fd يشير إلى رابط /proc/pid/ns/¶

إذا كان fd يشير إلى رابط /proc/pid/ns/، فإن setns() يعيد ربط الخيط المستدعي بالنطاق المرتبط بذلك الرابط، مع مراعاة أي قيود يفرضها الوسيط nstype. في هذا الاستخدام، كل استدعاء لـ setns() يغير عضوية نطاق واحدة فقط من عضوية المستدعي.

يحدد الوسيط nstype نوع النطاق الذي يمكن إعادة ربط الخيط المستدعي به. يمكن أن يأخذ هذا الوسيط قيمة واحدة من التالي:

0

السماح بالانضمام إلى أي نوع من النطاقات.

CLONE_NEWCGROUP (منذ لينكس 4.6)

يجب أن يشير fd إلى نطاق cgroup.

CLONE_NEWIPC (منذ Linux 3.0)

يجب أن يشير fd إلى نطاق IPC.

CLONE_NEWNET (منذ Linux 3.0)

يجب أن يشير fd إلى نطاق شبكة.

CLONE_NEWNS (منذ Linux 3.8)

يجب أن يشير fd إلى نطاق وصل.

CLONE_NEWPID (منذ لينكس 3.8)

يجب أن يشير fd إلى نطاق PID سليل.

CLONE_NEWTIME (منذ Linux 5.8)

يجب أن يشير fd إلى نطاق زمن.

CLONE_NEWUSER (منذ لينكس 3.8)

يجب أن يشير fd إلى نطاق مستخدم.

CLONE_NEWUTS (منذ Linux 3.0)

يجب أن يشير fd إلى نطاق UTS.

يكفي تحديد nstype كـ 0 إذا كان المستدعي يعرف (أو لا يهتم) بنوع النطاق الذي يشير إليه fd. تحديد قيمة غير صفرية لـ nstype مفيد إذا كان المستدعي لا يعرف نوع النطاق الذي يشير إليه fd ويريد التأكد من أن النطاق من نوع معين. (قد لا يعرف المستدعي نوع النطاق الذي يشير إليه fd إذا تم فتح واصف الملف بواسطة عملية أخرى و، على سبيل المثال، تم تمريره إلى المستدعي عبر مقبس نطاق UNIX.)

fd هو واصف ملف PID¶

منذ Linux 5.8، يمكن أن يشير fd إلى واصف ملف PID تم الحصول عليه من pidfd_open(2) أو clone(2). في هذا الاستخدام، ينقل setns() الخيط المستدعي بشكل ذري إلى واحد أو أكثر من نفس النطاقات مثل الخيط المشار إليه بواسطة fd.

الوسيط nstype هو قناع بت يتم تحديده عن طريق الجمع بـ OR لـ واحد أو أكثر من ثوابت النطاق CLONE_NEW* المذكورة أعلاه. يتم نقل المستدعي إلى كل نطاق من نطاقات الخيط الهدف المحددة في nstype؛ تبقى عضويات المستدعي في النطاقات المتبقية دون تغيير.

على سبيل المثال، الكود التالي سينقل المستدعي إلى نفس نطاقات المستخدم والشبكة وUTS مثل PID 1234، لكنه سيترك عضويات المستدعي الأخرى في النطاقات دون تغيير:

int fd = pidfd_open(1234, 0);
setns(fd, CLONE_NEWUSER | CLONE_NEWNET | CLONE_NEWUTS);

تفاصيل لأنواع مساحات الأسماء المحددة¶

لاحظ التفاصيل والقيود التالية عند إعادة الارتباط بأنواع مساحات أسماء محددة:

مساحات أسماء المستخدم

يجب أن تمتلك عملية تعيد ربط نفسها بمساحة اسم مستخدم القدرة CAP_SYS_ADMIN في مساحة اسم المستخدم الهدف. (هذا يعني بالضرورة أنه من الممكن فقط الانضمام إلى مساحة اسم مستخدم سليلة.) عند الانضمام بنجاح إلى مساحة اسم مستخدم، تُمنح العملية جميع القدرات في تلك المساحة، بغض النظر عن معرفات المستخدم والمجموعة الخاصة بها.

لا يجوز لعملية متعددة الخيوط تغيير مساحة اسم المستخدم باستخدام setns().

لا يُسمح باستخدام setns() لإعادة الدخول إلى مساحة اسم المستخدم الحالية للمتصل. هذا يمنع المتصل الذي أسقط القدرات من استعادة تلك القدرات عبر استدعاء setns().

