capabilities(7) - Versionshistorik

Admin: /* Filkapacitetsutökat attribut versionering */

2024-11-24T17:07:14Z

Filkapacitetsutökat attribut versionering

← Äldre version		Versionen från 24 november 2024 kl. 17.07
Rad 320:		Rad 320:
	För att möjliggöra utbyggbarhet stöder kärnan ett schema för att koda ett versionsnummer inuti det utökade attributet security.capability som används för att implementera filkapaciteter. Dessa versionsnummer är interna för implementeringen och inte direkt synliga för användarutrymmesapplikationer. Hittills stöds följande versioner:		För att möjliggöra utbyggbarhet stöder kärnan ett schema för att koda ett versionsnummer inuti det utökade attributet security.capability som används för att implementera filkapaciteter. Dessa versionsnummer är interna för implementeringen och inte direkt synliga för användarutrymmesapplikationer. Hittills stöds följande versioner:

	'''[[VFS_CAP_REVISION_1]]'''		'''VFS_CAP_REVISION_1'''
	: Detta var den ursprungliga filkapacitetsimplementeringen, som stödde 32-bitars maskor för filkapaciteter.		: Detta var den ursprungliga filkapacitetsimplementeringen, som stödde 32-bitars maskor för filkapaciteter.

	'''[[VFS_CAP_REVISION_2]]''' (sedan Linux 2.6.25)		'''VFS_CAP_REVISION_2''' (sedan Linux 2.6.25)
	: Denna version tillåter filkapacitetsmaskor som är 64 bitar stora och var nödvändig eftersom antalet stödda kapaciteter växte bortom 32. Kärnan fortsätter transparent att stödja exekvering av filer som har 32-bitars version 1 kapacitetsmaskor, men när man lägger till kapaciteter till filer som inte tidigare hade kapaciteter, eller modifierar kapaciteterna hos befintliga filer, använder den automatiskt versions 2-schemat (eller möjligen versions 3-schemat, som beskrivs nedan).		: Denna version tillåter filkapacitetsmaskor som är 64 bitar stora och var nödvändig eftersom antalet stödda kapaciteter växte bortom 32. Kärnan fortsätter transparent att stödja exekvering av filer som har 32-bitars version 1 kapacitetsmaskor, men när man lägger till kapaciteter till filer som inte tidigare hade kapaciteter, eller modifierar kapaciteterna hos befintliga filer, använder den automatiskt versions 2-schemat (eller möjligen versions 3-schemat, som beskrivs nedan).

	'''[[VFS_CAP_REVISION_3]]''' (sedan Linux 4.14)		'''VFS_CAP_REVISION_3''' (sedan Linux 4.14)
	: Version 3 filkapaciteter tillhandahålls för att stödja namnutrymmesfilkapaciteter (beskrivna nedan).		: Version 3 filkapaciteter tillhandahålls för att stödja namnutrymmesfilkapaciteter (beskrivna nedan).

Rad 341:		Rad 341:
	* Tråden har [[CAP_SETFCAP]]-kapaciteten över filens [[inode]], vilket betyder att (a) tråden har [[CAP_SETFCAP]]-kapaciteten i sitt eget användarnamnsutrymme; och (b) filens inode UID och GID har mappningar i skrivarens användarnamnsutrymme.		* Tråden har [[CAP_SETFCAP]]-kapaciteten över filens [[inode]], vilket betyder att (a) tråden har [[CAP_SETFCAP]]-kapaciteten i sitt eget användarnamnsutrymme; och (b) filens inode UID och GID har mappningar i skrivarens användarnamnsutrymme.

	När ett [[VFS_CAP_REVISION_3]] security.capability-utökat attribut skapas, sparas rotanvändar-ID:t för det skapande trådens användarnamnsutrymme i det utökade attributet.		När ett VFS_CAP_REVISION_3 security.capability-utökat attribut skapas, sparas rotanvändar-ID:t för det skapande trådens användarnamnsutrymme i det utökade attributet.

