firecracker-microvm/firecracker

Investigate running the jailer with reduced set of capabilities

Open

#1,190 创建于 2019年7月22日

在 GitHub 查看
 (6 评论) (0 反应) (1 负责人)Rust (2,393 fork)batch import
Good first issuePriority: LowStatus: ParkedType: Enhancement

仓库指标

Star
 (34,348 star)
PR 合并指标
 (平均合并 3天 17小时) (30 天内合并 67 个 PR)

描述

We currently start the jailer as the superuser (i.e. using sudo), and rely on the fact the process will deprivilege itself before exec-ing into Firecracker. It would be interesting to know if we can run the jailer using a more restricted set of capabilities instead of full superuser mode.

贡献者指南

研究方向
尝试从狱吏进程中移除能力集，并确定执行所需的最小能力集。
技术栈
rust
领域
backendsecurity
议题类型
调研
难度面向新贡献者的预计实现难度，1 表示很小改动，5 表示专家级工作。
2
预计时间有经验贡献者完成调查、实现、测试并准备 pull request 的粗略时间范围。
1-3 小时
活动状态议题当前的可参与程度：新鲜、活跃、陈旧、阻塞或等待维护者输入。
活跃
清晰度议题是否清楚说明期望改动、验收标准和下一步。
清晰
前置要求
RustLinux capabilities
新手友好度1-100 的估计分数，表示该议题对首次贡献者的友好程度。
70