В доступе отказано, когда служба systemd-sysctl запускается и пытается записать в файл в /proc/sys/user/
Я пытаюсь включить пространства имен пользователя в Docker. Это, конечно, требует, чтобы пользовательские пространства имен были включены в ядре.
Одним из шагов для включения пользовательских пространств имен в RHEL/CentOS является:
echo "user.max_user_namespaces=15000" >> /etc/sysctl.conf
Потому что max_user_namespaces по умолчанию равно 0. После этого вы должны либо перезагрузиться, либо просто выполнить sysctl -p загрузить настройки sysctl в sysctl.conf. Как только настройки загружены, /proc/sys/user/max_user_namespaces должен содержать 15000. Это прекрасно работает на RHEL 7.4 (ядро: 3.10.0-957.10.1.el7.x86_64).
И это также работает на CentOS 7.4 (ядро: 3.10.0-693.10.1.el7.x86_64), когда я запускаю sysctl -p, Но если я перезагружаюсь, max_user_namespaces возвращается в 0.
Я проверил состояние службы systemd-sysctl и обнаружил, что active (exited) статус:
● systemd-sysctl.service - Apply Kernel Variables
Loaded: loaded (/usr/lib/systemd/system/systemd-sysctl.service; static; vendor preset: disabled)
Active: active (exited) since Wed 2019-04-03 16:15:34 WEST; 16s ago
Docs: man:systemd-sysctl.service(8)
man:sysctl.d(5)
Process: 2786 ExecStart=/usr/lib/systemd/systemd-sysctl (code=exited, status=0/SUCCESS)
Main PID: 2786 (code=exited, status=0/SUCCESS)
Apr 03 16:15:34 localhost.localdomain systemd[1]: Starting Apply Kernel Variables...
Apr 03 16:15:34 localhost.localdomain systemd[1]: Started Apply Kernel Variables.
При ближайшем рассмотрении я обнаружил, что при каждом запуске службы systemd-sysctl происходит сбой из-за ошибки "Отказано в доступе" при попытке записи в /proc/sys/user/max_user_namespaces:
$ journalctl -xn
[...]
Apr 03 16:15:34 localhost.localdomain sudo[2779]: user : TTY=tty1 ; PWD=/home/user ; USER=root ; COMMAND=/bin/systemctl start systemd-sysctl
Apr 03 16:15:34 localhost.localdomain polkitd[763]: Registered Authentication Agent for unix-process:2780:7181831 (system bus name :1.51 [/usr/bin/pkttyagent --notify-fd 5 --fallback], object path /org/freedesktop/PolicyKit1/AuthenticationAgent, locale en_US.UTF-8)
Apr 03 16:15:34 localhost.localdomain systemd[1]: Starting Apply Kernel Variables...
-- Subject: Unit systemd-sysctl.service has begun start-up
-- Defined-By: systemd
-- Support: http://lists.freedesktop.org/mailman/listinfo/systemd-devel
--
-- Unit systemd-sysctl.service has begun starting up.
Apr 03 16:15:34 localhost.localdomain systemd-sysctl[2786]: Failed to write '15000' to '/proc/sys/user/max_user_namespaces': Permission denied
Apr 03 16:15:34 localhost.localdomain systemd[1]: Started Apply Kernel Variables.
-- Subject: Unit systemd-sysctl.service has finished start-up
-- Defined-By: systemd
-- Support: http://lists.freedesktop.org/mailman/listinfo/systemd-devel
--
-- Unit systemd-sysctl.service has finished starting up.
--
-- The start-up result is done.
Apr 03 16:15:34 localhost.localdomain polkitd[763]: Unregistered Authentication Agent for unix-process:2780:7181831 (system bus name :1.51, object path /org/freedesktop/PolicyKit1/AuthenticationAgent, locale en_US.UTF-8) (disconnected from bus)
Вот права доступа к файлу (как в RHEL, так и в CentOS):
$ ls -l /proc/sys/user/max_user_namespaces
-rw-r--r--. 1 root root 0 Apr 3 10:10 /proc/sys/user/max_user_namespaces
Как я уже сказал, я могу изменить это с sysctl -p или отредактировав его напрямую с помощью sudo. Почему служба systemd-sysctl не может писать в нее?
Имейте в виду, что то же самое работает на RHEL... Я понятия не имею, в чем проблема, и я нигде не могу найти ответ. Есть этот вопрос, но он все еще без ответа.
Есть идеи?