| ... |
... |
@@ -4,24 +4,29 @@ |
| 4 |
4 |
{{code language="bash"}}$ setfattr --restore=<файл дампа>{{/code}} |
| 5 |
5 |
либо через подпись всех файлов экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) и импортом. |
| 6 |
6 |
Например, рассмотрим Alpine (выполнять при отключенной ЗПС): |
|
7 |
+ |
| 7 |
7 |
{{code language="bash"}} |
| 8 |
8 |
$ docker run -it --rm --name alpine alpine ash |
| 9 |
|
-{{code language="bash"}} |
| 10 |
|
-В отдельной консоли: |
| 11 |
|
-{{/code}} |
|
10 |
+(в другой консоли) |
| 12 |
12 |
$ mkdir /tmp/alpine |
| 13 |
13 |
$ cd /tmp/alpine |
| 14 |
14 |
$ docker export - alpine | tar - -x |
|
14 |
+{{/code}} |
|
15 |
+ |
|
16 |
+{{code language="bash"}} |
| 15 |
15 |
$ for f in `find . -type f` |
| 16 |
16 |
do |
| 17 |
17 |
sudo evmctl -k <закрытый ключ> ima_sign $f |
| 18 |
18 |
done |
| 19 |
|
-$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima \ |
| 20 |
|
- --xattrs-include=security.NESSCTX \ |
| 21 |
|
- -C /tmp/alpine -c . | docker import - alpine-signed |
| 22 |
22 |
{{/code}} |
|
22 |
+ |
|
23 |
+ |
|
24 |
+{{code language="none"}}$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima \ |
|
25 |
+ --xattrs-include=security.NESSCTX \ |
|
26 |
+ -C /tmp/alpine -c . | docker import - alpine-signed{{/code}} |
| 23 |
23 |
|
| 24 |
24 |
|
|
29 |
+ |
| 25 |
25 |
Если защита памяти **PaX MPROTECT** не [[отключена>>https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%A1%D0%97%D0%98/%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0%20%D0%BF%D0%B0%D0%BC%D1%8F%D1%82%D0%B8/]] и контейнер не базируется на ОС ОСнова, некоторое ПО, например Java, не будет функционировать корректно в контейнере. |
| 26 |
26 |
Возможна установка в контейнер **paxrat** или ручная разметка исключений через |
| 27 |
27 |
{{code language="bash"}}sudo setfattr -n user.pax.flags -v m <filename>{{/code}} |