	Däremot resulterar skapande eller modifiering av ett security.capability-utökat attribut från en privilegierad ([[CAP_SETFCAP]]) tråd som befinner sig i det namnutrymme där det underliggande filsystemet monterades (detta betyder normalt det initiala användarnamnsutrymmet) automatiskt i skapandet av ett version 2 ([[VFS_CAP_REVISION_2]]) attribut.		Däremot resulterar skapande eller modifiering av ett security.capability-utökat attribut från en privilegierad ([[CAP_SETFCAP]]) tråd som befinner sig i det namnutrymme där det underliggande filsystemet monterades (detta betyder normalt det initiala användarnamnsutrymmet) automatiskt i skapandet av ett version 2 (VFS_CAP_REVISION_2) attribut.

	Observera att skapandet av ett version 3 security.capability-utökat attribut är automatiskt. Det vill säga, när en användarutrymmesapplikation skriver ([[setxattr(2)]]) ett security.capability-attribut i version 2-format, kommer kärnan automatiskt att skapa ett version 3-attribut om attributet skapas under de omständigheter som beskrivs ovan. Motsvarande, när ett version 3 security.capability-attribut hämtas ([[getxattr(2)]]) av en process som befinner sig inuti ett användarnamnsutrymme som skapades av rotanvändar-ID:t (eller en ättling till det användarnamnsutrymmet), förenklas det returnerade attributet (automatiskt) för att visas som ett version 2-attribut (dvs. det returnerade värdet är storleken på ett version 2-attribut och inkluderar inte rotanvändar-ID:t). Dessa automatiska översättningar innebär att inga ändringar krävs för användarutrymmesverktyg (t.ex. [[setcap(1)]] och [[getcap(1)]]) för att dessa verktyg ska kunna användas för att skapa och hämta version 3 security.capability-attribut.		Observera att skapandet av ett version 3 security.capability-utökat attribut är automatiskt. Det vill säga, när en användarutrymmesapplikation skriver ([[setxattr(2)]]) ett security.capability-attribut i version 2-format, kommer kärnan automatiskt att skapa ett version 3-attribut om attributet skapas under de omständigheter som beskrivs ovan. Motsvarande, när ett version 3 security.capability-attribut hämtas ([[getxattr(2)]]) av en process som befinner sig inuti ett användarnamnsutrymme som skapades av rotanvändar-ID:t (eller en ättling till det användarnamnsutrymmet), förenklas det returnerade attributet (automatiskt) för att visas som ett version 2-attribut (dvs. det returnerade värdet är storleken på ett version 2-attribut och inkluderar inte rotanvändar-ID:t). Dessa automatiska översättningar innebär att inga ändringar krävs för användarutrymmesverktyg (t.ex. [[setcap(1)]] och [[getcap(1)]]) för att dessa verktyg ska kunna användas för att skapa och hämta version 3 security.capability-attribut.

Admin: /* Anteckningar till kärnutvecklare */

2024-11-24T17:00:54Z

Anteckningar till kärnutvecklare

← Äldre version		Versionen från 24 november 2024 kl. 17.00
Rad 261:		Rad 261:
	* För att bestämma vilken befintlig kapacitet som bäst kan associeras med din nya funktion, granska listan över kapaciteter ovan för att hitta en "silo" där din nya funktion bäst passar in. En metod är att avgöra om det finns andra funktioner som kräver kapaciteter som alltid kommer att användas tillsammans med den nya funktionen. Om den nya funktionen är värdelös utan dessa andra funktioner bör du använda samma kapacitet som de andra funktionerna.		* För att bestämma vilken befintlig kapacitet som bäst kan associeras med din nya funktion, granska listan över kapaciteter ovan för att hitta en "silo" där din nya funktion bäst passar in. En metod är att avgöra om det finns andra funktioner som kräver kapaciteter som alltid kommer att användas tillsammans med den nya funktionen. Om den nya funktionen är värdelös utan dessa andra funktioner bör du använda samma kapacitet som de andra funktionerna.

