Man page - lxc-attach(1)

Packages contains this manual

Available languages:

en ko ja

Manual

lxc-attach

NAME
SYNOPSIS
説 明
オ プ シ ョ ン
共 通 オ プ シ ョ ン
例
互 換 性
注 意
セ キ ュ リ テ ィ
SEE ALSO

NAME

lxc-attach - 実 行 中 の コ ン テ ナ 内 で プ ロ セ ス の 開 始

SYNOPSIS

lxc-attach {-n, --name name } [-f, --rcfile config_file ] [-a, --arch arch ] [-e, --elevated-privileges privileges ] [-s, --namespaces namespaces ] [-R, --remount-sys-proc] [--keep-env] [--clear-env] [-v, --set-var variable ] [--keep-var variable ] [-u, --uid uid ] [-g, --gid gid ] [-- command ]

説 明

lxc-attach は name で 指 定 し た コ ン テ ナ 内 で 指 定 し た command を 実 行 し ま す 。 実 行 す る 時 点 で コ ン テ ナ が 実 行 中 で な け れ ば な り ま せ ん 。

も し command が 指 定 さ れ て い な い 場 合 、 lxc-attach コ マ ン ド を 実 行 し た ユ ー ザ の デ フ ォ ル ト シ ェ ル を コ ン テ ナ 内 で 調 べ て 実 行 し ま す 。 も し コ ン テ ナ 内 に ユ ー ザ が 存 在 し な い 場 合 や 、 コ ン テ ナ で nsswitch 機 構 が 働 い て い な い 場 合 は こ の 動 作 は 失 敗 し ま す 。

前 の バ ー ジ ョ ン の lxc-attach は 、 単 に 指 定 し た コ ン テ ナ の 名 前 空 間 に ア タ ッ チ し 、 最 初 に 擬 似 端 末 (pseudo terminal) を 割 り 当 て な い で 、 シ ェ ル も し く は 指 定 し た コ マ ン ド を 実 行 し ま し た 。 こ れ は 、 異 な る 特 権 レ ベ ル を 持 つ ユ ー ザ 空 間 の 実 行 コ ン テ キ ス ト を 切 り 替 え た 後 に 、 TIOCSTI ioctl の 呼 び 出 し 経 由 で 擬 似 入 力 を 行 う こ と に 対 し て 脆 弱 と な り ま す 。 新 し い バ ー ジ ョ ン の lxc-attach は 、 ホ ス ト 上 の 擬 似 端 末 の フ ァ イ ル デ ィ ス ク リ プ タ の ペ ア を 割 り 当 て よ う と し ま す 。 そ し て シ ェ ル や コ マ ン ド を 実 行 す る 前 に 、 擬 似 端 末 の コ ン テ ナ 側 に 対 し て 、 タ ー ミ ナ ル を 参 照 す る 標 準 フ ァ イ ル デ ィ ス ク リ プ タ を ア タ ッ チ し ま す 。 タ ー ミ ナ ル を 参 照 す る 標 準 フ ァ イ ル デ ィ ス ク リ プ タ が な い 場 合 は 、 lxc-attach は 擬 似 端 末 の 割 り 当 て を 行 わ な い こ と に 注 意 し て く だ さ い 。 代 わ り に 、 単 に コ ン テ ナ の 名 前 空 間 に ア タ ッ チ し 、 シ ェ ル や 指 定 し た コ マ ン ド を 実 行 し ま す 。

オ プ シ ョ ン

-f, --rcfile config_file

コ ン テ ナ の 仮 想 化 、 隔 離 機 能 の 設 定 の た め の 設 定 フ ァ イ ル を 指 定 し ま す 。

(lxc-create 経 由 で ) 前 も っ て コ ン テ ナ が 作 ら れ た 際 の 設 定 フ ァ イ ル が 既 に あ っ た 場 合 で も 、 こ の オ プ シ ョ ン が 指 定 さ れ た 場 合 は 、 指 定 し た 設 定 フ ァ イ ル が 使 用 さ れ ま す 。

-a, --arch arch

コ マ ン ド を 実 行 す る コ ン テ ナ の ア ー キ テ ク チ ャ を 指 定 し ま す 。 こ の オ プ シ ョ ン は 、 コ ン テ ナ の 設 定 フ ァ イ ル で 指 定 す る lxc.arch オ プ シ ョ ン と 同 じ も の が 使 用 可 能 で す 。 lxc.conf (5) を 参 照 し て く だ さ い 。 デ フ ォ ル ト で は 、 実 行 し て い る コ ン テ ナ の ア ー キ テ ク チ ャ に な り ま す 。

-e, --elevated-privileges privileges

コ ン テ ナ の 内 部 で command を 実 行 す る 時 に 特 権 を 削 除 し ま せ ん 。 も し こ の オ プ シ ョ ン が 指 定 さ れ た 場 合 、 新 し い プ ロ セ ス は �\xB3ン テ ナ の cgroup に 追 加 さ れ ず 、 実 行 す る 前 に ケ ー パ ビ リ テ ィ (capability) も 削 除 し ま せ ん 。

全 て の 特 権 の 取 得 し た く な い 場 合 は 、 パ イ プ で 連 結 し た リ ス ト と し て 、 例 え ば CGROUP|LSM の よ う に 、 特 権 を 指 定 す る こ と が 可 能 で す 。 指 定 で き る 値 は 、 そ れ ぞ れ cgroup、 ケ ー パ ビ リ テ ィ 、 特 権 の 制 限 を 表 す CGROUP 、 CAP 、 LSM で す 。 (パ イ プ 記 号 を CGROUP\|LSM の よ う に エ ス ケ ー プ す る か 、 "CGROUP|LSM" の よ う に 引 用 符 号 を 付 け る 必 要 が あ り ま す 。 )

警 告 ： も し 実 行 す る コ マ ン ド が 、 ア タ ッ チ す る メ イ ン プ ロ セ ス が 終 了 し た 後 も 実 行 さ れ た ま ま の サ ブ プ ロ セ ス を 開 始 す る よ う な 場 合 、 こ の オ プ シ ョ ン の 指 定 は コ ン テ ナ 内 へ の 特 権 の リ ー ク と な る 可 能 性 が あ り ま す 。 コ ン テ ナ 内 で の デ ー モ ン の 開 始 (も し く は 再 起 動 )は 問 題 と な り ま す 。 デ ー モ ン が 多 数 の サ ブ プ ロ セ ス を 開 始 す る cron や sshd の よ う な 場 合 は 特 に 問 題 と な り ま す 。 充 分 な 注 意 を 払 っ て 使 用 し て く だ さ い 。

-s, --namespaces namespaces

ア タ ッ チ す る 名 前 空 間 を パ イ プ で 連 結 し た リ ス ト で 指 定 し ま す 。 例 え ば NETWORK|IPC の よ う に で す 。 こ こ で 使 用 可 能 な 値 は MOUNT , PID , UTSNAME , IPC , USER , NETWORK で す 。 こ れ に よ り 指 定 し た 名 前 空 間 に プ ロ セ ス の コ ン テ キ ス ト を 変 更 で き ま す 。 例 え ば コ ン テ ナ の ネ ッ ト ワ ー ク 名 前 空 間 に 変 更 す る 一 方 で 、 他 の 名 前 空 間 は ホ ス ト の 名 前 空 間 の ま ま に す る と い う よ う な 事 が 可 能 で す 。 (パ イ プ 記 号 を MOUNT\|PID の よ う に エ ス ケ ー プ す る か 、 "MOUNT|PID" の よ う に 引 用 符 号 を 付 け る 必 要 が あ り ま す 。 )

重 要 : こ の オ プ シ ョ ン は -e オ プ シ ョ ン を 指 定 し な く て も 指 定 し て い る 場 合 と 同 様 の 動 作 を し ま す 。

-R, --remount-sys-proc

-s を 指 定 し 、 そ こ に マ ウ ン ト 名 前 空 間 が 含 ま れ な い 時 、 こ の オ プ シ ョ ン に よ り lxc-attach は /proc と /sys を リ マ ウ ン ト し ま す 。 こ れ は 現 在 の 他 の 名 前 空 間 の コ ン テ キ ス ト を 反 映 さ せ る た め で す 。

