Linux Capabilities 进阶实战

目录

1. 快速回顾

2. 为可执行文件分配 capabilities

3. 构建半特权环境

4. 容器与 capabilities

Linux Capabilities 基础概念与基本使用

上一篇学习了LinuxCapabilities的基础知识和基本使用，因为后面需要学习Docker的逃逸，理解Linux Capabilities是很必要的，本篇和大家一起学习一下进阶实战，这里的进阶实战、与前面的基础概念与基本应用都是龙哥总结好的，这篇内容我也是学习+总结这些实战例子

本文将会继续研究 Linux capabilities 更高级的应用案例，并结合 Docker 和 Kubernetes 来加深理解。

1. 快速回顾

如果你看过上一篇，那你应该大致了解下面的计算公式：

P’(ambient) = (file is privileged) ? 0 : P(ambient)

P’(permitted) = (P(inheritable) & F(inheritable)) | (F(permitted) & P(bounding))) | P’(ambient)

P’(effective) = F(effective) ? P’(permitted) : P’(ambient)

P’(inheritable) = P(inheritable) [i.e., unchanged]

P’(bounding) = P(bounding) [i.e., unchanged]

这里需要复习以下了解如何通过基本的工具来设置 capabilities。

在 centos上，以普通用户的身份运行 capsh 将会得到如下结果：

$ capsh --print
Current: =
Bounding set =cap_chown,cap_dac_override,cap_dac_read_search,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_linux_immutable,cap_net_bind_service,cap_net_broadcast,cap_net_admin,cap_net_raw,cap_ipc_lock,cap_ipc_owner,cap_sys_module,cap_sys_rawio,cap_sys_chroot,cap_sys_ptrace,cap_sys_pacct,cap_sys_admin,cap_sys_boot,cap_sys_nice,cap_sys_resource,cap_sys_time,cap_sys_tty_config,cap_mknod,cap_lease,cap_audit_write,cap_audit_control,cap_setfcap,cap_mac_override,cap_mac_admin,cap_syslog,cap_wake_alarm,cap_block_suspend,cap_audit_read
Securebits: 00/0x0/1'b0
 secure-noroot: no (unlocked)
 secure-no-suid-fixup: no (unlocked)
 secure-keep-caps: no (unlocked)
uid=1000(fox)
gid=1000(fox)
groups=4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),108(lxd),114(docker),1000(fox)

可以看到普通用户当前所在的 shell 进程没有任何 capabilities（即 Effective 集合为空），Bounding 集合包含了所有 capabilities。

这个命令输出的信息比较有限，完整的信息可以查看 /proc 文件系统，比如当前 shell 进程就可以查看 /proc/$$/status。

$ grep Cap /proc/$$/status
CapInh: 0000000000000000
CapPrm: 0000000000000000
CapEff: 0000000000000000
CapBnd: 0000003fffffffff
CapAmb: 0000000000000000

输出中的 16 进制掩码表示对应集合中的 capabilities，可以使用 capsh 对其进行解码：

$ capsh --decode=0000003fffffffff
0x0000003fffffffff=cap_chown,cap_dac_override,cap_dac_read_search,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_linux_immutable,cap_net_bind_service,cap_net_broadcast,cap_net_admin,cap_net_raw,cap_ipc_lock,cap_ipc_owner,cap_sys_module,cap_sys_rawio,cap_sys_chroot,cap_sys_ptrace,cap_sys_pacct,cap_sys_admin,cap_sys_boot,cap_sys_nice,cap_sys_resource,cap_sys_time,cap_sys_tty_config,cap_mknod,cap_lease,cap_audit_write,cap_audit_control,cap_setfcap,cap_mac_override,cap_mac_admin,cap_syslog,cap_wake_alarm,cap_block_suspend,cap_audit_read

和 capsh --print 命令输出的结果一样。

如果是 root 用户，得到的结果和普通用户是不一样的：

$ grep Cap /proc/$$/status
CapInh: 0000000000000000
CapPrm: 0000003fffffffff
CapEff: 0000003fffffffff
CapBnd: 0000003fffffffff
CapAmb: 0000000000000000