	* Välj inte [[CAP_SYS_ADMIN]] om du kan undvika det! En stor andel av befintliga kapacitetskontroller är associerade med denna kapacitet (se den partiella listan ovan). Det kan rimligen kallas "den nya root", eftersom det å ena sidan ger en rad krafter, och å andra sidan innebär dess breda omfattning att detta är kapaciteten som krävs av många privilegierade program. Gör inte problemet värre. De enda nya funktioner som bör associeras med [[CAP_SYS_ADMIN]] är de som nära matchar befintliga användningar i den silon.		* Välj inte CAP_SYS_ADMIN om du kan undvika det! En stor andel av befintliga kapacitetskontroller är associerade med denna kapacitet (se den partiella listan ovan). Det kan rimligen kallas "den nya root", eftersom det å ena sidan ger en rad krafter, och å andra sidan innebär dess breda omfattning att detta är kapaciteten som krävs av många privilegierade program. Gör inte problemet värre. De enda nya funktioner som bör associeras med [[CAP_SYS_ADMIN]] är de som nära matchar befintliga användningar i den silon.

	* Om du har bestämt att det verkligen är nödvändigt att skapa en ny kapacitet för din funktion, gör den inte eller namnge den som en "engångs"-kapacitet. Således var tillägget av den mycket specifika [[CAP_SYS_PACCT]] förmodligen ett misstag. Försök istället att identifiera och namnge din nya kapacitet som en bredare silo där andra relaterade framtida användningsfall kan passa.		* Om du har bestämt att det verkligen är nödvändigt att skapa en ny kapacitet för din funktion, gör den inte eller namnge den som en "engångs"-kapacitet. Således var tillägget av den mycket specifika CAP_SYS_PACCT förmodligen ett misstag. Försök istället att identifiera och namnge din nya kapacitet som en bredare silo där andra relaterade framtida användningsfall kan passa.

	=== Trådkapacitetsuppsättningar ===		=== Trådkapacitetsuppsättningar ===

Admin: /* Kapacitetslista */

2024-11-24T16:59:39Z

Kapacitetslista

← Äldre version		Versionen från 24 november 2024 kl. 16.59
Rad 22:		Rad 22:

	'''CAP_BLOCK_SUSPEND''' (sedan Linux 3.5)		'''CAP_BLOCK_SUSPEND''' (sedan Linux 3.5)
	: Använd funktioner som kan blockera systemets suspendering ([[epoll(7)]] [[EPOLLWAKEUP]], /proc/sys/wake_lock).		: Använd funktioner som kan blockera systemets suspendering ([[epoll(7)]] EPOLLWAKEUP, /proc/sys/wake_lock).

	'''CAP_BPF''' (sedan Linux 5.8)		'''CAP_BPF''' (sedan Linux 5.8)
Rad 45:		Rad 45:
	* Kringgå filens läsbehörighetskontroller och katalogens läs- och exekveringsbehörighetskontroller;		* Kringgå filens läsbehörighetskontroller och katalogens läs- och exekveringsbehörighetskontroller;
	* anropa [[open_by_handle_at(2)]];		* anropa [[open_by_handle_at(2)]];
	* använda flaggan [[AT_EMPTY_PATH]] med [[linkat(2)]] för att skapa en länk till en fil som refereras av en filbeskrivare.		* använda flaggan AT_EMPTY_PATH med [[linkat(2)]] för att skapa en länk till en fil som refereras av en filbeskrivare.

	'''CAP_FOWNER'''		'''CAP_FOWNER'''
Rad 55:		Rad 55:
	* specificera [[O_NOATIME]] för godtyckliga filer i [[open(2)]] och [[fcntl(2)]].		* specificera [[O_NOATIME]] för godtyckliga filer i [[open(2)]] och [[fcntl(2)]].

	'''[[CAP_FSETID]]'''		'''CAP_FSETID'''
	* Rensa inte set-user-ID och set-group-ID-lägesbitar när en fil modifieras;		* Rensa inte set-user-ID och set-group-ID-lägesbitar när en fil modifieras;
	* ställa in set-group-ID-biten för en fil vars GID inte matchar filsystemet eller någon av processens kompletterande GID.		* ställa in set-group-ID-biten för en fil vars GID inte matchar filsystemet eller någon av processens kompletterande GID.

	'''[[CAP_IPC_LOCK]]'''		'''CAP_IPC_LOCK'''
	* Låsa minne ([[mlock(2)]], [[mlockall(2)]], [[mmap(2)]], [[shmctl(2)]]);		* Låsa minne ([[mlock(2)]], [[mlockall(2)]], [[mmap(2)]], [[shmctl(2)]]);
	* Allocera minne med hjälp av stora sidor ([[memfd_create(2)]], [[mmap(2)]], [[shmctl(2)]]).		* Allocera minne med hjälp av stora sidor ([[memfd_create(2)]], [[mmap(2)]], [[shmctl(2)]]).

