linux - 非特権ネームスペースサンドボックスに proc をマウントする

Question

Linux 名前空間を使用してサンドボックス環境を作ろうとしています。https://github.com/swetland/mkboxで、私が望むことを大まかに実行するきちんとした例を見つけましたが、信頼できる /proc をサンドボックス内に表示したいと思います。どうやってやるの？

「proc」にproc FSをバインドマウントしようとしましたが、EINVALで失敗します。「proc」を正常にマウントしようとすると、EPERM が生成されます。

アイデア？

score 6 · Accepted Answer

地元の第一人者が私のためにこれを理解しました: proc は (文書化されていない?) MS_REC フラグを使用する必要があります。

    ok(mount, "/proc", "proc", NULL, MS_REC|MS_BIND, NULL);

バインドマウントは、明らかに CLONE_PIDNS が設定されていない場合にのみ有効です。

linux - 非特権ネームスペース サンドボックスに proc をマウントする