在 CentOS 7.4 中启用用户命名空间是否安全以及如何操作？

Question

我试图在我的 CentOS 机器上使用 Brave Browser，但是当我尝试运行它时，它给了我以下错误。

[19576:19576:0208/180128.818448:FATAL:zygote_host_impl_linux.cc(126)] 没有可用的沙箱！更新您的内核或查看https://chromium.googlesource.com/chromium/src/+/master/docs/linux_suid_sandbox_development.md以了解有关使用 SUID 沙箱进行开发的更多信息。如果您想危险地生活并需要立即解决方法，您可以尝试使用 --no-sandbox。鱼：“./brave”由信号 SIGABRT（中止）终止

该项目的 git 页面说我可能会收到有关沙箱的错误，并提出了解决方案。

这是它所说的：

注意：如果 Brave 没有启动并显示有关沙盒的错误，您可能需要在内核中启用用户。不建议使用 --no-sandbox 标志运行！

现在，我有三个主要问题：

1) 用户到底在做什么？我曾尝试阅读有关用户命名空间的手册页，但对我来说事情有点复杂，所以我希望得到一些解释。

2）如果我启用用户可以吗，或者它会导致一些问题吗？

3）如果可以，我该怎么做？这是我找到的方法，但我不确定这是否是最好的方法。

https://luppeng.wordpress.com/2016/07/08/user-namespaces-with-cent-os-7-rhel/

Answer 1

命名空间是 LXC 或 docker 等容器使用的内核功能。您有多种类型，PID 名称空间、用户名称空间……您是对的，一开始它非常复杂。我发现这篇旧博文很好地解释了为什么它对容器有用：https : //rhelblog.redhat.com/2015/07/07/whats-next-for-containers-user-namespaces/

那么，我为什么要这样做呢？嗯，这对于在容器内提供 root 访问特别有用。假设容器 A 中的 root 用户（uid 0）映射到 uid 1000，而容器 B 中的 root 映射到容器外的用户 id 2000。与网络端口映射类似，这允许管理员在容器中给某人 uid 0（root），而无需在底层系统上给他们 uid 0。它还允许用户在容器内自由添加/删除用户。

在 RHEL 7.4 上，它应该包含在内核中，但被配置禁用（可用命名空间的数量默认设置为零）。只需执行：

echo 10000 > /proc/sys/user/max_user_namespaces