も っ と 詳 細 な 説 明 は 注 意 を 参 照 し て く だ さ い 。

こ の オ プ シ ョ ン は 、 マ ウ ン ト 名 前 空 間 へ の ア タ ッ チ が 行 わ れ る 場 合 は 無 視 さ れ ま す 。

--keep-env

ア タ ッ チ さ れ る プ ロ グ ラ ム に 対 し て 現 在 の 環 境 を 保 持 し た ま ま に し ま す 。 こ れ は 現 在 (バ ー ジ ョ ン 0.9 時 点 ) の デ フ ォ ル ト の 動 作 で す が 、 将 来 は 変 更 さ れ る 予 定 で す 。 こ の 動 作 が コ ン テ ナ 内 へ の 望 ま し く な い 情 報 の 漏 洩 に つ な が る 可 能 性 が あ る た め で す 。 ア タ ッ チ す る プ ロ グ ラ ム で 環 境 変 数 が 利 用 可 能 で あ る こ と を 期 待 し て い る 場 合 、 将 来 的 に も そ れ が 保 証 さ れ る よ う に こ の オ プ シ ョ ン を 使 用 す る よ う に し て く だ さ い 。 現 在 の 環 境 変 数 に 加 え て 、 container=lxc が 設 定 さ れ ま す 。

--clear-env

ア タ ッ チ す る 前 に 環 境 変 数 を ク リ ア し ま す 。 こ れ に よ り コ ン テ ナ へ の 不 要 な 環 境 変 数 の 漏 洩 が 起 こ ら な く な り ま す 。 変 数 container=lxc の み が ア タ ッ チ す る プ ロ グ ラ ム の 開 始 の 時 の 環 境 変 数 と な り ま す 。

-v, --set-var variable

コ ン テ ナ に ア タ ッ チ し た プ ロ グ ラ ム か ら 見 え る 環 境 変 数 を 追 加 し ま す 。 こ の オ プ シ ョ ン は "VAR=VALUE" の 形 式 で 指 定 し 、 複 数 回 指 定 で き ま す 。

--keep-var variable

--clear-env を 指 定 し た 際 に 、 ク リ ア せ ず に 保 持 し た ま ま に し た い 環 境 変 数 を 指 定 し ま す 。 --clear-env と 同 時 に し か 使 え ま せ ん 。 複 数 回 指 定 で き ま す 。

-u, --uid uid

コ ン テ ナ 内 で 、 ユ ー ザ ID uid で command を 実 行 し ま す （ 数 値 で 指 定 ） 。

--g, --gid gid

コ ン テ ナ 内 で 、 グ ル ー プ ID gid で command を 実 行 し ま す （ 数 値 で 指 定 ） 。

共 通 オ プ シ ョ ン

こ こ で 紹 介 す る オ プ シ ョ ン は lxc コ マ ン ド の 大 部 分 で 共 通 の も の で す 。
-?, -h, --help

通 常 よ り 長 い 使 い 方 の メ ッ セ ー ジ を 表 示 し ま す 。

--usage

使 い 方 を 表 示 し ま す 。

-q, --quiet

出 力 を 抑 制 し ま す 。

-P, --lxcpath= PATH

デ フ ォ ル ト と 別 の コ ン テ ナ パ ス を 使 用 し ま す 。 デ フ ォ ル ト は /var/lib/lxc で す 。

-o, --logfile= FILE

追 加 の ロ グ を FILE に 出 力 し ま す 。 デ フ ォ ル ト は 出 力 し ま せ ん 。

-l, --logpriority= LEVEL

ロ グ の 優 先 度 を LEVEL に 設 定 し ま す 。 デ フ ォ ル ト の 優 先 度 は ERROR で す 。 以 下 の 値 を 設 定 可 能 で す : FATAL, ALERT, CRIT, WARN, ERROR, NOTICE, INFO, DEBUG, TRACE。