	'''[[CAP_IPC_OWNER]]'''		'''CAP_IPC_OWNER'''
	: Kringgå behörighetskontroller för operationer på System V IPC-objekt.		: Kringgå behörighetskontroller för operationer på System V IPC-objekt.

	'''[[CAP_KILL]]'''		'''CAP_KILL'''
	: Kringgå behörighetskontroller för att skicka signaler (se [[kill(2)]]). Detta inkluderar användning av [[ioctl(2)]] KDSIGACCEPT-operationen.		: Kringgå behörighetskontroller för att skicka signaler (se [[kill(2)]]). Detta inkluderar användning av [[ioctl(2)]] KDSIGACCEPT-operationen.

	'''[[CAP_LEASE]]''' (sedan Linux 2.4)		'''CAP_LEASE''' (sedan Linux 2.4)
	: Etablera leases på godtyckliga filer (se [[fcntl(2)]]).		: Etablera leases på godtyckliga filer (se [[fcntl(2)]]).

	'''[[CAP_LINUX_IMMUTABLE]]'''		'''CAP_LINUX_IMMUTABLE'''
	: Ställa in [[FS_APPEND_FL]] och [[FS_IMMUTABLE_FL]] inode-flaggor (se [[FS_IOC_SETFLAGS(2const)]]).		: Ställa in FS_APPEND_FL och FS_IMMUTABLE_FL inode-flaggor (se FS_IOC_SETFLAGS(2const)).

	'''[[CAP_MAC_ADMIN]]''' (sedan Linux 2.6.25)		'''CAP_MAC_ADMIN''' (sedan Linux 2.6.25)
	: Tillåta MAC-konfiguration eller tillståndsändringar. Implementerad för [[Smack]] Linux Security Module (LSM).		: Tillåta MAC-konfiguration eller tillståndsändringar. Implementerad för [[Smack]] Linux Security Module (LSM).

	'''[[CAP_MAC_OVERRIDE]]''' (sedan Linux 2.6.25)		'''CAP_MAC_OVERRIDE''' (sedan Linux 2.6.25)
	: Överstyr Mandatory Access Control (MAC). Implementerad för [[Smack]] LSM.		: Överstyr Mandatory Access Control (MAC). Implementerad för [[Smack]] LSM.

Rad 143:		Rad 143:
	* utföra samma BPF-operationer som styrs av [[CAP_BPF]] (men den senare, svagare kapaciteten föredras för att komma åt den funktionaliteten).		* utföra samma BPF-operationer som styrs av [[CAP_BPF]] (men den senare, svagare kapaciteten föredras för att komma åt den funktionaliteten).
	* använda samma prestandaövervakningsmekanismer som styrs av [[CAP_PERFMON]] (men den senare, svagare kapaciteten föredras för att komma åt den funktionaliteten).		* använda samma prestandaövervakningsmekanismer som styrs av [[CAP_PERFMON]] (men den senare, svagare kapaciteten föredras för att komma åt den funktionaliteten).
	* utföra [[IPC_SET]] och [[IPC_RMID]]-operationer på godtyckliga System V [[IPC]]-objekt;		* utföra IPC_SET och IPC_RMID-operationer på godtyckliga System V [[IPC]]-objekt;
	* överstiga [[RLIMIT_NPROC]]-resursgränsen;		* överstiga RLIMIT_NPROC-resursgränsen;
	* utföra operationer på betrodda och säkerhetsutökade attribut (se [[xattr(7)]]);		* utföra operationer på betrodda och säkerhetsutökade attribut (se [[xattr(7)]]);
	* använda [[lookup_dcookie(2)]];		* använda [[lookup_dcookie(2)]];
Rad 169:		Rad 169:
	* modifiera autogruppens nice-värden genom att skriva till /proc/pid/autogroup (se [[sched(7)]]).		* modifiera autogruppens nice-värden genom att skriva till /proc/pid/autogroup (se [[sched(7)]]).

	'''[[CAP_SYS_BOOT]]'''		'''CAP_SYS_BOOT'''
	: Använda [[reboot(2)]] och [[kexec_load(2)]].		: Använda [[reboot(2)]] och [[kexec_load(2)]].

