proto.lib

User Namespace: làm root mà không phải root

User namespace ánh xạ uid 0 BÊN TRONG namespace thành một uid không đặc quyền BÊN NGOÀI (qua dải trong /etc/subuid và uid_map), nên tiến trình có toàn quyền root cục bộ trong namespace nhưng kernel host vẫn coi nó là user thường — đây là nền tảng của container rootless như podman/docker rootless.

Operating SystemsNâng cao2026-08-20
User Namespace: làm root mà không phải root

Tags

#user-namespace#rootless#uid-mapping#subuid#capabilities#podman#container-security

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Operating SystemsNâng cao

Siết systemd service bằng unit file: namespace + seccomp trước khi exec

Các directive như ProtectSystem, ProtectHome, PrivateTmp, NoNewPrivileges, CapabilityBoundingSet, SystemCallFilter khiến systemd dựng sẵn mount namespace riêng và nạp bộ lọc seccomp-bpf cho tiến trình trước khi gọi execve; systemd-analyze security chấm điểm mức lộ diện còn lại để vá dần.

#systemd#hardening#seccomp#namespaces
Operating SystemsNâng cao

Linux Capabilities: chia nhỏ quyền root

Thay vì cấp toàn bộ quyền root, Linux capabilities chia nhỏ đặc quyền thành từng đơn vị như CAP_NET_BIND_SERVICE (bind cổng dưới 1024) hay CAP_SYS_ADMIN; file capability gắn trên binary an toàn hơn setuid vì không nâng toàn bộ uid. Trình bày permitted/effective/inheritable set, bounding set, và việc container runtime mặc định drop hầu hết capability.

#capabilities#cap-net-bind-service#setcap#bounding-set
Operating SystemsCơ bản

systemd Timer thay Cron cho Job Định Kỳ

systemd timer dùng cặp unit .timer + .service thay cho crontab: OnCalendar định nghĩa lịch chạy, Persistent bù lại lần chạy bị bỏ lỡ khi máy tắt lúc đến giờ, RandomizedDelaySec né dồn tải khi nhiều máy cùng lịch, log đi thẳng vào journal thay vì mail, và cần WantedBy/After phù hợp để tránh hai phiên chạy chồng lấn.

#systemd#systemd-timer#cron#oncalendar