Bubblewrap/例 - 版の履歴

Kgx: /* Skype for Linux */ リンクを修正

2023-02-26T16:43:19Z

Skype for Linux: リンクを修正

← 古い版		2023年2月27日 (月) 01:43時点における版
338行目:		338行目:
	* 環境変数が全てアンセットされていることを確認します。		* 環境変数が全てアンセットされていることを確認します。
	* ネットワークはホストと共有 ({{ic\|--share-net}}), {{ic\|/etc/resolv.conf}} は bind-mounted です.		* ネットワークはホストと共有 ({{ic\|--share-net}}), {{ic\|/etc/resolv.conf}} は bind-mounted です.
	* [Xorg] アクセス: {{ic\|/tmp/.X11-unix/X0}} ソケットをバインドし、{{ic\|$DISPLAY}} を設定します。		* [[Xorg]] アクセス: {{ic\|/tmp/.X11-unix/X0}} ソケットをバインドし、{{ic\|$DISPLAY}} を設定します。
	* [[D-Bus]]: {{ic\|/run/user/$UID/bus}} ソケットを結び、{{ic\|$DBUS_SESSION_BUS_ADDRESS}} を設定します。		* [[D-Bus]]: {{ic\|/run/user/$UID/bus}} ソケットを結び、{{ic\|$DBUS_SESSION_BUS_ADDRESS}} を設定します。
	* Audio: [[PulseAudio]] ソケットをバインドしてください。		* Audio: [[PulseAudio]] ソケットをバインドしてください。

Kgx: /* プライバシーの強化 */ typo

2023-02-26T16:42:18Z

プライバシーの強化: typo

← 古い版		2023年2月27日 (月) 01:42時点における版
273行目:		273行目:

	{{Note\|選択した UID と GID が {{ic\|/etc/passwd}} と {{ic\|/etc/groups}} にリストされている既存の値と競合しないことを確認してください。		{{Note\|選択した UID と GID が {{ic\|/etc/passwd}} と {{ic\|/etc/groups}} にリストされている既存の値と競合しないことを確認してください。
	{ic\|/etc/groups}} に記載されている既存の値と矛盾しないようにします。}}		{{ic\|/etc/groups}} に記載されている既存の値と矛盾しないようにします。}}

	bwrap \		bwrap \

Kgx: /* Chromium */ リンクを修正

2023-02-21T21:09:03Z

Chromium: リンクを修正

← 古い版		2023年2月22日 (水) 06:09時点における版
319行目:		319行目:
	}}		}}

	{{Warning\|{{pkg\|linux-hardened}} カーネルを使用している場合、 {{ic\|kernel.unprivileged_userns_clone}} が 0 に設定されているため、クロムのサンドボックス化に bubblewrap を使用することはできません。[sysctl]] が 0 に設定されているためです。これを 1 に設定することはできますが、これは推奨されません {{Bug\|36969}}		{{Warning\|{{pkg\|linux-hardened}} カーネルを使用している場合、 {{ic\|kernel.unprivileged_userns_clone}} が 0 に設定されているため、クロムのサンドボックス化に bubblewrap を使用することはできません。[[sysctl]] が 0 に設定されているためです。これを 1 に設定することはできますが、これは推奨されません {{Bug\|36969}}
	もう一つの解決策は、chromium が bubblewrap によって作成された名前空間を使用することです。これは {{AUR\|zypak}} によって実現できます。これは flatpak によっても使用され、追加の名前空間の中で electron ベースのアプリを実行します。chromium/electron で zypak を使用する方法を示すサンプルコードがあります [https://github.com/valoq/bwscripts/blob/master/profiles/signal-desktop こちら]		もう一つの解決策は、chromium が bubblewrap によって作成された名前空間を使用することです。これは {{AUR\|zypak}} によって実現できます。これは flatpak によっても使用され、追加の名前空間の中で electron ベースのアプリを実行します。chromium/electron で zypak を使用する方法を示すサンプルコードがあります [https://github.com/valoq/bwscripts/blob/master/profiles/signal-desktop こちら]
	}}		}}

