user namespace에서 CAP_SETFCAP이 새는 경로 — 파일 capability와 setns() 실험
컨테이너 런타임은 user namespace 안에서 root를 바깥 root에 그대로 매핑(root-mapped)하기도 한다. 이때 안쪽 root가 파일에 capability를 붙이면 그 capability는 바깥에서도 유효하다. 그래서 런타임은 초기화 후 CAP_SETFCAP을 버린다. 조셉 바식(Josef Bacik)은…
컨테이너 런타임은 user namespace 안에서 root를 바깥 root에 그대로 매핑(root-mapped)하기도 한다. 이때 안쪽 root가 파일에 capability를 붙이면 그 capability는 바깥에서도 유효하다. 그래서 런타임은 초기화 후 CAP_SETFCAP을 버린다. 조셉 바식(Josef Bacik)은…