所有的 capabilities 都包含在了 Permitted、Effective 和 Bounding 集合中，所以 root 用户可以执行任何内核调用。

2. 为可执行文件分配 capabilities

我在上一篇文章中提到过，通过适当的配置，进程可以获取可执行文件的 Bounding 集合中的 capabilities。

下面通过一个例子来加深理解。

以 ping 这个命令为例，它的二进制文件被设置了 SUID，所以可以以 root 身份运行：

[root@centos111 dockerfile]# which  ping
/usr/bin/ping
[root@centos111 dockerfile]# ls -al /usr/bin/ping
-rwxr-xr-x. 1 root root 66176 8月   4 2017 /usr/bin/ping
也可以使用getcap查看一下它的capability权限
getcap /usr/bin/ping
/usr/bin/ping = cap_net_admin,cap_net_raw+p

更安全的机制是使用 capabilities，不过 centos上面的 ping 没有这么做，没关系，我们可以通过 ping 的源码来自己编译，首先克隆源代码：

$ git clone https://github.com/iputils/iputils

注：如果网络不太行，可以去github上下载源码包

安装编译所需的依赖：

$ sudo apt install -y ninja-build meson libcap-dev gettext

开始编译：

$ cd iputils
$ ./configure
$ make

新编译的 ping 文件并没有设置 SUID：

ls -l builddir/ping/ping
-rwxr-xr-x 1 root root 173632 1月   7 19:41 builddir/ping/ping

也没有任何的 capabilities：

$ getcap builddir/ping/ping

所以无法正常工作：

$ builddir/ping/ping www.baidu.com
builddir/ping/ping: socket: Operation not permitted

我们可以手动设置 capabilities：

$ setcap 'cap_net_raw+p' builddir/ping/ping
unable to set CAP_SETFCAP effective capability: Operation not permitted

$ sudo setcap 'cap_net_raw+p' builddir/ping/ping

$ getcap builddir/ping/ping
builddir/ping/ping = cap_net_raw+p

$ builddir/ping/ping www.baidu.com -c 1
PING www.a.shifen.com (180.101.49.12) 56(84) bytes of data.
64 bytes from 180.101.49.12 (180.101.49.12): icmp_seq=1 ttl=53 time=10.0 ms

--- www.a.shifen.com ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 10.028/10.028/10.028/0.000 ms

 

这里再活学活用一下，为什么普通用户无法执行 setcap 呢？因为执行 setcap 的用户需要在 Permitted 集合中包含 CAP_SETFCAP capabilities，而普通用户不具备这个 capabilities，所以必须使用 root 用户。

查看 ping 进程的 capabilities：

$ builddir/ping/ping wwww.baidu.com > /dev/null&
[1] 9823

$ grep Cap /proc/9823/status
CapInh:	0000000000000000
CapPrm:	0000000000002000
CapEff:	0000000000000000
CapBnd:	0000003fffffffff
CapAmb:	0000000000000000

$ $ capsh --decode=0000000000002000
0x0000000000002000=cap_net_raw

只有 Permitted 集合中包含了 CAP_NET_RAW capabilities，Effective 集合中并不包含，按常理 ping 是无法正常工作的。

这是为啥呢？

其实 ping 在执行过程中会将 Permitted 集合中的 CAP_NET_RAW capabilities 加入 Effective 集合中，打开 Socket 之后再将该 capabilities 从 Effective 集合中移除，所以 grep 是看不到的。

其中这就是我在 第一篇文章提到的 ping 文件具有 capabilities 感知能力。

可以通过 stace 跟踪系统调用来验证：

$ sudo strace builddir/ping/ping -c 1 wwwww.baidu.com
...
capget({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, NULL) = 0
capget({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, {effective=0, permitted=1<<CAP_NET_ADMIN|1<<CAP_NET_RAW, inheritable=0}) = 0
capset({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, {effective=1<<CAP_NET_RAW, permitted=1<<CAP_NET_ADMIN|1<<CAP_NET_RAW, inheritable=0}) = 0
socket(AF_INET, SOCK_DGRAM, IPPROTO_ICMP) = -1 EACCES (Permission denied)
socket(AF_INET, SOCK_RAW, IPPROTO_ICMP) = 3
socket(AF_INET6, SOCK_DGRAM, IPPROTO_ICMPV6) = -1 EACCES (Permission denied)
socket(AF_INET6, SOCK_RAW, IPPROTO_ICMPV6) = 4
capget({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, NULL) = 0
capget({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, {effective=1<<CAP_NET_RAW, permitted=1<<CAP_NET_ADMIN|1<<CAP_NET_RAW, inheritable=0}) = 0
capset({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, {effective=0, permitted=1<<CAP_NET_ADMIN|1<<CAP_NET_RAW, inheritable=0}) = 0
...