Kgx: 翻訳

2023-02-21T21:08:04Z

翻訳

差分を表示

Kgx: /* Filesystem isolation */ 翻訳

2023-02-21T20:51:08Z

Filesystem isolation: 翻訳

← 古い版		2023年2月22日 (水) 05:51時点における版
516行目:		516行目:
	== Filesystem isolation ==		== Filesystem isolation ==

			{{Warning\|bubblewrap のユーザーはファイルシステムツリーを定期的に更新しなければなりません。}}
	{{Warning\|It is the bubblewrap user’s responsibility to update the filesystem trees regularly.}}

			({{ic\|/var}}, {{ic\|/usr/bin}}, {{ic\|/usr/lib}} の中身など) ファイルシステムの中身を遮蔽しながらソフトウェアのインストールをサンドボックス化したい場合、pacman で Arch のパッケージを分離したファイルシステムツリーにインストールすることができます。
	To further hide the contents of the file system (such as those in {{ic\|/var}}, {{ic\|/usr/bin}} and {{ic\|/usr/lib}}) and to sandbox even the installation of software, pacman can be made to install Arch packages into isolated filesystem trees.

	~~In order to use~~ pacman ~~for installing software into the filesystem trees, you will need to install~~ {{Pkg\|fakeroot}} ~~and~~ {{Pkg\|fakechroot}}.		pacman を使ってソフトウェアをファイルシステムツリーにインストールするには、{{Pkg\|fakeroot}} と {{Pkg\|fakechroot}} のインストールが必要です。

			例として pacman で {{ic\|xterm}} パッケージを隔離ファイルシステムツリーにインストールしたいとすると、ツリーを以下のように準備します:
	Suppose you want to install the {{ic\|xterm}} package with pacman into an isolated filesystem tree. You should prepare your tree like this:

	$ MYPACKAGE=xterm		$ MYPACKAGE=xterm
529行目:		529行目:
	$ cp /etc/pacman.conf ~/sandboxes/${MYPACKAGE}/files/etc/pacman.conf		$ cp /etc/pacman.conf ~/sandboxes/${MYPACKAGE}/files/etc/pacman.conf

	~~You may want to edit~~ {{ic\|~/sandboxes/${MYPACKAGE}/files/etc/pacman.conf}} ~~and adjust the~~ pacman ~~configuration used~~:		{{ic\|~/sandboxes/${MYPACKAGE}/files/etc/pacman.conf}} を編集して使用する pacman の設定を調整すると良いでしょう:

	* ~~Remove any undesired custom repositories and~~ {{ic\|IgnorePkg}}, {{ic\|IgnoreGroup}}, {{ic\|NoUpgrade}} ~~and~~ {{ic\|NoExtract}} ~~settings that are needed only for the host system.~~		* 不必要なカスタムリポジトリやホスト環境でしか必要ない {{ic\|IgnorePkg}}, {{ic\|IgnoreGroup}}, {{ic\|NoUpgrade}}, {{ic\|NoExtract}} の設定を削除。
			* {{ic\|CheckSpace}} オプションを削除して pacman がディスク容量をチェックするために root ファイルシステムを検索するときのエラーを消す。
	* You may need to remove the {{ic\|CheckSpace}} option so pacman will not complain about errors finding the root filesystem for checking disk space.

			{{ic\|base}} グループと必須の fakeroot を分離ファイルシステムツリーにインストール:
	Then install the {{ic\|base}} group along with the needed fakeroot into the isolated filesystem tree:

	$ fakechroot fakeroot pacman -Syu \		$ fakechroot fakeroot pacman -Syu \
542行目:		542行目:
	base fakeroot		base fakeroot

			同じオプションを使って bubblewrap を何度も呼び出すことになるので、以下のようにエイリアスを作成:
	Since you will be repeatedly calling bubblewrap with the same options, make an alias:

	$ alias bw-install='bwrap \		$ alias bw-install='bwrap \
552行目:		552行目:
	--chdir / '		--chdir / '

			[[ロケール]]を設定してください:
	You will need to set up the [[Locale\|locales]] by [[textedit\|editing]] {{ic\|~/sandboxes/${MYPACKAGE}/files/etc/locale.gen}} and running:

			$ nano -w ~/sandboxes/${MYPACKAGE}/files/etc/locale.gen
	$ bw-install locale-gen		$ bw-install locale-gen

			pacman のキーリングを設定:
	Then set up pacman’s keyring:

	$ bw-install fakeroot pacman-key --init		$ bw-install fakeroot pacman-key --init
	$ bw-install fakeroot pacman-key --populate		$ bw-install fakeroot pacman-key --populate archlinux

			以下のように {{ic\|xterm}} パッケージをインストール:
	Now you can install the desired {{ic\|xterm}} package.