Rad 477:		Rad 477:
	Observera att även med [[SECBIT_KEEP_CAPS]]-flaggan inställd, rensas trådens effektiva kapaciteter när den byter sitt effektiva UID till ett icke-nollvärde. Men om tråden har ställt in denna flagga och dess effektiva UID redan är icke-noll, och tråden därefter byter alla andra UID:n till icke-nollvärden, kommer de effektiva kapaciteterna inte att rensas.		Observera att även med [[SECBIT_KEEP_CAPS]]-flaggan inställd, rensas trådens effektiva kapaciteter när den byter sitt effektiva UID till ett icke-nollvärde. Men om tråden har ställt in denna flagga och dess effektiva UID redan är icke-noll, och tråden därefter byter alla andra UID:n till icke-nollvärden, kommer de effektiva kapaciteterna inte att rensas.

	Inställningen av [[SECBIT_KEEP_CAPS]]-flaggan ignoreras om [[SECBIT_NO_SETUID_FIXUP]]-flaggan är inställd. (Den senare flaggan ger en övergripande effekt av den tidigare flaggan.)		Inställningen av SECBIT_KEEP_CAPS-flaggan ignoreras om SECBIT_NO_SETUID_FIXUP-flaggan är inställd. (Den senare flaggan ger en övergripande effekt av den tidigare flaggan.)

	Denna flagga ger samma funktionalitet som den äldre [[prctl(2)]] [[PR_SET_KEEPCAPS]]-operationen.		Denna flagga ger samma funktionalitet som den äldre [[prctl(2)]] [[PR_SET_KEEPCAPS]]-operationen.

Admin: /* Kapacitetslista */

2024-11-23T08:28:27Z

Kapacitetslista

← Äldre version		Versionen från 23 november 2024 kl. 08.28
Rad 12:		Rad 12:
	Följande lista visar de kapaciteter som implementeras på Linux och de operationer eller beteenden som varje kapacitet tillåter:		Följande lista visar de kapaciteter som implementeras på Linux och de operationer eller beteenden som varje kapacitet tillåter:

	'''[[CAP_AUDIT_CONTROL]]''' (sedan Linux 2.6.11)		'''CAP_AUDIT_CONTROL''' (sedan Linux 2.6.11)
	: Aktivera och inaktivera kärnrevision; ändra revisionsfilterregler; hämta revisionsstatus och filtreringsregler.		: Aktivera och inaktivera kärnrevision; ändra revisionsfilterregler; hämta revisionsstatus och filtreringsregler.

	'''[[CAP_AUDIT_READ]]''' (sedan Linux 3.16)		'''CAP_AUDIT_READ''' (sedan Linux 3.16)
	: Tillåter läsning av revisionsloggen via en multicast netlink-socket.		: Tillåter läsning av revisionsloggen via en multicast netlink-socket.

	'''[[CAP_AUDIT_WRITE]]''' (sedan Linux 2.6.11)		'''CAP_AUDIT_WRITE''' (sedan Linux 2.6.11)
	: Skriv poster till kärnans revisionslogg.		: Skriv poster till kärnans revisionslogg.

	'''[[CAP_BLOCK_SUSPEND]]''' (sedan Linux 3.5)		'''CAP_BLOCK_SUSPEND''' (sedan Linux 3.5)
	: Använd funktioner som kan blockera systemets suspendering ([[epoll(7)]] [[EPOLLWAKEUP]], /proc/sys/wake_lock).		: Använd funktioner som kan blockera systemets suspendering ([[epoll(7)]] [[EPOLLWAKEUP]], /proc/sys/wake_lock).

	'''[[CAP_BPF]]''' (sedan Linux 5.8)		'''CAP_BPF''' (sedan Linux 5.8)
	: Använd privilegierade BPF-operationer; se [[bpf(2)]] och [[bpf-helpers(7)]].		: Använd privilegierade BPF-operationer; se [[bpf(2)]] och [[bpf-helpers(7)]].

	Denna kapacitet lades till i Linux 5.8 för att separera BPF-funktionalitet från den överbelastade [[CAP_SYS_ADMIN]]-kapaciteten.		Denna kapacitet lades till i Linux 5.8 för att separera BPF-funktionalitet från den överbelastade [[CAP_SYS_ADMIN]]-kapaciteten.