第三行表示 CAP_NET_RAW capabilities 被添加到了 Effective 集合中，下一行试图创建一个 IPV4 ping socket，但创建失败，这是由 ping_group_range 内核配置参数导致的。然后再次尝试创建 IPV4 ping socket，这次创建成功了。IPv6 重复上面的步骤。

最后将 CAP_NET_RAW capabilities 从 Effective 集合中移除。

如果 ping 二进制文件不具备 capabilities 感知能力，即没有调用 capset 和 capget 的权限，我们就必须要开启 Effective 标志位（F(Effective)），这样就会将该 capabilities 自动添加到进程的 Effective 集合中：

$ setcap 'cap_net_raw+ep' builddir/ping/ping

不明白为什么的，再好好理解下这个公式：P'(effective) = F(effective) ? P'(permitted) : P'(ambient)。

3. 构建半特权环境

前文中只用到了 Permitted 和 Effective 集合，下面再来聊聊 Ambient 和 Inheritable 集合。

这两个集合的意义就在于可以帮助我们在进程树或 namespace 的范围内创建一个允许任意进程使用某些 capabilities 的环境。

例如，我们可以在 Ambient 集合中加入 CAP_NET_BIND_SERVICE capabilities 来创建一个可以绑定到 80 端口的 “webserver” 环境，不需要额外的 capabilities，也不需要以 root 用户身份运行。

webserver 可以通过解释器或辅助脚本启动，并且不需要给可执行文件设置 capabilities。

如果不明白为什么，再看十分钟这两个公式：

P’(ambient) = (file is privileged) ? 0 : P(ambient) P’(effective) = F(effective) ? P’(permitted) : P’(ambient)

如果理解了，再往下动手实践。

这里有一个简单的程序 set_ambient，核心功能是使用 cap-ng library 将 CAP_NET_BIND_SERVICE capabilities 添加到新进程的 Ambient 集合中。

编译完成后，需要给二进制文件添加该 capabilities，如果它自己没有这个 capabilities，是无法将其添加到新进程中的：

程序代码：

[root@centos111 dockerfile]# cat set_ambient.c 
/*
 *  * Simple program to start the given process with CAP_NET_BIND_SERVICE in the
 *   * ambient capabilities. 
 *    *
 *     * Based on test program by Christoph Lameter.
 *      *
 *       * (C) 2015 Christoph Lameter <cl@linux.com>
 *        * (C) 2019 Adrian Mouat <adrian.mouat@container-solutions.com>
 *         *
 *          * Released under: GPL v3 or later.
 *           *
 *            *
 *             * Compile using:
 *              *
 *               *      gcc ./set_ambient.c -o set_ambient -lcap-ng
 *                *
 *                 * (requires cap-ng headers, which is in libcap-ng-dev in debian)
 *                  *
 *                   * This program must have the CAP_NET_BIND_SERVICE capability in the permitted 
 *                    * set to run properly.
 *                     *
 *                      * This can be set on the file with:
 *                       *
 *                        *	sudo setcap cap_net_bind_service+p set_ambient
 *                         *
 *                          * To get a shell with CAP_NET_BIND_SERVICE that can be inherited by other 
 *                           * processes:
 *                            *
 *                             *	./set_ambient /bin/bash
 *                              *
 *                               * Verifying that it works:
 *                                *
 *                                 * From the bash spawed by set_ambient run
 *                                  *
 *                                   *	cat /proc/$$/status
 *                                    *
 *                                     * and have a look at the capabilities (use capsh --decode to interpret the
 *                                      * hex).
 *                                       */

#include <stdlib.h>
#include <stdio.h>
#include <errno.h>
#include <cap-ng.h>
#include <sys/prctl.h>
#include <linux/capability.h>