	$ bw-install fakeroot pacman -S ${MYPACKAGE}		$ bw-install fakeroot pacman -S ${MYPACKAGE}

			pacman コマンドが失敗する場合、キーリングを生成するコマンドをもう一度実行してみてください。
	If the pacman command fails here, try running the command for populating the keyring again.

			これで {{ic\|xterm}} を含む分離ファイルシステムツリーが作られました。{{ic\|bw-install}} を使ってファイルシステムツリーをアップグレードすることができます。
	Congratulations. You now have an isolated filesystem tree containing {{ic\|xterm}}. You can use {{ic\|bw-install}} again to upgrade your filesystem tree.

	~~You~~ ~~can~~ ~~now run your software with bubblewrap.~~ {{ic\|''command''}} ~~should be~~ {{ic\|xterm}} ~~in this case.~~		bubblewrap でソフトウェアを実行することができます (上記の例では {{ic\|''command''}} は {{ic\|xterm}} になります):

	$ bwrap \		$ bwrap \
580行目:		581行目:
	''command''		''command''

			一部のファイルをパッケージ間で共有することもできます。既存のファイルシステムツリーのファイルのハードリンクを作成して新しいツリーで再利用することが可能です:
	Note that some files can be shared between packages. You can hardlink to all files of an existing parent filesystem tree to reuse them in a new tree:

	$ cp -al ~/sandboxes/${MYPARENTPACKAGE} ~/sandboxes/${MYPACKAGE}		$ cp -al ~/sandboxes/${MYPARENTPACKAGE} ~/sandboxes/${MYPACKAGE}

	~~Then proceed with the installation as usual by calling pacman from~~ {{ic\|bw-install fakechroot fakeroot pacman ...}}.		{{ic\|bw-install fakechroot fakeroot pacman ...}} から pacman を呼び出して通常通りにインストールを行ってください。

Kgx: /* p7zip */ 翻訳

2023-02-21T20:49:40Z

p7zip: 翻訳

← 古い版		2023年2月22日 (水) 05:49時点における版
135行目:		135行目:
	== p7zip ==		== p7zip ==

	~~Applications which have not yet been patched against~~ [https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9296 ~~known vulnerabilities~~] ~~constitute prime candidates~~ ~~for~~ ~~bubblewrapping~~:		[https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9296 既知の脆弱性] に対してパッチが適用されていないアプリケーションは特に bubblewrap を使用する価値があります:

