{"id":120438,"date":"2024-10-31T19:09:22","date_gmt":"2024-10-31T17:09:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2024-10-31T19:09:22","modified_gmt":"2024-10-31T17:09:22","slug":"vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-bubblewrap-0-11-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij","title":{"rendered":"Publication de Bubblewrap 0.11, une couche pour cr\u00e9er des environnements isol\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une nouvelle version de l'outil pour l'organisation du travail dans des environnements isol\u00e9s, Bubblewrap 0.11, a \u00e9t\u00e9 publi\u00e9e. Cet outil est utilis\u00e9 pour restreindre les applications sp\u00e9cifiques des utilisateurs non privil\u00e9gi\u00e9s. En pratique, Bubblewrap est utilis\u00e9 par le projet Flatpak comme couche d'isolation pour les applications lanc\u00e9es \u00e0 partir de paquets. Pour l'isolation, des technologies de virtualisation de conteneurs traditionnelles bas\u00e9es sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux sont utilis\u00e9es. Le code du projet est \u00e9crit en langage C et est distribu\u00e9 sous la licence LGPLv2+. <\/p>\n
L'isolement au niveau du syst\u00e8me de fichiers est r\u00e9alis\u00e9 par la cr\u00e9ation par d\u00e9faut d'un nouvel espace de noms de points de montage (mount namespace), dans lequel un r\u00e9pertoire racine vide est cr\u00e9\u00e9 \u00e0 l'aide de tmpfs. Dans ce r\u00e9pertoire, des partitions de syst\u00e8mes de fichiers externes peuvent \u00eatre mont\u00e9es en mode \u00ab mount \u2014bind \u00bb (par exemple, lors du lancement avec l'option \u00ab bwrap \u2014ro-bind \/usr \/usr \u00bb, la partition \/usr est transf\u00e9r\u00e9e du syst\u00e8me principal en mode lecture seule). Les fonctionnalit\u00e9s r\u00e9seau sont limit\u00e9es \u00e0 l'acc\u00e8s \u00e0 l'interface loopback avec isolation de la pile r\u00e9seau via les drapeaux CLONE_NEWNET et CLONE_NEWUTS. <\/p>\n
Pour exclure tous les identifiants d'utilisateur et de processus superflus de l'environnement isol\u00e9 cr\u00e9\u00e9, les modes CLONE_NEWUSER (espace de noms utilisateur) et CLONE_NEWPID (espace de noms PID) peuvent \u00eatre utilis\u00e9s, tandis que le mode PR_SET_NO_NEW_PRIVS est appliqu\u00e9 pour interdire l'obtention de nouveaux privil\u00e8ges. Sur les syst\u00e8mes avec un \u00ab espace de noms utilisateur \u00bb, Bubblewrap peut \u00eatre ex\u00e9cut\u00e9 avec un utilisateur normal, tandis que sur les syst\u00e8mes sans \u00ab espace de noms utilisateur \u00bb, il peut \u00eatre utilis\u00e9 avec le flag suid root pour effectuer les initialisations n\u00e9cessaires de l'environnement isol\u00e9. <\/p>\n
Dans cette nouvelle version : <\/p>\n
\n
Une fonctionnalit\u00e9 a \u00e9t\u00e9 ajout\u00e9e pour cr\u00e9er des points de montage utilisant un syst\u00e8me de fichiers \u00e0 couches OverlayFS, qui combine plusieurs parties d'autres syst\u00e8mes de fichiers. De nouvelles options de ligne de commande ont \u00e9t\u00e9 propos\u00e9es pour g\u00e9rer l'utilisation de OverlayFS : \u00ab --overlay \u00bb, \u00ab --tmp-overlay \u00bb, \u00ab --ro-overlay \u00bb et \u00ab --overlay-src \u00bb.\n
Une option \u00ab --level-prefix \u00bb a \u00e9t\u00e9 ajout\u00e9e pour ins\u00e9rer le niveau de priorit\u00e9 au format syslog dans la sortie de diagnostic, permettant ainsi l'utilisation d'outils tels que \u00ab logger \u00bb et \u00ab systemd-cat \u00bb pour le traitement de la sortie.\n
La prise en charge du syst\u00e8me de construction Autotools a \u00e9t\u00e9 interrompue. L'outil Meson est d\u00e9sormais n\u00e9cessaire pour la construction. <\/ul>\n