	'''[[CAP_CHECKPOINT_RESTORE]]''' (sedan Linux 5.9)		'''CAP_CHECKPOINT_RESTORE''' (sedan Linux 5.9)
	* Uppdatera /proc/sys/kernel/ns_last_pid (se [[pid_namespaces(7)]]);		* Uppdatera /proc/sys/kernel/ns_last_pid (se [[pid_namespaces(7)]]);
	* använda set_tid-funktionen i [[clone3(2)]];		* använda set_tid-funktionen i [[clone3(2)]];
Rad 36:		Rad 36:
	Denna kapacitet lades till i Linux 5.9 för att separera checkpoint/restore-funktionalitet från den överbelastade [[CAP_SYS_ADMIN]]-kapaciteten.		Denna kapacitet lades till i Linux 5.9 för att separera checkpoint/restore-funktionalitet från den överbelastade [[CAP_SYS_ADMIN]]-kapaciteten.

	'''[[CAP_CHOWN]]'''		'''CAP_CHOWN'''
	: Göra godtyckliga ändringar av filens UID och GID (se [[chown(2)]]).		: Göra godtyckliga ändringar av filens UID och GID (se [[chown(2)]]).

	'''[[CAP_DAC_OVERRIDE]]'''		'''CAP_DAC_OVERRIDE'''
	: Kringgå filens läs-, skriv- och exekveringsbehörighetskontroller. (DAC är en förkortning för "discretionary access control".)		: Kringgå filens läs-, skriv- och exekveringsbehörighetskontroller. (DAC är en förkortning för "discretionary access control".)

	'''[[CAP_DAC_READ_SEARCH]]'''		'''CAP_DAC_READ_SEARCH'''
	* Kringgå filens läsbehörighetskontroller och katalogens läs- och exekveringsbehörighetskontroller;		* Kringgå filens läsbehörighetskontroller och katalogens läs- och exekveringsbehörighetskontroller;
	* anropa [[open_by_handle_at(2)]];		* anropa [[open_by_handle_at(2)]];
	* använda flaggan [[AT_EMPTY_PATH]] med [[linkat(2)]] för att skapa en länk till en fil som refereras av en filbeskrivare.		* använda flaggan [[AT_EMPTY_PATH]] med [[linkat(2)]] för att skapa en länk till en fil som refereras av en filbeskrivare.

	'''[[CAP_FOWNER]]'''		'''CAP_FOWNER'''
	* Kringgå behörighetskontroller på operationer som normalt kräver att processens filsystem-UID matchar filens UID (t.ex. [[chmod(2)]], [[utime(2)]]), exklusive de operationer som täcks av [[CAP_DAC_OVERRIDE]] och [[CAP_DAC_READ_SEARCH]];		* Kringgå behörighetskontroller på operationer som normalt kräver att processens filsystem-UID matchar filens UID (t.ex. [[chmod(2)]], [[utime(2)]]), exklusive de operationer som täcks av [[CAP_DAC_OVERRIDE]] och [[CAP_DAC_READ_SEARCH]];
	* ställa in inode-flaggor (se [[FS_IOC_SETFLAGS(2const)]]) på godtyckliga filer;		* ställa in inode-flaggor (se [[FS_IOC_SETFLAGS(2const)]]) på godtyckliga filer;

Admin: /* Effekt av användar-ID-ändringar på kapaciteter */

2024-11-23T08:26:14Z

Effekt av användar-ID-ändringar på kapaciteter

← Äldre version		Versionen från 23 november 2024 kl. 08.26
Rad 454:		Rad 454:
	* Om det effektiva användar-ID:t ändras från icke-noll till 0, kopieras den tillåtna uppsättningen till den effektiva uppsättningen.		* Om det effektiva användar-ID:t ändras från icke-noll till 0, kopieras den tillåtna uppsättningen till den effektiva uppsättningen.