			* ホストの {{ic\|/usr/bin/7za}} 実行パスを読み取り専用でサンドボックスにバインド。
	* Bind as read-only the host {{ic\|/usr/bin/7za}} executable path to the sandbox
			* システムの {{ic\|/usr/lib}} ディレクトリからサンドボックスの {{ic\|/lib64}} に対してシンボリックリンクを作成。
	* Create a symbolic link from the system {{ic\|/usr/lib}} directory to {{ic\|/lib64}} in the sandbox
	* ~~Blacklist the sandboxed contents~~ of {{ic\|/usr/lib/modules}} ~~and~~ {{ic\|/usr/lib/systemd}} ~~with tmpfs overlays~~		* tmpfs オーバーレイでサンドボックス化した {{ic\|/usr/lib/modules}} と {{ic\|/usr/lib/systemd}} の中身をブラックリストに追加。
	* ~~Mount a new~~ devtmpfs ~~filesystem to~~ {{ic\|/dev}} ~~in the sandbox~~		* 新しい devtmpfs ファイルシステムをサンドボックスの {{ic\|/dev}} にマウント。
	* ~~Bind as read-write the host~~ {{ic\|/sandbox}} ~~directory to the~~ {{ic\|/sandbox}} ~~directory in the sandbox~~		* ホストの {{ic\|/sandbox}} ディレクトリを読み書き可能でサンドボックスの {{ic\|/sandbox}} ディレクトリにバインド。
			** シェルラッパーから呼び出すことで ''7za'' はホストの {{ic\|/sandbox}} ディレクトリとそのサブディレクトリの中でしか実行されなくなります。
	** ''7za'' will only run in the host {{ic\|/sandbox}} directory and/or its subdirectories when called from the shell wrapper
			* アプリケーションとプロセスのために新しい cgroup/IPC/ネットワーク/PID/UTS 名前空間を作成。
	* Create new cgroup/IPC/network/PID/UTS namespaces for the application and its processes
			** カーネルが非特権のユーザー名前空間をサポートしていなかった場合、作成はスキップされます。
	** If the kernel does not support non-privileged user namespaces, skip its creation and continue
			** 新しいネットワーク名前空間を作成することでサンドボックスからネットワークにアクセスできなくなります。
	** Creation of a new network namespace prevents the sandbox from obtaining network access
			* {{ic\|p7zip}} という[[ネットワーク設定#ホストネームの設定\|ホストネーム]]をサンドボックスに追加。
	* Add a custom or an arbitrary [[hostname]] to the sandbox such as {{ic\|p7zip}}
	* ~~Unset the~~ {{ic\|XAUTHORITY}} [[~~environment variable~~]] ~~to hide the location of the~~ X11 ~~connection cookie~~		* {{ic\|XAUTHORITY}} [[環境変数]]の設定を解除して X11 の接続クッキーの場所を遮蔽。
			** ''7za'' を動作させるのに X11 ディスプレイサーバーに接続する必要はありません。
	** ''7za'' does not need to connect to an X11 display server to function properly
			* 新しいターミナルセッションを起動してキーボードの入力がサンドボックス外に流出することを防止。
	* Start a new terminal session to prevent keyboard input from escaping the sandbox

	#!/bin/sh		#!/bin/sh
166行目:		166行目:
	/usr/bin/7za "$@")		/usr/bin/7za "$@")

			{{Note\|サンドボックスのファイルシステムを横断・確認するには実行パスに ''/usr/bin/sh'' と ''/usr/bin/ls'' が必要です。}}
	{{Note\|''/usr/bin/sh'' and ''/usr/bin/ls'' must reside in the executable path in order to traverse and verify the sandbox filesystem.}}

	bwrap \		bwrap \

Kgx: /* MuPDF */ 翻訳

2023-02-21T20:48:51Z

MuPDF: 翻訳

← 古い版		2023年2月22日 (水) 05:48時点における版
63行目:		63行目:
	{{Accuracy\|Forwarding the X11 socket may lead to a sandbox escape}}		{{Accuracy\|Forwarding the X11 socket may lead to a sandbox escape}}

			''bwrap'' の能力と柔軟性が一番良くわかるのはシェルラッパーの中に環境を作成するときです:
	The power and flexibility of ''bwrap'' is best revealed when used to create an environment within a shell wrapper:

