chroot-окружение

Простой способ сделать себе чрутик — воспользоваться debootstrap или аналогом под используемый дистрибутив.

Чруты ограничены только на уровне доступных файлов в фс. Система может смонтировать диск, если ей доступны файлы дисков в /dev (может ли система создать такие файлы при их отсутствии я не знаю, но что-то подсказывает, что может).

Для большей безопасности лучше использовать контейнеры или виртуализацию.

А вариант с докером не рассматривал?

Вопрос, как вообще chroot-окружение создать?

По-колхозному - поставить виртуалку, затарить ей /, развернуть в чрут и прокинуть биндами хостовые /proc /sys и что там ещё.

Как обезопаситься

Если такой вопрос вообще возникает, значит чрут не подходит.

ЕМНИП, докер - это обёртка над всякоразным обособлением и над чрутом в том числе.

Вроде как оно использует lxc, который всё же обеспечивает более высокий уровень изоляции.

Не. Не совсем. Докер более изолирован.

gentoo например устанавливается с помощью чрута, можешь почитать хендбук.

Программы, выполняемые в chroot-окружении, имеют доступ только к chroot-окружению, но ведь теоретически они могут из него выбраться: например через повторный chroot или через mount. Как обезопаситься от этого?

как обычно: создать обычного пользователя.

устанавливать программы через «make install»

для этого не нужно быть рутом. Что ещё?

файлы дисков в /dev (может ли система создать такие файлы при их отсутствии я не знаю, но что-то подсказывает, что может).

правильно подсказывает: man mknod

не хочу прочесть одну главу из gentoo handbook, хочу ебаться с виртуалками

http://images.netbynet.ru/imgs/a0fc76476c641df81c0ada4798974202.png

Резюмируя сказанное:
Если нужно поставить программу через «make install» или через slackbuild, но страшно за систему, то можно это сделать под чтутом.
Если собираешься ставить более опасные эксперементы или защищаться от хакеров - то чрут не поможет и лучше использовать докер или виртуалки. Кстати что такое докер?

Простой способ сделать себе чрутик — воспользоваться debootstrap или аналогом под используемый дистрибутив.

А под слакой как?

для этого не нужно быть рутом. Что ещё?

Как ты себе представляешь запись в /usr без рута?

stage3 распакуй от генты

Как ты себе представляешь запись в /usr без рута?

./configure --prefix=/home/user/.local например

А как чтение гентобука поможет сделать чрут со SLES например?

В вопросе ТСа не требовалось никакой конкретной системы.

Вопрос, как вообще chroot-окружение создать?

И поэтому ты решил за него. Правильно.

В Debian можно воспользоваться debbootstap, в Gentoo распаковать stage3, в Slackware наверняка можно поступить как-нибудь по своему, например с помощью installpkg установить группу с"A" в chroot-каталог. Но верно ли это? Наверное создание chroot-окружения должно отличаться от создания окружения для новой установки, разные вещи всё-таки.

Но верно ли это? Наверное создание chroot-окружения должно отличаться от создания окружения для новой установки

Прости, ты

устанавливать программы через «make install»

на голый тулчейн собрался?

В новых ядрах есть разделение namespace'ов — в том числе PID и прочих. Это реализуется через пару сисколлов. Напиши патч к chroot :) Тебе скажут очень большое спасибо.

для безопасности можно из чрут окружения убрать chroot и mount

deterenkelt, сейчас поясню Нашёл я допустим, программу, которой нет в официальном репозитории, но есть в виде исходников. Я ничего не делаю в рабочей системе, потому что у меня для этого есть sandbox в виде chroot-окружения. Перехожу в sandbox, там распаковываю исходники, делаю:

./configure
make
touch timestamp
make install
find / -xdev -newer timestamp

find / -xdev -newer timestamp

Хорошо подумал?

Я про этот трюк где-то читал. Список файлов правда потом подредактировать немного придётся, потому что в него попадают открытые логи такие как /var/log/dmesg
А есть способ лучше?

Почему бы не сделать, как пакетные менеджеры — установить в пустой клон дерева каталогов рутовой фс? В пакете, конечно, все нужные каталоги прописаны, но большинству и заранее известных /usr/{bin,lib,lib64,share/{doc,man/man1}} хватит же. +man fakeroot