	* Om filsystemets användar-ID ändras från 0 till icke-noll (se [[setfsuid(2)]]), rensas följande kapaciteter från den effektiva uppsättningen: [[CAP_CHOWN]], [[CAP_DAC_OVERRIDE]], [[CAP_DAC_READ_SEARCH]], [[CAP_FOWNER]], [[CAP_FSETID]], [[CAP_LINUX_IMMUTABLE]] (sedan Linux 2.6.30), [[CAP_MAC_OVERRIDE]] och [[CAP_MKNOD]] (sedan Linux 2.6.30). Om filsystemets UID ändras från icke-noll till 0, aktiveras någon av dessa kapaciteter som är aktiverade i den tillåtna uppsättningen i den effektiva uppsättningen.		* Om filsystemets användar-ID ändras från 0 till icke-noll (se [[setfsuid(2)]]), rensas följande kapaciteter från den effektiva uppsättningen: [[CAP_CHOWN]], [[CAP_DAC_OVERRIDE]], [[CAP_DAC_READ_SEARCH]], '''CAP_FOWNER''', '''CAP_FSETID''', '''CAP_LINUX_IMMUTABLE''' (sedan Linux 2.6.30), [[CAP_MAC_OVERRIDE]] och [[CAP_MKNOD]] (sedan Linux 2.6.30). Om filsystemets UID ändras från icke-noll till 0, aktiveras någon av dessa kapaciteter som är aktiverade i den tillåtna uppsättningen i den effektiva uppsättningen.

	Om en tråd som har ett 0-värde för en eller flera av sina användar-ID:n vill förhindra att dess tillåtna kapacitetsuppsättning rensas när den återställer alla sina användar-ID:n till icke-nollvärden, kan den göra det genom att använda [[SECBIT_KEEP_CAPS]] [[securebits]]-flaggan som beskrivs nedan.		Om en tråd som har ett 0-värde för en eller flera av sina användar-ID:n vill förhindra att dess tillåtna kapacitetsuppsättning rensas när den återställer alla sina användar-ID:n till icke-nollvärden, kan den göra det genom att använda [[SECBIT_KEEP_CAPS]] [[securebits]]-flaggan som beskrivs nedan.

Admin den 23 november 2024 kl. 08.24

2024-11-23T08:24:21Z

Visa ändringar

Admin: /* ANMÄRKNINGAR */

2024-11-23T08:21:50Z

ANMÄRKNINGAR

← Äldre version		Versionen från 23 november 2024 kl. 08.21
Rad 531:		Rad 531:
	När du försöker strace(1) binärer som har kapaciteter (eller set-user-ID-root-binärer) kan du finna -u <användarnamn>-alternativet användbart. Något i stil med:		När du försöker strace(1) binärer som har kapaciteter (eller set-user-ID-root-binärer) kan du finna -u <användarnamn>-alternativet användbart. Något i stil med:

	~~```~~		''$ sudo strace -o trace.log -u ceci ./myprivprog''
	$ sudo strace -o trace.log -u ceci ./myprivprog
	~~```~~

	Från Linux 2.5.27 till Linux 2.6.26 var kapaciteter en valfri kärnkomponent och kunde aktiveras/inaktiveras via CONFIG_SECURITY_CAPABILITIES-kärnkonfigurationsalternativet.		Från Linux 2.5.27 till Linux 2.6.26 var kapaciteter en valfri kärnkomponent och kunde aktiveras/inaktiveras via CONFIG_SECURITY_CAPABILITIES-kärnkonfigurationsalternativet.