こ の オ プ シ ョ ン は 追 加 の ロ グ フ ァ イ ル へ の イ ベ ン ト ロ グ の 優 先 度 の 設 定 で あ る 事 に 注 意 し て く だ さ い 。 stderr へ の ERROR イ ベ ン ト の ロ グ に は 影 響 し ま せ ん 。

-n, --name= NAME

NAME と い う 名 前 で コ ン テ ナ を 識 別 し ま す 。 コ ン テ ナ 識 別 子 の フ ォ ー マ ッ ト は 英 数 字 の 文 字 列 で す 。

--rcfile= FILE

コ ン テ ナ の 仮 想 化 、 隔 離 機 能 の 設 定 の た め の 設 定 フ ァ イ ル を 指 定 し ま す 。

(lxc-create 経 由 で ) 前 も っ て コ ン テ ナ が 作 ら れ た 際 の 設 定 フ ァ イ ル が 既 に あ っ た 場 合 で も 、 こ の オ プ シ ョ ン が 指 定 さ れ た 場 合 は 、 指 定 し た 設 定 フ ァ イ ル が 使 用 さ れ ま す 。

--version

バ ー ジ ョ ン 番 号 を 表 示 し ま す 。

例

存 在 す る コ ン テ ナ 内 で 新 し い シ ェ ル を 生 成 す る に は 、 以 下 の よ う に し ま す 。

lxc-attach -n container

実 行 中 の Debian コ ン テ ナ の cron サ ー ビ ス を 再 起 動 す る に は 、 以 下 の よ う に 実 行 し ま す 。

lxc-attach -n container -- /etc/init.d/cron restart

NET_ADMIN ケ ー パ ビ リ テ ィ を 持 た な い 実 行 中 の コ ン テ ナ の ネ ッ ト ワ ー ク イ ン タ ー フ ェ ー ス eth1 の 動 作 を 停 止 さ せ る に は 、 ケ ー パ ビ リ テ ィ を 増 加 さ せ る た め に -e オ プ シ ョ ン を 指 定 し 、 ip ツ ー ル が イ ン ス ト ー ル さ れ て い る こ と を 前 提 に 、 以 下 の よ う に 実 行 し ま す 。

lxc-attach -n container -e -- /sbin/ip link delete eth1

互 換 性

(pid と マ ウ ン ト 名 前 空 間 を 含 む ) コ ン テ ナ に 対 す る 完 全 な ア タ ッ チ を 行 う に は 3.8 以 上 、 も し く は パ ッ チ を 適 用 し た カ ー ネ ル が 必 要 と な り ま す 。 詳 し く は lxc の ウ ェ ブ サ イ ト を 参 照 し て く だ さ い 。 パ ッ チ が 当 た っ て い な い 3.8 よ り 小 さ な バ ー ジ ョ ン の カ ー ネ ル を 使 っ た 場 合 は 、 lxc-attach の 実 行 は 失 敗 す る で し ょ う 。

し か し 、 も し -s を 使 用 し て 、 ア タ ッ チ す る も の を NETWORK , IPC , UTSNAME の 1 つ か 複 数 の 名 前 空 間 に 限 定 し て 使 用 す れ ば 、 バ ー ジ ョ ン 3.0 以 上 の パ ッ チ を 適 用 し て い な い カ ー ネ ル で も ア タ ッ チ が 成 功 す る で し ょ う 。

ユ ー ザ 名 前 空 間 へ の ア タ ッ チ は 、 ユ ー ザ 名 前 空 間 機 能 を 有 効 に し た 3.8 以 上 の カ ー ネ ル で サ ポ ー ト さ れ ま す 。

注 意

Linux の /proc と /sys フ ァ イ ル シ ス テ ム は 名 前 空 間 に よ っ て 影 響 を 受 け る あ る 程 度 の 情 報 を 持 っ て い ま す 。 こ れ は /proc 内 の プ ロ セ ス ID の 名 前 の デ ィ レ ク ト リ や 、 /sys/class/net 内 の ネ ッ ト ワ ー ク イ ン タ ー フ ェ ー ス 名 の デ ィ レ ク ト リ な ど で す 。 擬 似 フ ァ イ ル シ ス テ ム を マ ウ ン ト し て い る プ ロ セ ス の 名 前 空 間 が 、 ど の よ う な 情 報 を 表 示 す る か を 決 定 し ま す 。 /proc や /sys に ア ク セ ス し て い る プ ロ セ ス の 名 前 空 間 が 決 定 す る の で は あ り ま せ ん 。

