Dotaz: Unpriviledged LXC container a davfs mount promotion

[gree]

Ahoj, nemate nekdo zkusenost s davfs v LXC containeru. Presneji:

- na hostovi mam pod rootem primountovany pres davfs remote zdroj s pravama 0777 a uid/gid usera pod kterym bezim LXC container do mount pointu /srv/central-archive/backup (na hostovi vsechno funguje)

- LXC container je unpriviledged a pres lxc.mount.entry = /srv/central-archive central-archive-share none rw,bind 0 0 v nem mountuju nadrazeny adresar davfs mountu na hostovi (to taky funguje)

- kdyz ale zkusim ls nebo cd do central-archive-share/backup v containeru, tak dostavam permission denied:
root@xyz /ccentral-archive-share# ll
total 7.5K
drwxrwxrwx 160 nobody nogroup 7.5K Aug 25 06:02 backup/
root@xyz /central-archive-share#
cd backup/
cd: Permission denied: 'backup/'

Nekolik dalsich postrehu:

- kdyz na hostovi napred udelam mount devfs remote, tak pri lxc-start dostanu chybu:
lxc-start: bizinteleval: utils.c: safe_mount: 1179 Invalid argument - Failed to mount "/srv/central-archive" onto "/usr/lib/x86_64-linux-gnu/lxc/central-archive-share"

- kdyz udelam to stejny s sshfs, tak vse funguje jak ma

- s priviledged containerem vse funguje jak ma

- zkousel mount promotion, nepomohlo: https://s3hh.wordpress.com/2011/09/22/sharing-mounts-with-a-container/

- davfs mam nakonfigurovany, ze ho muzou mountovat i users (ne pouze root)

- par hodin jsem zkoumal /proc/PID/mountinfo a host namespace ma spravne "shared:ID" mod a lxc namespace ma spravne slave mode "master:ID"

- pokud mountuju davfs primo z containeru, tak funguje (jen musim mit heslo v containeru, co nechci... chci ho mit jen na hostu pod rootem s 0600 pravama)

Diky moc za rady.

Odpovědi

[alfonz]

některé funkce nejsou dostupné v unpriviledged container imho. jinak můžeš zkusit aktivovat nesting (to povolí některé věci). Další věc je aktivovat mount volby pro apparmor.

viz cat /etc/apparmor.d/lxc/*

Další věc je, že pokud to funguje uvnitř, tak můžeš pouze přes lxc.environment nebo přes --set-var= poslat proměnné (heslo) přímo do do kontejneru do startu

jinak jak vypadá cat /proc/mounts v kontejneru?

lxc-start -F a logování do souboru píšou něco o mountu?