sudo разрешения при использовании unshare

Вопрос или проблема

Во время работы с командой unshare я столкнулся с поведением, которое меня озадачило…

Если я выполню sudo unshare -Ur -R <dir>, где <dir> указывает на каталог, принадлежащий другому пользователю (в данном случае моему стандартному (администраторскому) пользователю) и с правами доступа 700, я получаю ошибку Permission denied. Почему? Я до сих пор наивно полагал, что использование sudo предоставляет моему пользователю права root, и что права root позволяют моему пользователю делать все, что угодно. Очевидно, это не так…

Если я запускаю ту же команду без sudo от имени пользователя, которому принадлежит каталог, команда работает. Если я запускаю команду с sudo, но без флагов -U или -r, она также работает.

Я был бы очень признателен, если бы кто-то помог мне понять, какие ограничения накладываются на моего пользователя при использовании sudo, позволяет ли использование sudo такие же права, как у пользователя root, и, в частности, почему я не могу использовать команду unshare с sudo, используя флаги -U / -r, для каталога, не принадлежащего root, и с правами доступа 700.

У меня свежая установка Debian. SELinux не установлен, а остановка AppArmor не оказывает эффекта. Интересно, связано ли это с возможностями Linux…

Большое спасибо!

Ответ или решение

Благодарю за предоставленный вопрос. Кажется, что вы столкнулись с интересными аспектами управления правами и возможностями в Linux при использовании команды unshare. Давайте рассмотрим это более тщательно и подробно.

Проблема с использованием sudo и команды unshare

Когда вы используете команду sudo unshare -Ur -R <dir>, вы ожидаете, что права суперпользователя дадут вам доступ ко всем каталогам без ограничений. Однако Permission denied указывает, что это не совсем так, особенно в контексте использования флагов -U и -r.

Понимание флагов -U и -r в unshare

1. Флаг -U: Этот флаг создаёт новый пользовательский неймспейс. Эффективный идентификатор пользователя после создания такого неймспейса будет 0 (что соответствует root), но в рамках самого неймспейса, текущий пользователь (который запускает unshare под sudo) может не иметь полномочий на запись или доступ к ресурсам, принадлежащим другому пользователю. Это объясняет, почему вы получаете ошибку доступа, поскольку вновь созданный пользовательский неймспейс не совпадает с исходным контекстом прав.

2. Флаг -r: Флаг гарантирует, что процесс будет репарентирован в новый root неймспейс. Это создаёт новое пространство, в котором текущие права доступа могут быть изолированы от основного процесса, что также может привести к ограничению доступа.

Почему sudo не всегда действует как root

Хотя sudo предоставляет привилегии суперпользователя, он не обязательно предоставляет все привилегии во всех контекстах. Ваша проблема в основном связана с управлением пользователями и неймспейсами в Linux. Ваша команда создает новую среду, где пересоздаются и переопределяются права доступа.

Решения и рекомендации

1. Проверка капабилити (capabilities): Убедитесь, что процессу предоставлены достаточные капабилити. Вы можете использовать команду capsh для проверки текущих капабилити:

   capsh --print

2. Использование без флагов: Если вы обнаруживаете, что флаги -U и -r усложняют процесс, подумайте о технической возможности использования команды без этих флагов или установите ACL (списки управления доступом) для временного изменения прав доступа.

3. Уровень безопастности: Убедитесь, что вы полностью понимаете контекст и последствия выполнения команд с повышенными привилегиями в разные неймспейсы, чтобы избежать случайных нарушений безопасности.

Заключение

Учитывая, что вы находитесь на свежей установке Debian и не используете SELinux или AppArmor, основная сложность вашего вопроса связана с концепцией неймспейсов и пользовательских идентификаторов в Linux.

Надеюсь, это объяснение сняло ваши вопросы о поведении sudo в контексте использования unshare. Если вам потребуется дополнительная помощь, не сомневайтесь запросить больше вопросов по этой теме.