firecracker-microvm/firecracker

Investigate running the jailer with reduced set of capabilities

Offen

#1.190 geöffnet am 22.07.2019

Auf GitHub ansehenContributor Guide
 (6 Kommentare) (0 Reaktionen) (1 zugewiesene Person)Rust (2.393 Forks)batch import
Good first issuePriority: LowStatus: ParkedType: Enhancement

Repository-Metriken

Stars
 (34.348 Sterne)
PR-Merge-Metriken
 (Durchschn. Merge 3T 17h) (67 gemergte PRs in 30 T)

Beschreibung

We currently start the jailer as the superuser (i.e. using sudo), and rely on the fact the process will deprivilege itself before exec-ing into Firecracker. It would be interesting to know if we can run the jailer using a more restricted set of capabilities instead of full superuser mode.

Contributor Guide

Research-Richtung
Experimentieren Sie mit dem Entfernen von Capabilities aus dem Jailer Prozess und ermitteln Sie die minimal erforderliche Menge für die Ausführung.
Tech Stack
rust
Domain
backendsecurity
Issue Type
Recherche
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
2
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
1-3 Stunden
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
RustLinux capabilities
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
70