/*
 *  * Definitions from the kernel header files. These are going to be removed
 *   * when the /usr/include files have these defined.
 *    *
 *     * AM: This should be updated, I was just being lazy.
 *      */
#define PR_CAP_AMBIENT 47
#define PR_CAP_AMBIENT_IS_SET 1
#define PR_CAP_AMBIENT_RAISE 2
#define PR_CAP_AMBIENT_LOWER 3
#define PR_CAP_AMBIENT_CLEAR_ALL 4

static void set_ambient_cap(int cap)
{
	int rc;

	capng_get_caps_process();
	rc = capng_update(CAPNG_ADD, CAPNG_INHERITABLE, cap);
	if (rc) {
		printf("Cannot add inheritable cap\n");
		exit(2);
	}
	capng_apply(CAPNG_SELECT_CAPS);

	/* Note the two 0s at the end. Kernel checks for these */
	if (prctl(PR_CAP_AMBIENT, PR_CAP_AMBIENT_RAISE, cap, 0, 0)) {
		perror("Cannot set cap");
		exit(1);
	}
}

int main(int argc, char **argv)
{
	int rc;

	set_ambient_cap(CAP_NET_BIND_SERVICE);

	printf("Starting process with CAP_NET_BIND_SERVICE in ambient\n");
	if (execv(argv[1], argv + 1))
		perror("Cannot exec");

	return 0;
}

下载依赖库：

yum install libcap-ng-devel

编译：

gcc ./set_ambient.c -o set_ambient -lcap-ng

 程序授权：

$ sudo setcap cap_net_bind_service+p set_ambient
$ getcap ./set_ambient
./set_ambient = cap_net_bind_service+p

通过 set_ambient 来启动一个 bash 环境：

$ ./set_ambient /bin/bash
Starting process with CAP_NET_BIND_SERVICE in ambient
$ grep Cap /proc/$BASHPID/status
CapInh: 0000000000000400
CapPrm: 0000000000000400
CapEff: 0000000000000400
CapBnd: 0000003fffffffff
CapAmb: 0000000000000400
$ capsh --decode=0000000000000400
0x0000000000000400=cap_net_bind_service
$ exit

可以看到 CAP_NET_BIND_SERVICE capabilities 被添加到 bash 环境的 Ambient 集合中，同时也会添加到 Permitted 和 Inheritable 集合中，不明白为什么的继续看文章开头的公式

接着运行一个 Go Web 服务，并绑定到 80 端口，既不给它相应的 capabilities，也不以 root 身份运行：

go语言的安装见：centos下安装go环境 - 简书 (jianshu.com)

安装完成后我们编辑一个go文件：

cat server.go 
package main

// Simple webserver that responds to http request on port 80.

// Based on web server code in https://golang.org/doc/articles/wiki/

import (
    "fmt"
    "log"
    "net/http"
)

func handler(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintf(w, "Successfully serving on port 80\n")
}

func main() {
    http.HandleFunc("/", handler)
    log.Fatal(http.ListenAndServe(":80", nil))
}

然后编译和运行服务：

[user1@centos111 dockerfile]$ go build server.go
[user1@centos111 dockerfile]$ ./server 
2024/01/07 21:00:31 listen tcp :80: bind: permission denied

运行失败，因为它没有绑定到小于 1024 的端口的权限。

下面利用 set_ambient 创建一个 “webserver” 环境再运行试试：

[user1@centos111 dockerfile]$ ./set_ambient /bin/bash
Starting process with CAP_NET_BIND_SERVICE in ambient

然后我们来运行：

[user1@centos111 dockerfile]$ ./server &
[1] 8974

可以看到这样就运行成功了

然后我们访问一下：

[user1@centos111 dockerfile]$ curl localhost:80
Successfully serving on port 80

这次运行成功了！你也可以直接执行 ./set_ambient ./server，但使用 shell 的好处是：具有 Ambient 集合中 capabilities 的 bash 环境变成了一个半特权环境，在这个环境中不仅可以运行 Web 服务，也可以运行相关脚本和程序，而这些脚本和程序又可以正常启动 webserver。

这个方法对 Python 很有效，如果不希望给 Python 可执行文件赋予更多的 capabilities，可以使用上面的方法来实现这个目的：

[user1@centos111 dockerfile]$ python3 -m http.server 80
Traceback (most recent call last):
....
PermissionError: [Errno 13] Permission denied


$ ./set_ambient /usr/bin/python3 -m http.server 80
Starting process with CAP_NET_BIND_SERVICE in ambient
Serving HTTP on 0.0.0.0 port 80 (http://0.0.0.0:80/) ...
或者分开执行
[batman@blackstone ~]$ ./set_ambient /bin/bash
Starting process with CAP_NET_BIND_SERVICE in ambient
[batman@blackstone ~]$ python3 -m http.server 80
Serving HTTP on 0.0.0.0 port 80 (http://0.0.0.0:80/) ...

