[Comm] непривелегированный контейнер lxc - как создать и запустить?

[Alexander]

26.09.2016 00:13, Mikhail Efremov пишет:
> On Sun, 25 Sep 2016 09:29:36 +0300 Alexander wrote:
>> 25.09.2016 02:42, Dmitry V. Levin пишет:
>>> Hi,
>>>
>>> On Sat, Sep 24, 2016 at 10:51:47PM +0300, Alexander wrote:
>>>> Доброй ночи!
>>>>
>>>> Пытаюсь запустить непривилегированный
>>>> lxc-контейнер (root контейнера - обычный
>>>> пользователь хоста).
>>> .....
>>> По умолчанию это не разрешено.
>> setgid: Invalid argument
>> .....
>> Подскажите пожалуйста что и где еще нужно разрешить?
> ......
> Подозреваю, что lxc-create хочет suid'ный newuidmap. У нас же все эти
> утилиты не suid'ные. Наверно нужно добавить соответствующий control в
> пакет. Причем мне помнится, что где-то в этих утилитах была уязвимость
> в случае их suid'ности.
>

Да, похоже так и есть - в ubuntu утилита с suid битом, у нас -  без 
него. После установки suid бита на  эти утилиты это место удалось 
проскочить.

Теперь ругается так:

$ lxc-create -t download -n p1 -- -l
mktemp: не удалось создать каталог по шаблону 
«/tmp/.private/user/tmp.XXXXXXXXXX»: Отказано в доступе

Хотя  вот так проходит вполне себе успешно:
$ mktemp -d
/tmp/.private/user/tmp.CCqmQm9Iz5


Похоже,  что непривилегированные lxc-контейнеры у нас никто не запускал 
и не настраивал?
Вроде же везде пишут что они более безопасные чем привилегированные? Или 
нет?


-- 
С уважением, Александр