نام (NAME)

bwrap - ابزار راه‌اندازی و برپایی کانتینر

خلاصه دستور (SYNOPSIS)

bwrap [گزینه...] [دستور]

توضیحات (DESCRIPTION)

دستور bwrap یک ابزار ایزوله‌سازی (sandboxing) سطح‌پایین بدون دسترسی ویژه (unprivileged) است. بعید است که مستقیماً از آن در خط فرمان استفاده کنید، هرچند این کار ممکن است.

عملکرد آن از طریق ایجاد یک فضای نام سیستم پرونده جدید و کاملاً خالی است که ریشه آن روی یک tmpfs نامرئی از سیستم میزبان قرار دارد، و پس از خروج آخرین فرآیند به‌طور خودکار پاکسازی خواهد شد. سپس می‌توانید از گزینه‌های خط فرمان برای ساخت سیستم پرونده ریشه و محیط فرآیند جهت اجرای دستور در فضای نام استفاده کنید.

به‌طور پیش‌فرض، bwrap یک فضای نام سوار کردن (mount namespace) جدید برای محیط ایزوله ایجاد می‌کند. به‌طور اختیاری همچنین فضاهای نام جدید کاربر، ipc، pid، شبکه و uts را نیز تنظیم می‌کند (اما توجه داشته باشید که اگر bwrap با دسترسی کاربر ریشه اجرا نشود، فضای نام کاربر الزامی است). برنامه درون سندباکس را می‌توان به گونه‌ای تنظیم کرد که با UID و GID متفاوتی اجرا شود.

در صورت نیاز (مانند زمان استفاده از فضای نام PID)، bwrap یک فرآیند کمینه با شناسه فرآیند ۱ (pid 1) را در سندباکس اجرا می‌کند که مسئول جمع‌آوری فرآیندهای زامبی (zombie reaping) است. همچنین متوقف شدن فرآیند اولیه برنامه (pid 2) را تشخیص داده و وضعیت خروج آن را به ایجادکننده اصلی گزارش می‌دهد. فرآیند pid 1 پس از باقی نماندن هیچ فرآیند دیگری در سندباکس خارج می‌شود تا محیط سندباکس را پاکسازی کند.

گزینه‌ها (OPTIONS)

هنگامی که گزینه‌ها چندین بار استفاده شوند، آخرین گزینه اعمال می‌شود مگر اینکه خلاف آن مشخص شده باشد.

گزینه‌های عمومی:

--help

--version

--args FD

--argv0 VALUE

--level-prefix

گزینه‌های مربوط به فضاهای نام کرنل:

--unshare-user

--unshare-user-try

--unshare-ipc

--unshare-pid

--unshare-net

--unshare-uts

--unshare-cgroup

--unshare-cgroup-try

--unshare-all

--share-net

--userns FD

--userns2 FD

--disable-userns

--assert-userns-disabled

--pidns FD

--uid UID

--gid GID

--hostname HOSTNAME

گزینه‌های مربوط به تنظیم محیط:

--chdir DIR

--setenv VAR VALUE

--unsetenv VAR

--clearenv

گزینه‌های پایش سندباکس از خارج:

--lock-file DEST

--sync-fd FD

گزینه‌های مربوط به سیستم پرونده. این‌ها تمام عملیاتی هستند که سیستم پرونده را مستقیماً تغییر می‌دهند، یا مواردی را در سیستم پرونده سوار (mount) می‌کنند. این موارد به ترتیبی که به عنوان آرگومان داده شده‌اند اعمال می‌شوند.

هرگونه دایرکتوری والد گم‌شده که برای ایجاد یک مقصد معین مورد نیاز باشد، به صورت خودکار ایجاد می‌شود. مجوزهای آن‌ها معمولاً روی 0755 (rwxr-xr-x) تنظیم می‌شود. با این حال، اگر گزینه --perms اعمال شده باشد و مجوز گروه یا دیگران را روی صفر تنظیم کند، دایرکتوری‌های والد تازه ایجادشده نیز مجوز مربوطه خود را روی صفر خواهند داشت. گزینه --size اندازه نقطه سوارشدن ایجادشده را هنگام قرار گرفتن پیش از یک عمل --tmpfs تغییر می‌دهد؛ --perms و --size می‌توانند ترکیب شوند.

--perms OCTAL

--size BYTES

--bind SRC DEST

--bind-try SRC DEST

--dev-bind SRC DEST

--dev-bind-try SRC DEST

--ro-bind SRC DEST

--ro-bind-try SRC DEST

--remount-ro DEST

--overlay-src SRC

--overlay RWSRC WORKDIR DEST

--tmp-overlay DEST

--ro-overlay DEST

--proc DEST

--dev DEST

--tmpfs DEST

--mqueue DEST

--dir DEST

--file FD DEST

--bind-data FD DEST

--ro-bind-data FD DEST

--symlink SRC DEST

--chmod OCTAL PATH

گزینه‌های قفل امنیتی (Lockdown):

--seccomp FD

--add-seccomp-fd FD

--exec-label LABEL

--file-label LABEL

--block-fd FD

--userns-block-fd FD

--info-fd FD

--json-status-fd FD

--new-session

--die-with-parent

--as-pid-1

--cap-add CAP

--cap-drop CAP

--not-a-security-boundary

محیط (ENVIRONMENT)

HOME

وضعیت خروج (EXIT STATUS)

دستور bwrap وضعیت خروج فرآیند اولیه برنامه (pid 2 در سندباکس) را برمی‌گرداند.

نکات (NOTES)

1.

قالب "JSON lines"