cause LXC to perform
the cgroup mounts for the container under all circumstances.
Otherwise it is similar to <option>cgroup:rw</option>.
This is mainly useful when the cgroup namespaces are enabled
where LXC will normally leave mounting cgroups to the init
binary of the container since it is perfectly safe to do so.
-->
<option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup:rw</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。
</para>
</listitem>
<listitem> <listitem>
<para> <para>
<option>cgroup</option> (マウントオプションなしの場合):
<!-- <!--
<option>cgroup</option> (without specifier):
defaults to <option>cgroup:rw</option> if the defaults to <option>cgroup:rw</option> if the
container retains the CAP_SYS_ADMIN capability, container retains the CAP_SYS_ADMIN capability,
<option>cgroup:mixed</option> otherwise. <option>cgroup:mixed</option> otherwise.
--> -->
<option>cgroup</option> (マウントオプションなしの場合):
コンテナが CAP_SYS_ADMIN ケーパビリティを保持している場合、<option>cgroup:rw</option> となります。保持していない場合、<option>cgroup:mixed</option> となります。 コンテナが CAP_SYS_ADMIN ケーパビリティを保持している場合、<option>cgroup:rw</option> となります。保持していない場合、<option>cgroup:mixed</option> となります。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>cgroup-full:mixed</option>: <option>cgroup-full:mixed</option>:
<!--
mount a tmpfs to <filename>/sys/fs/cgroup</filename>, mount a tmpfs to <filename>/sys/fs/cgroup</filename>,
create directories for all hierarchies to which create directories for all hierarchies to which
the container is added, bind-mount the hierarchies the container is added, bind-mount the hierarchies
...@@ -1586,42 +1607,35 @@ by KATOH Yasufumi <karma at jazz.email.ne.jp> ...@@ -1586,42 +1607,35 @@ by KATOH Yasufumi <karma at jazz.email.ne.jp>
albeit read-only outside the container's own cgroup. albeit read-only outside the container's own cgroup.
This may leak quite a bit of information into the This may leak quite a bit of information into the
container. container.
</para>
--> -->
<para>
<option>cgroup-full:mixed</option>:
<filename>/sys/fs/cgroup</filename> を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、ホストからコンテナまでの階層構造を全てバインドマウントし、コンテナ自身の cgroup を除いてリードオンリーにします。 <filename>/sys/fs/cgroup</filename> を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、ホストからコンテナまでの階層構造を全てバインドマウントし、コンテナ自身の cgroup を除いてリードオンリーにします。
<option>cgroup</option> と比べると、コンテナ自身の cgroup に至るまでの全てのパスが tmpfs の下層のシンプルなディレクトリとなり、コンテナ自身の cgroup の外ではリードオンリーになりますが、<filename>/sys/fs/cgroup/$hierarchy</filename> はホストの全ての cgroup 階層構造を含みます。 <option>cgroup</option> と比べると、コンテナ自身の cgroup に至るまでの全てのパスが tmpfs の下層のシンプルなディレクトリとなり、コンテナ自身の cgroup の外ではリードオンリーになりますが、<filename>/sys/fs/cgroup/$hierarchy</filename> はホストの全ての cgroup 階層構造を含みます。
これにより、コンテナにはかなりの情報が漏洩します。 これにより、コンテナにはかなりの情報が漏洩します。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>cgroup-full:ro</option>: similar to <option>cgroup-full:ro</option>:
<!--
similar to
<option>cgroup-full:mixed</option>, but everything <option>cgroup-full:mixed</option>, but everything
will be mounted read-only. will be mounted read-only.
</para>
--> -->
<para>
<option>cgroup-full:ro</option>:
<option>cgroup-full:mixed</option> と同様にマウントされますが、全てリードオンリーでマウントされます。 <option>cgroup-full:mixed</option> と同様にマウントされますが、全てリードオンリーでマウントされます。
</para> </para>
</listitem> </listitem>
<listitem> <listitem>
<!--
<para> <para>
<option>cgroup-full:rw</option>: similar to <option>cgroup-full:rw</option>:
<!--
similar to
<option>cgroup-full:mixed</option>, but everything <option>cgroup-full:mixed</option>, but everything
will be mounted read-write. Note that in this case, will be mounted read-write. Note that in this case,
the container may escape its own cgroup. (Note also the container may escape its own cgroup. (Note also
that if the container has CAP_SYS_ADMIN support that if the container has CAP_SYS_ADMIN support
and can mount the cgroup filesystem itself, it may and can mount the cgroup filesystem itself, it may
do so anyway.) do so anyway.)
</para>
--> -->
<para>
<option>cgroup-full:rw</option>:
<option>cgroup-full:mixed</option>と同様にマウントされますが、全て読み書き可能でマウントされます。 <option>cgroup-full:mixed</option>と同様にマウントされますが、全て読み書き可能でマウントされます。
この場合、コンテナは自身の cgroup から脱出する可能性があることに注意してください (コンテナが CAP_SYS_ADMIN を持ち、自身で cgroup ファイルシステムをマウント可能なら、いずれにせよそのようにするかもしれないことにも注意してください)。 この場合、コンテナは自身の cgroup から脱出する可能性があることに注意してください (コンテナが CAP_SYS_ADMIN を持ち、自身で cgroup ファイルシステムをマウント可能なら、いずれにせよそのようにするかもしれないことにも注意してください)。
</para> </para>
......
Markdown is supported
0% or
You are about to add 0 people to the discussion. Proceed with caution.
Finish editing this message first!
Please register or to comment