rootlesskit

RootlessKit 是使用 user_namespaces(7) 的 Linux 原生 "虚拟根" 实现。RootlessKit 的目的是将 Docker 和 Kubernetes 运行为无权限的用户(称为 "Rootless 模式"),以此保护主机上的真正根目录免受潜在的容器泄露攻击。

• RootlessKit 实际做了什么
• 类似项目
• 使用 RootlessKit 的项目
• 设置
  • 要求
  • subuid
  • sysctl
• 使用
• 完整的 CLI 选项
• 状态目录
• 环境变量
• 其他文档

RootlessKit 创建了 user_namespaces(7) 和 mount_namespaces(7), 并执行了 newuidmap(1)/newgidmap(1), 以及 subuid(5) 和 subgid(5)。

基于 ptrace(2) 的工具（不足以运行无根容器，但速度较慢）：* fakeroot-ng* proot