🤦‍♂️

Запускаю я значит контейнер командой (включаю все capabilities)
docker run -ti --cap-add=DAC_READ_SEARCH --cap-add=LINUX_IMMUTABLE --cap-add=NET_BROADCAST --cap-add=SYS_RAWIO --cap-add=IPC_LOCK --cap-add=IPC_OWNER --cap-add=SYS_MODULE --cap-add=SYS_PACCT --cap-add=SYS_BOOT --cap-add=SYS_NICE --cap-add=SYS_RESOURCE --cap-add=SYS_TIME --cap-add=SYS_TTY_CONFIG --cap-add=LEASE --cap-add=AUDIT_CONTROL --cap-add=SETFCAP --cap-add=MAC_OVERRIDE --cap-add=MAC_ADMIN --cap-add=SYSLOG --cap-add=WAKE_ALARM --cap-add=BLOCK_SUSPEND --cap-add=SYS_ADMIN --cap-add=NET_ADMIN --cap-add=SYS_PTRACE --cap-add=BLOCK_SUSPEND kdeneon/plasma

🤦‍♂️ docker run -ti --cap-add=ALL kdeneon/plasma 🤦‍♂️

Так, конечно, лучше) Но концептуально ничего не поменялось.

Монтировать все еще невозможно.

Заметил, что внутри контейнера можно монтировать.

Так же, если подключится к mnt namespace снаружи другим процессом, то монтировать можно. Значит дело не в дереве точек монтирования.

Воспроизвести в qemu с тем же ядром не полуилось. При таком же сценарии монтирование в контейнере работало нормально. Для него достаточно SYS_ADMIN.

Отличие было только в rootfs... Возможно подгружается модуль, изза которого возникает такое поведение.

Пока что непонятно, почему --privileged позволяет монтировать, а получение всех capabilities - нет... docker не такой уж и прозрачный(((

Попытаюсь запустить со своей rootfs в qemu.

Запустил свою rootfs в qemu. Монтировать не получилось.

Тоесть воспроизведение зависит не от ядра, а от rootfs:

- На debootstrap не воспроизвелось

- На kdeneon/plasma воспроизводится

Попытаюсь собрать ядро для отладки через gdb

Вообщем не стоит тратить на это время, ничего интересного нету:

поставил бряку на security_sb_mount, а там apparmor возвращает EPERM.

Проверяем apparmor:

	root@PLOTVA:~# aa-status                              
	apparmor module is loaded.                            
	1 profiles are loaded.                                
	1 profiles are in enforce mode.                       
	   docker-default                                     
	0 profiles are in complain mode.                      
	1 processes have profiles defined.                    
	1 processes are in enforce mode.                      
	   docker-default (929)                               
	0 processes are in complain mode.                     
	0 processes are unconfined but have a profile defined.

И в который раз убеждаемся в том, что security модули для линукс - зло.

Почему не воспроизводился на debian? - потому, что там другая сборка докера, которая не конфигурила аппармор.

Как то так...