لأسباب أمنية، لا يمكن لعملية الانضمام إلى مساحة اسم مستخدم جديدة إذا كانت تشارك سمات متعلقة بنظام الملفات (السمات التي يتحكم في مشاركتها علم clone(2) CLONE_FS) مع عملية أخرى.

لمزيد من التفاصيل حول مساحات أسماء المستخدم، انظر user_namespaces(7).

فضاءات أسماء الوصل

يتطلب تغيير مساحة اسم التثبيت أن يمتلك المتصل كلاً من القدرتين CAP_SYS_CHROOT و CAP_SYS_ADMIN في مساحة اسم المستخدم الخاصة به و CAP_SYS_ADMIN في مساحة اسم المستخدم التي تمتلك مساحة اسم التثبيت الهدف.

لا يمكن لعملية الانضمام إلى مساحة اسم تثبيت جديدة إذا كانت تشارك سمات متعلقة بنظام الملفات (السمات التي يتحكم في مشاركتها علم clone(2) CLONE_FS) مع عملية أخرى.

انظر user_namespaces(7) للحصول على تفاصيل حول تفاعل مساحات أسماء المستخدم ومساحات أسماء التثبيت.

مساحات أسماء PID

من أجل إعادة ربط نفسها بمساحة اسم PID جديدة، يجب أن يمتلك المتصل القدرة CAP_SYS_ADMIN في كل من مساحة اسم المستخدم الخاصة به وفي مساحة اسم المستخدم التي تمتلك مساحة اسم PID الهدف.

إعادة ربط مساحة اسم PID يختلف نوعًا ما عن أنواع مساحات الأسماء الأخرى. إعادة ربط خيط الاستدعاء بمساحة اسم PID يغير فقط مساحة اسم PID التي ستوضع فيها العمليات التابعة التي تم إنشاؤها لاحقًا للمتصل؛ لا يغير مساحة اسم PID للمتصل نفسه.

يُسمح بإعادة الارتباط بمساحة اسم PID فقط إذا كانت مساحة اسم PID الهدف سليلة (تابعة، حفيدة، إلخ) لمساحة اسم PID الحالية للمتصل، أو مطابقة لها.

لمزيد من التفاصيل حول مساحات أسماء PID، انظر pid_namespaces(7).

مساحات أسماء Cgroup

من أجل إعادة ربط نفسها بمساحة اسم cgroup جديدة، يجب أن يمتلك المتصل القدرة CAP_SYS_ADMIN في كل من مساحة اسم المستخدم الخاصة به وفي مساحة اسم المستخدم التي تمتلك مساحة اسم cgroup الهدف.

استخدام setns() لتغيير مساحة اسم cgroup للمتصل لا يغير عضويات cgroup الخاصة بالمتصل.

مساحات أسماء الوقت

من أجل إعادة ربط نفسها بمساحة اسم وقت جديدة، يجب أن يمتلك المتصل القدرة CAP_SYS_ADMIN في كل من مساحة اسم المستخدم الخاصة به وفي مساحة اسم المستخدم التي تمتلك مساحة الاسم الهدف.

لا يجوز لعملية متعددة الخيوط تغيير مساحة اسم الوقت باستخدام setns().

مساحات أسماء الشبكة و IPC و UTS

من أجل إعادة ربط نفسها بمساحة اسم شبكة أو IPC أو وقت أو UTS جديدة، يجب أن يمتلك المتصل القدرة CAP_SYS_ADMIN في كل من مساحة اسم المستخدم الخاصة به وفي مساحة اسم المستخدم التي تمتلك مساحة الاسم الهدف.

مصدر البرنامج¶

#define _GNU_SOURCE
#include <err.h>
#include <fcntl.h>
#include <sched.h>
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
int
main(int argc, char *argv[])
{


    int fd;


    if (argc < 3) {


        fprintf(stderr, "%s /proc/PID/ns/FILE cmd args...\n", argv[0]);


        exit(EXIT_FAILURE);


    }


    /* Get file descriptor for namespace; the file descriptor is opened


       with O_CLOEXEC so as to ensure that it is not inherited by the


       program that is later executed.  */


    fd = open(argv[1], O_RDONLY | O_CLOEXEC);


    if (fd == -1)


        err(EXIT_FAILURE, "open");


    if (setns(fd, 0) == -1)       /* Join that namespace */


        err(EXIT_FAILURE, "setns");


    execvp(argv[2], &argv[2]);    /* Execute a command in namespace */


    err(EXIT_FAILURE, "execvp");
}