	* ~~Bind as read-only the host~~ {{ic\|/usr/bin}} ~~directory to~~ {{ic\|/usr/bin}} ~~in the sandbox~~		* ホストの {{ic\|/usr/bin}} ディレクトリを読み取り専用でサンドボックスの {{ic\|/usr/bin}} にバインド。
	* ~~Bind as read-only the host~~ {{ic\|/usr/lib}} ~~directory to~~ {{ic\|/usr/lib}} ~~in the sandbox~~		* ホストの {{ic\|/usr/lib}} ディレクトリを読み取り専用でサンドボックスの {{ic\|/usr/lib}} にバインド。
			* システムの {{ic\|/usr/lib}} ディレクトリからサンドボックスの {{ic\|/lib64}} に対してシンボリックリンクを作成。
	* Create a symbolic link from the system {{ic\|/usr/lib}} directory to {{ic\|/lib64}} in the sandbox
	* ~~Create a [[tmpfs]] filesystem overlaying~~ {{ic\|/usr/lib/gcc}} in ~~the~~ ~~sandbox~~		* サンドボックスの {{ic\|/usr/lib/gcc}} の上に [[tmpfs]] ファイルシステムを作成。
			** 上記の設定でサンドボックスから {{ic\|/usr/lib/gcc}} の中身を効率的に[[wikipedia:Blacklist_(computing)\|遮蔽]]できます。
	** This effectively [[wikipedia:Blacklist_(computing)\|blacklists]] the contents of {{ic\|/usr/lib/gcc}} from appearing in the sandbox
			* 新しい tmpfs ファイルシステムをサンドボックスの {{ic\|$HOME}} ディレクトリとして作成。
	* Create a new tmpfs filesystem as the {{ic\|$HOME}} directory in the sandbox
	* ~~Bind as read-only an~~ {{Ic\|.Xauthority}} ~~file and~~ ''Documents'' ~~directory into the sandbox~~		* {{Ic\|.Xauthority}} ファイルと ''Documents'' ディレクトリをサンドボックスに読み取り専用としてバインド。
	** ~~This effectively whitelists the~~ {{Ic\|.Xauthority}} ~~file and~~ ''Documents'' ~~directory with recursion~~		** 上記の設定で {{Ic\|.Xauthority}} ファイルと ''Documents'' ディレクトリが再帰的にホワイトリストに追加されます。
			* 新しい tmpfs ファイルシステムをサンドボックスの {{ic\|/tmp}} ディレクトリとして作成。
	* Create a new tmpfs filesystem as the {{ic\|/tmp}} directory in the sandbox
	* ~~Whitelist the~~ [[wikipedia:X_Window_System\|X11]] ~~socket by binding it into the sandbox as read-only~~		* [[wikipedia:X_Window_System\|X11]] ソケットをサンドボックスに読み取り専用としてバインドしてホワイトリストに追加。
			* 実行中のカーネルによってサポートされている全ての名前空間に対してプレイベートなコンテナを複製・作成。
	* Clone and create private containers for all namespaces supported by the running kernel
			** カーネルが非特権のユーザー名前空間をサポートしてなかった場合、作成がスキップされます。
	** If the kernel does not support non-privileged user namespaces, skip its creation and continue
			* ネットワークコンポーネントをプライベート名前空間に配置しない。
	* Do not place network components into a private namespace
			** 上記の設定で URI ハイパーリンクを辿ってネットワークにアクセスできます。
	** This allows for network access to follow URI hyperlinks

	#!/bin/sh		#!/bin/sh
92行目:		92行目:
	--tmpfs /tmp \		--tmpfs /tmp \
	--ro-bind /tmp/.X11-unix/X0 /tmp/.X11-unix/X0 \		--ro-bind /tmp/.X11-unix/X0 /tmp/.X11-unix/X0 \
	--unshare-all \		--unshare-all \
	--share-net \		--share-net \
	/usr/bin/mupdf "$@")		/usr/bin/mupdf "$@")

			{{Tip\|既存の実行ファイルを {{ic\|/usr/bin/sh}} に置き換えてシェルラッパーを実行することでサンドボックスの中身やファイルシステムのデバッグや確認ができます。}}
	{{Tip\|Execute a shell wrapper substituting the existing executable with ''/usr/bin/sh'' to debug and verify the contents and filesystem structure of the sandbox.}}

	$ bwrap \		$ bwrap \
110行目:		110行目:
	--unshare-all \		--unshare-all \
	--share-net \		--share-net \
	/usr/bin/sh		/usr/bin/sh
	bash-4.4$ ls -AF		bash-4.4$ ls -AF
	.Xauthority Documents/		.Xauthority Documents/

			bubblewrap によるファイルシステムを作成するときに一番重要なルールは実行されるコマンドの順番です。上記の [https://mupdf.com/ MuPDF] の例の場合:
	Perhaps the most important rule to consider when building a bubblewrapped filesystem is that ''commands are executed in the order they appear''. From the [https://mupdf.com/ MuPDF] example above:

