Et un jail, sauf erreur de ma part, requiert un os complet à part.
Non. Tu peux très bien par exemple jailer un process dans /var/empty ou dans /. jail() est un appel système qui crée un contexte noyau particulier. Celui-ci n'est pas forcement restrictif. Tu peux très bien le créer dans /, autoriser les ipc ... Ensuite tu attaches ton processus dans le jail avec jail_attach() qui positionne le numéro de contexte dans la la structure ucred du processus (hérité sans retour possible par tous ses fils).
Donc si le but est uniquement d'être sûr de pouvoir massacrer tous ses fils à l’arrêt d'un daemon, alors des jails dans / font clairement le job.
Tu peux même faire plusieurs niveau hiérarchiques ce qui permet par exemple de tuer tous les fils sans tuer le process master lors d'un reload.
[^] # Re: Est ce que la solution...
Posté par Joris Dedieu (site web personnel) . En réponse au journal Les BSD isolés. Évalué à 10.
Non. Tu peux très bien par exemple jailer un process dans /var/empty ou dans /. jail() est un appel système qui crée un contexte noyau particulier. Celui-ci n'est pas forcement restrictif. Tu peux très bien le créer dans /, autoriser les ipc ... Ensuite tu attaches ton processus dans le jail avec jail_attach() qui positionne le numéro de contexte dans la la structure ucred du processus (hérité sans retour possible par tous ses fils).
Donc si le but est uniquement d'être sûr de pouvoir massacrer tous ses fils à l’arrêt d'un daemon, alors des jails dans / font clairement le job.
Tu peux même faire plusieurs niveau hiérarchiques ce qui permet par exemple de tuer tous les fils sans tuer le process master lors d'un reload.