最后讲一下 Inheritable 与 Ambient 集合的区别，如果想使用 Inheritable 达到上述目的，需要将 CAP_NET_BIND_SERVICE capabilities 添加到 Go web 服务可执行文件的 Inheritable 集合中，同时还需要开启 Effective 标志位。

看起来很有道理，但有一个问题：如果可执行文件的有效用户是普通用户，且没有 Inheritable 集合，即 F(inheritable) = 0，那么 P(inheritable) 将会被忽略（P(inheritable) & F(inheritable)）。

由于绝大多数可执行文件都是这种情况，因此 Inheritable 集合的可用性受到了限制。

4. 容器与 capabilities

如果你理解了上一节的内容，应该可以猜到 capabilities 和容器是相辅相成的，至少在一定程度上是这样。

本节内容将在容器中实践 capabilities。

我已经创建了一个测试镜像，并安装了 capsh 和上文所述的程序，代码在 GitHub 仓库中。

如果不加任何参数直接运行容器，结果如下：

docker run -it amouat/caps
Unable to find image 'amouat/caps:latest' locally
latest: Pulling from amouat/caps
4a56a430b2ba: Pull complete 
a66cc40807b2: Pull complete 
1793030292fb: Pull complete 
49e8b8e391f8: Pull complete 
8f3f8896bb62: Pull complete 
fd4a6c8d6f4f: Pull complete 
4e732d5ddd3d: Pull complete 
Digest: sha256:e62ada848fd067e16cad1e7c8ea1fd8d80a180cbe010c669dd60cb8091c106ee
Status: Downloaded newer image for amouat/caps:latest
root@84bb57aa7b5e:/# capsh --print
Current: = cap_chown,cap_dac_override,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_net_bind_service,cap_net_raw,cap_sys_chroot,cap_mknod,cap_audit_write,cap_setfcap+ep
Bounding set =cap_chown,cap_dac_override,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_net_bind_service,cap_net_raw,cap_sys_chroot,cap_mknod,cap_audit_write,cap_setfcap
Securebits: 00/0x0/1'b0
 secure-noroot: no (unlocked)
 secure-no-suid-fixup: no (unlocked)
 secure-keep-caps: no (unlocked)
uid=0(root)
gid=0(root)
groups=0(root)

root@84bb57aa7b5e:/# grep Cap /proc/$BASHPID/status
CapInh:	0000000000000000
CapPrm:	00000000a80425fb
CapEff:	00000000a80425fb
CapBnd:	00000000a80425fb
CapAmb:	0000000000000000

和宿主机还是有些区别的，容器中的 root 用户并没有包含所有的 capabilities，比如 SYS_TIME。如果你可以在容器中修改系统时间，那么宿主机和其他容器中的系统时间都会被改变。

另外需要注意的是，容器中的 Ambient 集合是空的，目前在 Docker 和 Kubernetes 中还无法配置 Ambient 集合，过在底层的 runc 运行时中是可以配置的。

具体参考 Kubernetes 项目的 issue。

如果使用指定的用户运行容器，会得到全新的结果：

[root@centos111 capabilities-blog-master]# docker run -it --user=nobody amouat/caps
nobody@7022d21f9cc9:/$ 

nobody@7022d21f9cc9:/$ grep Cap /proc/$BASHPID/status
CapInh:	0000000000000000
CapPrm:	0000000000000000
CapEff:	0000000000000000
CapBnd:	00000000a80425fb
CapAmb:	0000000000000000

Permitted 和 Effective 集合被清空了，这跟上文提到的特殊规则有关，从 root 用户切换到普通用户， Permitted 和 Effective 集合中的 capabilities 都会被清空。可以通过将 capabilities 添加到可执行文件的 Inheritable 集合中，同时开启 Effective 标志位来使其正常工作。amouat/caps 已经包含了一个具备此条件的可执行文件，可以用来测试一下：

下面我们就使用普通用户的docker下来运行程序：

[root@centos111 capabilities-blog-master]# docker run --user nobody amouat/caps getcap /inh_server
/inh_server = cap_net_bind_service+ei