-s を 使 っ て コ ン テ ナ の pid 名 前 空 間 の み を ア タ ッ チ し 、 マ ウ ン ト 名 前 空 間 (こ れ は コ ン テ ナ の /proc を 含 み 、 ホ ス ト の は 含 ま な い で し ょ う ) は ア タ ッ チ し な い 場 合 、 /proc の コ ン テ ン ツ は コ ン テ ナ の も の で は な く 、 ホ ス ト の も の と な り ま す 。 似 た よ う な 事 例 と し て 、 ネ ッ ト ワ ー ク 名 前 空 間 の み を ア タ ッ チ し て 、 /sys/class/net の コ ン テ ン ツ を 読 ん だ 場 合 も 同 じ よ う な 事 が 起 こ る で し ょ う 。

こ の 問 題 へ の 対 処 の た め に 、 -R オ プ シ ョ ン が /proc と /sys が 提 供 さ れ て い ま す 。 こ れ に よ り 、 ア タ ッ チ す る プ ロ セ ス の ネ ッ ト ワ ー ク /pid 名 前 空 間 の コ ン テ キ ス ト を 反 映 さ せ る こ と が で き ま す 。 ホ ス ト の 実 際 の フ ァ イ ル シ ス テ ム に 影 響 を 与 え な い た め に 、 実 行 前 に は マ ウ ン ト 名 前 空 間 は unshare さ れ ま す ( lxc-unshare の よ う に )。 こ れ は 、 /proc と /sys フ ァ イ ル シ ス テ ム 以 外 は ホ ス ト の マ ウ ン ト 名 前 空 間 と 同 じ で あ る 、 新 し い マ ウ ン ト 名 前 空 間 が プ ロ セ ス に 与 え ら れ る と い う こ と で す 。

以 前 の バ ー ジ ョ ン の lxc-attach は 、 い く つ か の 重 要 な サ ブ シ ス テ ム に 対 し て 、 書 き 込 み 可 能 な cgroup 内 に 配 置 す る こ と な し に 、 ユ ー ザ が コ ン テ ナ の 名 前 空 間 に ア タ ッ チ で き た バ グ が あ り ま し た 。 新 し い バ ー ジ ョ ン の lxc-attach は 、 こ の よ う な 重 要 な サ ブ シ ス テ ム に 対 し て 、 ユ ー ザ が 書 き 込 み 可 能 な cgroup 内 に い る か ど う か を チ ェ ッ ク し ま す 。 し た が っ て 、 ユ ー ザ に よ っ て は lxc-attach は 不 意 に 失 敗 す る か も し れ ま せ ん (例 え ば 、 非 特 権 ユ ー ザ が 、 ロ グ イ ン 時 に 重 要 で あ る サ ブ シ ス テ ム の 書 き 込 み 可 能 な cgroup に 配 置 さ れ て い な い よ う な シ ス テ ム で )。 し か し 、 こ の 振 る 舞 い は 正 し く 、 よ り セ キ ュ ア で す 。

セ キ ュ リ テ ィ

-e と -s オ プ シ ョ ン の 使 用 に は 注 意 を 払 う べ き で す 。 不 適 切 に 使 用 し た 場 合 、 コ ン テ ナ の 隔 離 を 破 壊 し て し ま う 可 能 性 が あ り ま す 。

SEE ALSO

lxc (7), lxc-create (1), lxc-copy (1), lxc-destroy (1), lxc-start (1), lxc-stop (1), lxc-execute (1), lxc-console (1), lxc-monitor (1), lxc-wait (1), lxc-cgroup (1), lxc-ls (1), lxc-info (1), lxc-freeze (1), lxc-unfreeze (1), lxc-attach (1), lxc.conf (5)