	* A tmpfs ~~system is created followed by the bind mounting of an~~ {{Ic\|.Xauthority}} ~~file and a~~ ''Documents'' ~~directory~~:		* tmpfs ファイルシステムを作成してから {{Ic\|.Xauthority}} ファイルと ''Documents'' ディレクトリをバインドマウントした場合:
	--tmpfs $HOME \		--tmpfs $HOME \
	--ro-bind $HOME/.Xauthority $HOME/.Xauthority \		--ro-bind $HOME/.Xauthority $HOME/.Xauthority \
122行目:		122行目:

	bash-4.4$ ls -a		bash-4.4$ ls -a
	. .. .Xauthority ~~Desktop~~		. .. .Xauthority Documents

			* {{Ic\|.Xauthority}} をバインドマウントしてから tmpfs ファイルシステムを作成して上書きするとサンドボックスからは ''Documents'' ディレクトリだけが見えます:
	* A tmpfs filesystem is created after the bind mounting of {{Ic\|.Xauthority}} and overlays it so that only the ''Documents'' directory is visible within the sandbox:

	--ro-bind $HOME/.Xauthority $HOME/.Xauthority \		--ro-bind $HOME/.Xauthority $HOME/.Xauthority \
	--tmpfs $HOME \		--tmpfs $HOME \
	--ro-bind $HOME/~~Desktop~~ $HOME/~~Desktop~~ \		--ro-bind $HOME/Documents $HOME/Documents \

	bash-4.4$ ls -a		bash-4.4$ ls -a
	. .. ~~Desktop~~		. .. Documents

	== p7zip ==		== p7zip ==

Kgx: /* Desktop */ 翻訳

2023-02-21T20:48:11Z

Desktop: 翻訳

← 古い版		2023年2月22日 (水) 05:48時点における版
34行目:		34行目:
	== Desktop ==		== Desktop ==

			[[デスクトップエントリ]]で bubblewrap を活用:
	Leverage Bubblewrap within [[desktop entries]]:
			* ホストの {{ic\|/}} ディレクトリ全体を読み書き可能でサンドボックスの {{ic\|/}} にバインド。
	* Bind as read-write the entire host {{ic\|/}} directory to {{ic\|/}} in the sandbox
	* ~~Re-bind as read-only the~~ {{ic\|/var}} ~~and~~ {{ic\|/etc}} ~~directories in the sandbox~~		* サンドボックスの {{ic\|/var}} と {{ic\|/etc}} ディレクトリを読み取り専用で再バインド
	* ~~Mount a new~~ devtmpfs ~~filesystem to~~ {{ic\|/dev}} ~~in the sandbox~~		* 新しい devtmpfs ファイルシステムをサンドボックスの {{ic\|/dev}} にマウント。
			* サンドボックスの {{ic\|/run}} ディレクトリに tmpfs ファイルシステムを作成。
	* Create a tmpfs filesystem over the sandboxed {{ic\|/run}} directory
			* 新しいネットワーク名前空間を作成してネットワークアクセスを無効化。
	* Disable network access by creating new network namespace

	[Desktop Entry]		[Desktop Entry]
46行目:		46行目:
	Type=Application		Type=Application
	MimeType=text/plain;		MimeType=text/plain;
	{{Note\|{{Ic\|--dev /~~dev~~}} ~~is required to write to~~ {{Ic\|/dev~~/pty~~}}}}		{{Note\|{{Ic\|/dev/pty}} に書き込むには {{Ic\|--dev /dev}} が必要です。}}

			* {{Ic\|mupdf.sh}} シェルラッパーを組み込んだ MuPDF のデスクトップエントリの例:
	* Example MuPDF desktop entry incorporating a {{Ic\|mupdf.sh}} shell wrapper:

	[Desktop Entry]		[Desktop Entry]
57行目:		57行目:
	MimeType=application/pdf;application/x-pdf;		MimeType=application/pdf;application/x-pdf;

	{{Note\|~~Ensure that~~ {{Ic\|mupdf.sh}} ~~is located within your executable~~ PATH ~~e.g.~~ {{Ic\|1=PATH=$PATH:$HOME/bwrap}}}}		{{Note\|{{Ic\|mupdf.sh}} は PATH が通った場所に配置してください。例: {{Ic\|1=PATH=$PATH:$HOME/bwrap}}}}