[root@centos111 capabilities-blog-master]# docker run -d -p 8000:80 --user nobody amouat/caps /inh_server
f401106fe1bdb894cd3c603927d7f6cc5974be6e330000211d48e98d9bb810b8

[root@centos111 capabilities-blog-master]# curl localhost:80
Successfully serving on port 80

要想在容器中利用 capabilities 实现一个可以正常工作的非 root 环境，需要使用上文所述的 set_ambient 程序。

下面就演示一下容器中半特权环境的构建：

[root@centos111 capabilities-blog-master]#  docker run -p 8000:80 --user nobody amouat/caps /server
2024/01/07 13:56:43 listen tcp :80: bind: permission denied

[root@centos111 capabilities-blog-master]# docker run -d -p 8000:80 --user nobody amouat/caps /set_ambient /server
e3b32121b0c11d2ed71a0ea3a8edf0c346012fd230c293f91cf275b5e6fac014

[root@centos111 capabilities-blog-master]# curl localhost:80
Successfully serving on port 80

在容器中限制 capabilities 最简单最常见的方法是 --cap-drop 和 --cap-add 参数，这些参数只会影响所有用户的 Bounding 集合，包括 root 用户。

安全的做法是移除所有的 capabilities，只添加需要的 capabilities，例如：

[root@centos111 capabilities-blog-master]# docker run --cap-drop all --cap-add NET_BIND_SERVICE -it amouat/caps capsh --print
Current: = cap_net_bind_service+ep
Bounding set =cap_net_bind_service
Securebits: 00/0x0/1'b0
 secure-noroot: no (unlocked)
 secure-no-suid-fixup: no (unlocked)
 secure-keep-caps: no (unlocked)
uid=0(root)
gid=0(root)
groups=0(root)

然后就可以以 root 身份或普通用户身份运行容器，例如：

[root@centos111 capabilities-blog-master]$ run --cap-drop all --cap-add NET_BIND_SERVICE \
-d -p 8000:80 --user nobody amouat/caps /set_ambient /server

[root@centos111 capabilities-blog-master]$ curl localhost:80
Successfully serving on port 80

​
[root@centos111 capabilities-blog-master]#$ docker top 9c17
UID ... CMD
nobody ... /server

现在容器中的进程只有单一的 NET_BIND_SERVICE capabilities，并且是以非 root 用户身份运行的。即使容器的进程被黑客攻击，攻击者只会拥有有限的文件系统权限，无法施展拳脚。

Docker 中还有一个选项可以防止容器中的用户获得新的 capabilities，它可以有效阻止攻击者提升权限来避免受到攻击，同时也阻止了再容器中执行 set_ambient 程序。例如：

docker run -p 8000:80 --security-opt=no-new-privileges:true \
--user nobody amouat/caps /set_ambient /server

对于容器玩家，我的最终建议是：移除所有非必要的 capabilities，并以非 root 身份运行。

使用 Ambient 集合与可执行文件的 capabilities 进行逻辑运算可以得到一个相对安全的容器环境，大部分情况下应该不需要使用 set_ambient 这样的辅助程序。

Linux capabilities 与容器领域有着紧密的联系，我很期待看到 Ambient capabilities 被广泛应用到容器领域，以支持以非 root 身份运行的半特权容器。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/304540.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Three.js基础入门介绍——Three.js学习五【让模型沿着轨迹移动】

Three.js基础入门介绍——Three.js学习五【让模型沿着轨迹移动】

流程 基本流程 添加模型增加运动轨迹让模型沿轨迹运动 工程文件结构如下图&#xff1a; static&#xff1a;存放静态资源文件three.js-master&#xff1a;为官网下载的代码包&#xff0c;包含所有需要用到的资源包&#xff0c;链接&#xff1a;https://github.com/mrdoob/thr…
阅读更多...
Java异常处理--异常处理概述与常见异常举例

Java异常处理--异常处理概述与常见异常举例

文章目录 一、异常概述1- 什么是生活的异常2- 什么是程序的异常3- 异常的抛出机制4- 如何对待异常 二、Java异常体系1- Throwable2- Error 和 Exception1、Error1.1 介绍1.2 举例 2、Exception2.1 介绍2.2 编译时异常和运行时异常 3- Java异常体系结构1、体系结构2、运行时异常…
阅读更多...
用Python来制作一个微信聊天机器人

