Исходное сообщение
"Обход ограничений SELinux, связанных с загрузкой модулей ядр..." Отправлено Аноним, 08-Июн-23 11:39
> это где s in docker stands for "security"? Ага, есть. Жаль что > придумано совершенно не для безопасности. Совершенно не обязательно использовать самое хайпожорское решение, есть и другие. И да, т.к. ядро никогда не делалось для контейнеров, в неймспейсах бывают достаточно дурные отвалы. Если надо более серьезно - есть виртуалки или хотя-бы UML, чтоб ядро гасили все же отдельное и не в основном кернелспейсе. Но даже это лучше чем нифига и уж точно не хуже сабжа, стандартно отключаемого каждым первым сплойтом. > Для той придуман jail, и всю дорогу его главный недостаток был ровно > тот же что у selinux targeted - по сути он состоит ...что он решает хзкакие задачи, абы как, как и вся bsd вообще, поэтому нафиг надо. Они даже просто виртуализацию сети нормальную научились только недавно IIRC. > из миллиона проверок в миллионе мест ядра вида if(а не в > джейле ли мы)? > - естественно, они не могут быть консистентны by design. И периодически тропка > в обход очередного шлагбаума таки находилась. Ну вот и namespaces в линухе как-то так же. При том в них ищут в миллион раз больше чем вон там. А когда мне реально надо... я даже и еще сильно более прочные варианты юзаю.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> это где s in docker stands for "security"? Ага, есть. Жаль что >> придумано совершенно не для безопасности. > Совершенно не обязательно использовать самое хайпожорское решение, есть и другие. И да, > т.к. ядро никогда не делалось для контейнеров, в неймспейсах бывают достаточно > дурные отвалы. Если надо более серьезно - есть виртуалки или хотя-бы > UML, чтоб ядро гасили все же отдельное и не в основном > кернелспейсе. Но даже это лучше чем нифига и уж точно не > хуже сабжа, стандартно отключаемого каждым первым сплойтом. >> Для той придуман jail, и всю дорогу его главный недостаток был ровно >> тот же что у selinux targeted - по сути он состоит > ...что он решает хзкакие задачи, абы как, как и вся bsd вообще, > поэтому нафиг надо. Они даже просто виртуализацию сети нормальную научились только > недавно IIRC. >> из миллиона проверок в миллионе мест ядра вида if(а не в > джейле ли мы)? >> - естественно, они не могут быть консистентны by design. И периодически тропка >> в обход очередного шлагбаума таки находилась. > Ну вот и namespaces в линухе как-то так же. При том в > них ищут в миллион раз больше чем вон там. А когда > мне реально надо... я даже и еще сильно более прочные варианты > юзаю.
	Введите код, изображенный на картинке: