Linux
发布时间：2022-04-01 发布网站：大佬教程 code.js-code.com
大佬教程收集整理的这篇文章主要介绍了linux – 为什么unshare(CLONE_NEWNET)需要CAP_SYS_ADMIN？，大佬教程大佬觉得挺不错的，现在分享给大家，也给大家做个参考。
概述
我正在使用 linux命名空间,我注意到如果用户想要在新的网络命名空间中执行进程(不使用用户命名空间),他需要是root用户或具有CAP_SYS_ADMIN功能. unshare(2)手册页说： CLONE_NEWNET (since Linux 2.6.
24) This flag has the same effect as the clone(2) CLONE_NEWNET flag. Uns
我正在使用
linux命名空间,我注意到如果
用户想要在新的网络命名空间中执行进程(不使用
用户命名空间),他需要是root
用户或具有CAP_SYS_ADMIN@L_
618_4@.
unshare(2)手册页说：
因此,如果我想在网络沙箱中执行pdf阅读器,我必须使用user-net-namespaces或某些特权包装器.
为什么？新进程将被放置在没有接口的新网络命名空间中,因此它将与真实网络隔离,对吧？非特权非用户网络命名空间引发哪种问题/安全威胁？
创建网络命名空间允许操纵具有setuid标志或具有特权的二进制
文件的执行环境.
用户命名空间消除了这种可能性,因为进程无法获得未包含在
用户命名空间中的权限.
通常,不能知道拒绝特权进程访问网络不会导致安全漏洞.因此,内核假定操作是特权的,并且由系统策略决定是否为普通用户提供特权实用程序.
大佬总结
以上是大佬教程为你收集整理的linux – 为什么unshare(CLONE_NEWNET)需要CAP_SYS_ADMIN？全部内容，希望文章能够帮你解决linux – 为什么unshare(CLONE_NEWNET)需要CAP_SYS_ADMIN？所遇到的程序开发问题。
如果觉得大佬教程网站内容还不错，欢迎将大佬教程推荐给程序员好友。
本图文内容来源于网友网络收集整理提供，作为学习参考使用，版权属于原作者。
如您有任何意见或建议可联系处理。小编QQ：384754419，请注明来意。