用Python来制作一个微信聊天机器人

1. 效果展示 通过本地搭建一个flask服务器来接收信息&#xff0c;这里我简单使用展示&#xff0c;就没有对接收的信息进行处理了。 信息接收展示 发送信息展示 这里就直接使用python发送一个post请求即可&#xff0c;可以发送文字或者图片 代码展示 接收信息 #!/usr/bin/e…
阅读更多...
JAVA：解析Event事件机制与应用举例

JAVA：解析Event事件机制与应用举例

1、简述 Java事件机制是一种基于观察者模式的设计模式&#xff0c;用于处理对象之间的松耦合通信。本篇技术博客将深入探讨Java事件机制的原理&#xff0c;并通过实际应用举例展示如何在项目中灵活利用该机制。 2、基本原理 Java事件机制基于观察者模式&#xff0c;包含以下…
阅读更多...
nacos源码本地调试

nacos源码本地调试

1&#xff1a;源码克隆 github地址&#xff1a;https://github.com/alibaba/nacos.git gitee镜像地址&#xff1a;https://gitee.com/mirrors/Nacos.git 本文通过IntelliJ IDEA 2023.3.2 (Ultimate Edition)构建&#xff0c;nacos版本为2.3.1 2&#xff1a;首先clone 等待…
阅读更多...
作业--day42

作业--day42

界面设计 MyProWin::MyProWin(QWidget *parent): QMainWindow(parent) {/**********窗口主体**********///窗口大小this->setFixedSize(644, 493);this->setWindowTitle("QQ");this->setWindowIcon(QIcon("C:/Users/10988/Downloads/pictrue/pictrue/…
阅读更多...
机器学习指南：如何学习机器学习？

机器学习指南：如何学习机器学习？

机器学习 一、介绍 你有没有想过计算机是如何从数据中学习和变得更聪明的&#xff1f;这就是机器学习 &#xff08;ML&#xff09; 的魔力&#xff01;这就像计算机科学和统计学的酷炫组合&#xff0c;计算机从大量信息中学习以解决问题并做出预测&#xff0c;就像人类一样。 …
阅读更多...
【Java EE初阶九】多线程案例（线程池）

【Java EE初阶九】多线程案例（线程池）

一、线程池的引入 引入池---->主要是为了提高效率&#xff1b; 最开始&#xff0c;进程可以解决并发编程的问题&#xff0c;但是代价有点大了&#xff0c;于是引入了 “轻量级进程” ---->线程 线程也能解决并发编程的问题&#xff0c;而且线程的开销比进程要小的多&…
阅读更多...
分布式I/O应用于智慧停车场的方案介绍

分布式I/O应用于智慧停车场的方案介绍

客户案例背景 目前车位检测技术有磁电技术、超声波技术、红外线技术、图像识别车位技术。考虑到例如电磁干扰、信号干扰等的环境因素影响&#xff0c;通常会采用组合使用的方式进行&#xff0c;如采用不同的传感器、应用不同的协议等&#xff0c;以便提高车位检测的准确性和实时…
阅读更多...
R语言频率分布直方图绘制教程

R语言频率分布直方图绘制教程

本篇笔记分享R语言绘制直方图的方法&#xff0c;通过多种展示风格对数据进行可视化&#xff0c;主要用到ggplot、ggpubr等包。 什么是直方图&#xff1f; 直方图(Histogram)&#xff0c;又称质量分布图&#xff0c;是一种统计报告图&#xff0c;由一系列高度不等的柱子表示数…
阅读更多...
现代 C++ 及 C++ 的演变

现代 C++ 及 C++ 的演变

C 活跃在程序设计领域。该语言写入了许多新项目&#xff0c;而且据 TIOBE 排行榜数据显示&#xff0c;C 的受欢迎度和使用率位居第 4&#xff0c;仅次于 Python、Java 和 C。 尽管 C 在过去二十年里的 TIOBE 排名都位居前列&#xff08;2008 年 2 月排在第 5 名&#xff0c;到…
阅读更多...
从0开始python学习-46.pytest框架之通过yaml处理接口关联问题-针对变量处理