	== MuPDF ==		== MuPDF ==

Kgx: /* Unbound */ 翻訳

2023-02-21T20:47:26Z

Unbound: 翻訳

← 古い版		2023年2月22日 (水) 05:47時点における版
19行目:		19行目:
	== Unbound ==		== Unbound ==

			粒度の細かい複雑な [[Unbound]] のサンドボックスを作成:
	Create a more granular and complex [[Unbound]] sandbox:
			* システムの {{ic\|/usr}} ディレクトリを読み取り専用でサンドボックスの {{ic\|/usr}} にバインド。
	* Bind as read-only the system {{ic\|/usr}} directory to {{ic\|/usr}} in the sandbox
			* システムの {{ic\|/usr/lib}} ディレクトリからサンドボックスの {{ic\|/lib64}} に対してシンボリックリンクを作成。
	* Create a symbolic link from the system {{ic\|/usr/lib}} directory to {{ic\|/lib64}} in the sandbox
			* システムの {{ic\|/etc}} ディレクトリを読み取り専用でサンドボックスの {{ic\|/etc}} にバインド。
	* Bind as read-only the system {{ic\|/etc}} directory to {{ic\|/etc}} in the sandbox
	* ~~Create empty~~ {{ic\|/var}} ~~and~~ {{ic\|/run}} ~~directories within the sandbox~~		* サンドボックスの中に空の {{ic\|/var}} と {{ic\|/run}} ディレクトリを作成。
	* ~~Mount a new~~ devtmpfs ~~filesystem to~~ {{ic\|/dev}} ~~in the sandbox~~		* 新しい devtmpfs ファイルシステムをサンドボックスの {{ic\|/dev}} にマウント。
	* ~~Create new~~ IPC ~~and~~ [[wikipedia:Process_identifier\|PID]] ~~and control group namespaces~~		* 新しい IPC 名前空間と [[wikipedia:Process_identifier\|PID]] 名前空間とコントロールグループ名前空間を作成。
	* ~~Create a new~~ UTS ~~namespace and set~~ {{ic\|unbound}} ~~as the hostname~~		* 新しい UTS 名前空間を作成して {{ic\|unbound}} をホストネームとして設定。

	# /usr/bin/bwrap --ro-bind /usr /usr --symlink usr/lib /lib64 --ro-bind /etc /etc --dir /var --dir /run --dev /dev --unshare-ipc --unshare-pid --unshare-cgroup --unshare-uts --hostname unbound /usr/bin/unbound -d		# /usr/bin/bwrap --ro-bind /usr /usr --symlink usr/lib /lib64 --ro-bind /etc /etc --dir /var --dir /run --dev /dev --unshare-ipc --unshare-pid --unshare-cgroup --unshare-uts --hostname unbound /usr/bin/unbound -d

			{{Tip\|{{ic\|unbound.service}} などの systemd ユニットファイルを bubblewrap する方法は [[systemd#ユニットファイルの編集]] を見てください。}}
	{{Tip\|See [[systemd#Editing provided units]] to enable the bubblewrapping of systemd unit files including {{ic\|unbound.service}}}}

	== Desktop ==		== Desktop ==

Kgx: /* dhcpcd */ 翻訳

2023-02-21T20:46:27Z

dhcpcd: 翻訳

← 古い版		2023年2月22日 (水) 05:46時点における版
4行目:		4行目:
	== dhcpcd ==		== dhcpcd ==

	~~Create a simple~~ [[dhcpcd]] ~~sandbox~~:		シンプルな [[dhcpcd]] のサンドボックスを作成:
			* 利用可能なカーネル名前空間を確認:
	* Determine available kernel namespaces
	$ ls /proc/self/ns		$ ls /proc/self/ns
	cgroup ipc mnt net pid uts		cgroup ipc mnt net pid uts
	{{Note\|~~The absence of~~ {{Ic\|user}} ~~indicates that the kernel has been built with~~ {{ic\|1=CONFIG_USER_NS=n}} ~~or is user namespace restricted.~~}}		{{Note\|{{Ic\|user}} が存在しない場合、{{ic\|1=CONFIG_USER_NS=n}} でカーネルのユーザー名前空間が無効になっているか使用が制限されています。}}

