Linux Capabilityとは？
Linux capabilityは、低いポートへのbindやファイル所有権の変更など、rootユーザーの権能を構成する個別の権限の一つです。rootをcapabilityに分割することで、プロセスに必要な特定の権限だけを付与できます。capabilityはプロセスやその実行ファイルに対して追加したり外したりできます。
なぜ重要か
不要なcapabilityを外すことは、侵害されたjobがrootにできることすべてを行えないようにCI containerを堅牢化する標準的な方法です。これは、rootとして動作していてもcontainer内で一部の操作が失敗する理由を説明します。
関連ガイド
What Is a Linux Namespace?A Linux namespace gives a group of processes their own isolated view of a system resource, such as process ID…
What Is a Seccomp Filter?A seccomp filter restricts which system calls a process may make, shrinking the kernel surface a sandboxed or…
What Is the Setuid Bit?The setuid bit makes an executable run with the privileges of its owner rather than the user launching it, of…