从0开始python学习-46.pytest框架之通过yaml处理接口关联问题-针对变量处理

目录 1. 提取变量 1.1 提取方法 1.2 提取地方&#xff1a;响应的body&#xff0c;响应的cookie&#xff0c;响应头 1.3 提取方式&#xff1a; 1.4 示例&#xff1a;在能获取到对应token的yaml用例中写入 2.使用变量&#xff1a;封装一个通用extract_util.py 3. 调用测试用…
阅读更多...
设计模式之过滤器模式

设计模式之过滤器模式

目录 1.简介 2.过滤器的实现 2.1.过滤器的角色 2.2.类图 2.3.具体实现 3.过滤器模式的优点 4.过滤器模式的不足 5.适用的场景 1.简介 过滤器模式&#xff08;Filter Pattern&#xff09;或标准模式&#xff08;Criteria Pattern&#xff09;是一种结构型设计模式&…
阅读更多...
5.5 THREAD GRANULARITY

5.5 THREAD GRANULARITY

性能调优中一个重要的算法决定是线程的粒度。有时&#xff0c;在每个线程中投入更多工作并使用更少的线程是有利的。当线程之间存在一些冗余工作时&#xff0c;就会产生这种优势。在当前一代设备中&#xff0c;每个SM的指令处理带宽有限。每个指令都消耗指令处理带宽&#xff0…
阅读更多...
迎接人工智能的下一个时代：ChatGPT的技术实现原理、行业实践以及商业变现途径

迎接人工智能的下一个时代：ChatGPT的技术实现原理、行业实践以及商业变现途径

课程背景 2023年&#xff0c;以ChatGPT为代表的接近人类水平的对话机器人&#xff0c;AIGC不断刷爆网络&#xff0c;其强大的内容生成能力给人们带来了巨大的震撼。学术界和产业界也都形成共识&#xff1a;AIGC绝非昙花一现&#xff0c;其底层技术和产业生态已经形成了新的格局…
阅读更多...
【数据结构 | 二叉树入门】

【数据结构 | 二叉树入门】

数据结构 | 二叉树入门 二叉树概念&#xff1a;二叉树特点&#xff1a;二叉树的基本形态特殊二叉树满二叉树完全二叉树 二叉树的存储结构二叉树的遍历先序遍历中序遍历后序遍历 计算二叉树的节点个数计算叶子节点的个数树的高度求第k层节点个数 二叉树概念&#xff1a; 如下图…
阅读更多...
【51单片机】延时函数delay的坑——关于无符号整型数据for语句“x ＞= 0“变成死循环

【51单片机】延时函数delay的坑——关于无符号整型数据for语句“x ＞= 0“变成死循环

请认真看看以下延时函数是否正确&#xff0c;并且指出错误&#xff1a;&#xff08;考考C语言功底&#xff09; void delay_ms(unsigned int xms) //delay x ms {unsigned int x,y;for(xxms;x>0;x--)for(y124;y>0;y--); }废话少说&#xff0c;上正确代码&#xff1a; v…
阅读更多...
python进阶 -- 日志装饰器详解

python进阶 -- 日志装饰器详解

日志 日志&#xff1a;记录程序运行的时候&#xff0c;出现的问题&#xff0c;或者说验证流程是否正常 在实际工作中&#xff0c;python的脚本命令一般是放在服务器执行的linux系统 日志其实就是记录程序运行时出现的问题、或者正常的打印&#xff0c;协助出现问题的时解决排查…
阅读更多...
以太网交换机——稳定安全，构筑数据之桥

以太网交换机——稳定安全，构筑数据之桥

交换机&#xff0c;起源于集线器和网桥等网络通信设备&#xff0c;它在性能和功能上有了很大的发展&#xff0c;因此逐渐成为搭建网络环境的常用的设备。 随着ChatGPT爆发&#xff0c;因为用户量激增而宕机事件频频发生&#xff0c;云计算应用催生超大规模算力需求&#xff0c;…
阅读更多...
kubernetes Namespace Labels 详解

kubernetes Namespace Labels 详解

写在前面&#xff1a;如有问题&#xff0c;以你为准&#xff0c; 目前24年应届生&#xff0c;各位大佬轻喷&#xff0c;部分资料与图片来自网络 内容较长&#xff0c;页面右上角目录方便跳转 namespace 实现资源分组&#xff0c;label实现业务分组 Namespace 基础理论 最重…
阅读更多...
最新文章

Copyright @ 2022~2023