			* ホストの {{ic\|/}} ディレクトリ全体を読み書き可能でサンドボックスの {{ic\|/}} にバインド。
	* Bind as read-write the entire host {{ic\|/}} directory to {{ic\|/}} in the sandbox
	* ~~Mount a new~~ devtmpfs ~~filesystem to~~ {{ic\|/dev}} ~~in the sandbox~~		* 新しい devtmpfs ファイルシステムをサンドボックスの {{ic\|/dev}} にマウント。
	* ~~Create new~~ [[wikipedia:Inter-process_communication\|IPC]] ~~and~~ [[~~control group~~]] ~~namespaces~~		* 新しい [[wikipedia:Inter-process_communication\|IPC]] 名前空間と[[Cgroups\|コントロールグループ]]名前空間を作成。
	* ~~Create a new~~ UTS ~~namespace and set~~ {{ic\|dhcpcd}} ~~as the hostname~~		* 新しい UTS 名前空間を作成して {{ic\|dhcpcd}} をホストネームとして設定。

	# /usr/bin/bwrap --bind / / --dev /dev --unshare-ipc --unshare-cgroup --unshare-uts --hostname dhcpcd /usr/bin/dhcpcd -q -b		# /usr/bin/bwrap --bind / / --dev /dev --unshare-ipc --unshare-cgroup --unshare-uts --hostname dhcpcd /usr/bin/dhcpcd -q -b

← 古い版		2023年2月22日 (水) 05:47時点における版
19行目:		19行目:
	== Unbound ==		== Unbound ==

			粒度の細かい複雑な [[Unbound]] のサンドボックスを作成:
	Create a more granular and complex [[Unbound]] sandbox:
			* システムの {{ic\|/usr}} ディレクトリを読み取り専用でサンドボックスの {{ic\|/usr}} にバインド。
	* Bind as read-only the system {{ic\|/usr}} directory to {{ic\|/usr}} in the sandbox
			* システムの {{ic\|/usr/lib}} ディレクトリからサンドボックスの {{ic\|/lib64}} に対してシンボリックリンクを作成。
	* Create a symbolic link from the system {{ic\|/usr/lib}} directory to {{ic\|/lib64}} in the sandbox
			* システムの {{ic\|/etc}} ディレクトリを読み取り専用でサンドボックスの {{ic\|/etc}} にバインド。
	* Bind as read-only the system {{ic\|/etc}} directory to {{ic\|/etc}} in the sandbox
	* ~~Create empty~~ {{ic\|/var}} ~~and~~ {{ic\|/run}} ~~directories within the sandbox~~		* サンドボックスの中に空の {{ic\|/var}} と {{ic\|/run}} ディレクトリを作成。
	* ~~Mount a new~~ devtmpfs ~~filesystem to~~ {{ic\|/dev}} ~~in the sandbox~~		* 新しい devtmpfs ファイルシステムをサンドボックスの {{ic\|/dev}} にマウント。
	* ~~Create new~~ IPC ~~and~~ [[wikipedia:Process_identifier\|PID]] ~~and control group namespaces~~		* 新しい IPC 名前空間と [[wikipedia:Process_identifier\|PID]] 名前空間とコントロールグループ名前空間を作成。
	* ~~Create a new~~ UTS ~~namespace and set~~ {{ic\|unbound}} ~~as the hostname~~		* 新しい UTS 名前空間を作成して {{ic\|unbound}} をホストネームとして設定。

	# /usr/bin/bwrap --ro-bind /usr /usr --symlink usr/lib /lib64 --ro-bind /etc /etc --dir /var --dir /run --dev /dev --unshare-ipc --unshare-pid --unshare-cgroup --unshare-uts --hostname unbound /usr/bin/unbound -d		# /usr/bin/bwrap --ro-bind /usr /usr --symlink usr/lib /lib64 --ro-bind /etc /etc --dir /var --dir /run --dev /dev --unshare-ipc --unshare-pid --unshare-cgroup --unshare-uts --hostname unbound /usr/bin/unbound -d

			{{Tip\|{{ic\|unbound.service}} などの systemd ユニットファイルを bubblewrap する方法は [[systemd#ユニットファイルの編集]] を見てください。}}
	{{Tip\|See [[systemd#Editing provided units]] to enable the bubblewrapping of systemd unit files including {{ic\|unbound.service}}}}

	== Desktop ==		== Desktop ==