fd renvoie à un lien /proc/[pid]/ns/

Si fd renvoie à un /proc/pid/ns/, setns() ré-associe le thread appelant à l'espace de noms associé à ce lien, dans les contraintes posées par le paramètre nstype. Dans cet utilisation, l'appel setns() ne change qu'un des membres de l'espace de noms de l'appelant.

L'argument nstype indique les types d'espaces de noms auxquels le thread appelant peut être réassocié. Cet argument peut prendre une des valeurs suivantes :

0

fd peut faire référence à n'importe quel type d'espace de noms.

CLONE_NEWCGROUP (depuis Linux 4.6)

fd doit faire référence à un espace de noms cgroup.

CLONE_NEWIPC (à partir de Linux 3.0)

fd doit faire référence à un espace de noms IPC.

CLONE_NEWNET (à partir de Linux 3.0)

fd doit faire référence à un espace de noms réseau.

CLONE_NEWNS (à partir de Linux 3.8)

fd doit faire référence à un espace de noms de montage.

CLONE_NEWPID (depuis Linux 3.8)

fd doit faire référence à un espace de noms de PID descendant.

CLONE_NEWIPC (depuis Linux 5.8)

fd doit faire référence à un espace de noms de temps.

CLONE_NEWUSER (depuis Linux 3.8)

fd doit faire référence à un espace de noms utilisateur.

CLONE_NEWUTS (à partir de Linux 3.0)

fd doit faire référence à un espace de noms UTS.

Définir la valeur de nstype à zéro est suffisant si le thread appelant connaît (ou n'a pas besoin de connaître) le type d'espace de noms auquel fd fait référence. Définir nstype à une valeur non nulle est utile si l'appelant ne connaît pas le type de l'espace de noms référencé par fd et veut s'assurer que l'espace de noms est du type souhaité. L'appelant pourrait ne pas connaître le type de l'espace de noms auquel fd fait référence si le descripteur de fichiers a été ouvert par un autre processus et qu'il a, par exemple, été passé à l'appelant par un socket UNIX.

fd est un descripteur de fichier de PID

Depuis Linux 5.8, fd peut renvoyer à un descripteur de fichier de PID qu'on récupère avec pidfd_open(2) ou clone(2). Dans cette utilisation, setns() déplace de manière atomique le thread appelant dans un ou plusieurs espaces de noms en tant que thread auquel fd renvoie.

Le paramètre nstype est un masque de bits indiqué par une liaison et une ou plusieurs des constantes d'espace de noms CLONE_NEW* listées ci-dessus. L'appelant est déplacé dans chacun des espaces de nom du thread cible indiqué dans nstype ; l'appartenance de l'appelant aux autres espaces de noms demeure inchangée.

Par exemple, le code suivant déplace l'appelant dans les mêmes espace de noms utilisateur, réseau et UTS sous le PID 1234, mais les autres appartenances à l'espace de noms de l'appelant ne changent pas :

int fd = pidfd_open(1234, 0);
setns(fd, CLONE_NEWUSER | CLONE_NEWNET | CLONE_NEWUTS);

Détails sur des types d'espace de noms spécifiques

Notez les détails et les restrictions suivantes lors de la ré-association à certains types d'espace de noms spécifiques :

Espaces de nom utilisateur

Un processus qui se ré-associe à un espace de noms utilisateur doit disposer de la capacité CAP_SYS_ADMIN dans l'espace de noms utilisateur cible (donc, nécesairement, il n'est possible d'atteindre qu'un espace de noms descendant). Lorsque le déplacement réussit, un processus se voit accorder toutes les capacités de cet espace de noms, quels que soient ses IDentifiants d'utilisateur et de groupe.

Un processus de plusieurs threads ne peut pas changer d'espace de noms utilisateur avec setns().

Il n'est pas permis d'utiliser setns() pour revenir dans l'espace de noms utilisateur de l'appelant. Cela empêche un appelant n'ayant plus ces capacités de les retrouver à l'aide d'un appel à setns().

Pour des raisons de sécurité, un processus ne peut pas atteindre un nouvel espace de noms utilisateur s'il partage des attributs liés à un système de fichiers (dont le partage est contrôlé avec le drapeau CLONE_FS de clone(2)) avec un autre processus.

Pour obtenir plus d'informations sur les espaces de noms utilisateur, consultez user_namespaces(7).

Espaces de noms montage

Pour pouvoir changer d'espace de noms de montage, l'appelant doit disposer des capacités CAP_SYS_CHROOT et CAP_SYS_ADMIN dans son propre espace de noms utilisateur, et de la capacité CAP_SYS_ADMIN dans l'espace de noms de montage cible.

Un processus ne peut pas atteindre un nouvel espace de noms de montage s'il partage des attributs relatifs à un système de fichiers (dont le partage est contrôlé par le drapeau CLONE_FS de clone(2)) avec un autre processus.

Voir user_namespaces(7) pour des détails sur l'interaction entre les espaces de noms utilisateur et de montage.

Espaces de noms PID

Pour se ré-associer à un nouvel espace de noms PID, l'appelant doit avoir la capacité CAP_SYS_ADMIN dans son espace de noms utilisateur et dans celui auquel appartient l'espace de noms PID cible.

Réassocier l'espace de noms d'un PID a un comportement différent des autres types d'espace de noms. La ré-association du thread appelant avec un espace de noms de PID change seulement l'espace de noms de PID dans lequel les processus enfants de l'appelant seront créés ; cela ne change pas l'espace de noms PID de l'appelant.

La ré-association à un espace de noms PID n'est autorisée que si l'espace de noms PID cible est un descendant (l'enfant, le petit-enfant, etc) ou est le même que celui de l'appelant.

Pour plus d'informations sur les espaces de noms des PIDs, reportez vous à namespaces(7).

Espaces de noms cgroup

Pour se ré-associer à un nouvel espace de noms cgroup, l'appelant doit avoir la capacité CAP_SYS_ADMIN dans son propre espace de noms utilisateur et dans celui auquel appartient l'espace de noms cgroup cible.

L'utilisation de setns() pour changer d'espace de noms cgroup ne change pas l'appartenance cgroup de l'appelant.

Espaces de noms réseau, IPC, de temps et UTS

Pour se ré-associer à un nouvel espace de noms réseau, IPC, de temps ou UTS, l'appelant doit disposer des capacités CAP_SYS_ADMIN dans son propre espace de noms utilisateur et dans l'espace de noms utilisateur qui possède l'espace de noms cible.

Source du programme

#define _GNU_SOURCE
#include <err.h>
#include <fcntl.h>
#include <sched.h>
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
int
main(int argc, char *argv[])
{
    int fd;
    if (argc < 3) {
        fprintf(stderr, "%s /proc/PID/ns/FILE cmd args...\n", argv[0]);
        exit(EXIT_FAILURE);
    }
    /* Récupérer le descripteur de fichier de l'espace de noms ; le descripteur
       de fichier est ouvert avec O_CLOEXEC pour garantir qu'il n'est pas
       récupéré par le programme exécuté en dernier. */
    fd = open(argv[1], O_RDONLY | O_CLOEXEC);
    if (fd == -1)
        err(EXIT_FAILURE, "open");
    if (setns(fd, 0) == -1)       /* Rejoindre cet espace de noms */
        err(EXIT_FAILURE, "setns");
    execvp(argv[2], &argv[2]);    /* Exécuter une commande dans l'espace de noms */
    err(EXIT_FAILURE, "execvp");
}