v2の場合,プロセスを移動するための条件が少し厳しくなっています。Bへプロセスを登録するには次のような権限が必要です。実効UIDの制限がなくなった理由は,表2の2つめの条件が加えられたためです。完全に自身がコントロールしているツリーでなければプロセスを移動できませんので,任意のプロセスは移動できません(※2⁠)⁠。※2)4.11カーネルまでは,v1で紹介した2つめの条件「移動しようとするユーザのプロセスの実効UIDが,ターゲットとなるプロセスの実UIDもしくは保存set-user-idと一致する」が必要です。4.11で,v2では不要であるということで削除されています。文字で書くと条件が少しわかりづらいですね。v2で非特権の場合にプロセスを移動させてみましょう。v2でのプロセスの移動(1)図4のような構成のツリーがあるとします。cgroup_Bを作成し,ディレクトリとcgroup.procsファイルの所有権を変更します。図4の(1)の操作を試してみましょう。ubuntuユーザでcgroup_Bのcgroup.procsに登録を試みます。B内のcgroup.procsに書き込み権があれば,プロセスが登録できました。v2では,cgroup.procsファイルはubuntuユーザの所有であり,ユーザ権限で実行されているプロセスを登録しようしたにも関わらずエラーになります。これは表2で示した条件の2番目に引っかかったためです。cgroupになります。cgroupのcgroup.procsファイルに対する権限を持っていませんので,プロセスを移動させようとするとエラーになるわけです。cgroupの管理者であるべきという考え方でしょう。通常,コンテナを起動するのは,コンテナ内に権限を持つユーザではなくホスト上で権限を持つユーザですから,実際のユースケースに合っています。この考え方に従い,ここはroot権限でプロセスをcgroup_Bに登録しましょう。(登録できた)この操作はroot権限で行っていますので登録できます。権限があるcgroup間でのプロセスの移動(共通のcgroup配下のcgroup間)それではcgroup_B配下にcgroup_Dとcgroup_Eを作成し,先に登録したプロセスを移動させてみましょう。/sys/fs/cgroup/cgroup_B/cgroup_E/(問題なく作成できた)cgroup_Bはubuntuユーザ所有ですので,cgroup_Dとcgroup_Eは問題なく作成できました。cgroupからcgroup_Bへ移動させたプロセスをcgroup_Dに移動させましょう。図4の(2)のパターンです。/sys/fs/cgroup/cgroup_B/cgroup_D/cgroup.procs3126今度はエラーなく作成できました。これはcgroup_Bが「cgroup_Bとcgroup_Dの共通の祖先」という扱いになるためです。cgroup_Dのcgroup.procsはubuntuユーザが所有cgroup_Dとcgroup_Bの共通の祖先であるcgroup_Bのcgroup.procsファイルはubuntuユーザが所有となり,2つの条件を満たします。次に,cgroup_Dからcgroup_Eへのプロセスの移動を見てみましょう。図4の(3)のパターンです。cgroup_Eのcgroup.procsはubuntuユーザが所有cgroup_Dとcgroup_Eの共通の祖先であるcgroup_Bのcgroup.procsファイルはubuntuユーザが所有ですので,両方の条件を満たします。(移動できた)移動できました。権限があるcgroup間でのプロセスの移動(共通のcgroup配下でないcgroup間)別の例を紹介しましょう。cgroup_C,cgroup_Dを作成します。/sys/fs/cgroup/cgroup_B/cgroup_D/cgroup.procs以上のようにcgroup_A〜Dまですべてubuntuユーザ所有のグループで,cgroup内のcgroup.procsファイルの所有権もubuntuユーザになっており,図5のような状態のcgroupツリーを準備しました。cgroup_Cにプロセスを登録します。cgroupからの移動になりますのでroot権限で移動させます。(登録されている)これでcgroup_Cにプロセスが登録された状態になりました。つぎに,このプロセスをcgroup_Cからcgroup_Dに移動させてみましょう。deniedcgroup_Dのcgroup.procsはubuntuユーザ所有であり,1番目の条件を満たしています。cgroupになります。cgroupのcgroup.procsファイルに対してubuntuユーザは書き込み権限を持っていませんので,2番目の条件を満たしませんので,プロセスは移動できません。このような移動ができない理由を考えてみましょう。図5の構造を見ると,cgroup_A以下とcgroup_B以下はそれぞれ独立したコンテナとみなせます。同じユーザ権限で動いているコンテナとはいえ,通常はコンテナをまたいでプロセスを移動することは考えにくいので,実際のユースケースに合った条件になったと言えるでしょう。v2では,条件を複雑にすることなく,プロセスの移動をコンテナ内に制限できるようになりました。v2コアの機能を紹介してきました。今回は特権を持たないユーザに対して,cgroupツリーの一部を権限委譲する際の機能について紹介しました。v2は,よりコンテナで使う場合の実際的な条件や制限が設定されていることが,お分かりいただけたのではないでしょうか。v2には,これまで紹介したプロセスをグループ分けする以外にも,v1と同様にコントローラによってリソース制限をする機能があります。v2の機能を紹介していきたいと思いますが,今回でいったん説明の区切りが付きましたので,次回以降は少し違う話題を扱う予定です。次回以降はしばらく私ではなく,ご自身でmrubyによるコンテナ実装Haconiwaを開発していらっしゃるudzuraさんにお書きいただく予定です。テーマは,この連載の32回でも軽く扱ったCRIU(チェックポイント・リストア)の話題の予定です。さんは,Haconiwaの開発を通じてCRIUのいろいろな機能を調査されているようですので,私もCRIUの機能を詳細に説明していただけるのではないかと,今からワクワクしています。cgroup著者プロフィール加藤泰文(かとうやすふみ)2009年頃にLinuxカーネルのcgroup機能に興味を持って以来,Linuxのコンテナ関連の最新情報を追っかけたり,コンテナの勉強会を開いたりして勉強しています。英語力のない自分用にLXCのmanページを日本語訳していたところ,あっさり本家にマージされてしまい,それ以来日本語訳のパッチを送り続けています。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。