O Que É uma Linux Capability?
Uma Linux capability é um dos privilégios distintos que juntos compõem os poderes do usuário root, como a capacidade de fazer bind em portas baixas ou mudar a propriedade de arquivos. Dividir o root em capabilities permite que um processo receba apenas os poderes específicos de que precisa. Capabilities podem ser adicionadas ou removidas de um processo e de seus executáveis.
Por que isso importa
Remover capabilities desnecessárias é uma forma padrão de endurecer um CI container para que um job comprometido não possa fazer tudo o que o root faria. Isso explica por que algumas operações falham em um container mesmo rodando como root.
Guias relacionados
What Is a Linux Namespace?A Linux namespace gives a group of processes their own isolated view of a system resource, such as process ID…
What Is a Seccomp Filter?A seccomp filter restricts which system calls a process may make, shrinking the kernel surface a sandboxed or…
What Is the Setuid Bit?The setuid bit makes an executable run with the privileges of its owner rather than the user launching it, of…