Admin: /* COLOFON */

2024-11-23T08:21:10Z

COLOFON

← Äldre version		Versionen från 23 november 2024 kl. 08.21
Rad 555:		Rad 555:
	Denna sida är en del av man-pages (Linux-kärnan och C-bibliotekets användarutrymmesgränssnittsdokumentation) projektet. Information om projektet kan hittas på ⟨https://www.kernel.org/doc/man-pages/⟩. Om du har en felrapport för denna manualsida, se ⟨https://git.kernel.org/pub/scm/docs/man-pages/man-pages.git/tree/CONTRIBUTING⟩. Denna sida erhölls från tarbollen man-pages-6.9.1.tar.gz hämtad från ⟨https://mirrors.edge.kernel.org/pub/linux/docs/man-pages/⟩ den 2024-06-26. Om du upptäcker några renderingsproblem i denna HTML-version av sidan, eller om du tror att det finns en bättre eller mer uppdaterad källa för sidan, eller om du har korrigeringar eller förbättringar av informationen i denna COLOFON (som inte är en del av den ursprungliga manualsidan), skicka ett mail till man-pages@man7.org		Denna sida är en del av man-pages (Linux-kärnan och C-bibliotekets användarutrymmesgränssnittsdokumentation) projektet. Information om projektet kan hittas på ⟨https://www.kernel.org/doc/man-pages/⟩. Om du har en felrapport för denna manualsida, se ⟨https://git.kernel.org/pub/scm/docs/man-pages/man-pages.git/tree/CONTRIBUTING⟩. Denna sida erhölls från tarbollen man-pages-6.9.1.tar.gz hämtad från ⟨https://mirrors.edge.kernel.org/pub/linux/docs/man-pages/⟩ den 2024-06-26. Om du upptäcker några renderingsproblem i denna HTML-version av sidan, eller om du tror att det finns en bättre eller mer uppdaterad källa för sidan, eller om du har korrigeringar eller förbättringar av informationen i denna COLOFON (som inte är en del av den ursprungliga manualsidan), skicka ett mail till man-pages@man7.org

	~~Linux man-pages 6.9.1 2024-06-13 Capabilities(7)~~

	Sidor som refererar till denna sida: capsh(1), homectl(1), setpriv(1), systemd-analyze(1), systemd-nspawn(1), adjtimex(2), capget(2), clone(2), execve(2), fcntl(2), fork(2), getgroups(2), getpriority(2), getrlimit(2), gettimeofday(2), intro(2), ioperm(2), iopl(2), ioprio_set(2), keyctl(2), kill(2), mlock(2), mount_setattr(2), msgctl(2), msgget(2), msgop(2), nice(2), pciconfig_read(2), PR_GET_KEEPCAPS(2const), PR_GET_SECUREBITS(2const), process_madvise(2), PR_SET_DUMPABLE(2const), PR_SET_KEEPCAPS(2const), PR_SET_PDEATHSIG(2const), PR_SET_SECUREBITS(2const), ptrace(2), reboot(2), request_key(2), sched_setaffinity(2), sched_setattr(2), sched_setparam(2), sched_setscheduler(2), semctl(2), semget(2), semop(2), seteuid(2), setfsgid(2), setfsuid(2), setgid(2), setresuid(2), setreuid(2), setuid(2), shmctl(2), shmget(2), shmop(2), spu_create(2), spu_run(2), stat(2), statx(2), stime(2), syslog(2), uselib(2), vhangup(2), cap_clear(3), cap_copy_ext(3), cap_from_text(3), cap_get_file(3), cap_get_proc(3), cap_iab(3), cap_init(3), cap_launch(3), capng_apply(3), capng_apply_caps_fd(3), capng_capability_to_name(3), capng_change_id(3), capng_clear(3), capng_fill(3), capng_get_caps_fd(3), capng_get_caps_process(3), capng_get_rootid(3), capng_have_capabilities(3), capng_have_capability(3), capng_lock(3), capng_name_to_capability(3), capng_print_caps_numeric(3), capng_print_caps_text(3), capng_restore_state(3), capng_save_state(3), capng_setpid(3), capng_set_rootid(3), capng_update(3), capng_updatev(3), getauxval(3), getenv(3), intro(3), killpg(3), libcap(3), pthread_create(3), sd_bus_add_object(3), sd_bus_creds_get_pid(3), sd_bus_query_sender_creds(3), core(5), lxc.container.conf(5), proc_pid_status(5), proc_sys_kernel(5), systemd.exec(5), systemd.nspawn(5), systemd-system.conf(5), systemd.unit(5), arp(7), credentials(7), ddp(7), ip(7), libdrop_ambient(7), namespaces(7), netdevice(7), netlink(7), packet(7), path_resolution(7), pid_namespaces(7), pthreads(7), raw(7), sched(7), socket(7), spufs(7), systemd.journal-fields(7), unix(7), user_namespaces(7), vsock(7), xattr(7), captest(8), captree(8), filecap(8), getcap(8), getpcaps(8), ip-vrf(8), ld.so(8), mount.fuse3(8), netcap(8), pam_systemd(8), pscap(8), setcap(8)		Sidor som refererar till denna sida: capsh(1), homectl(1), setpriv(1), systemd-analyze(1), systemd-nspawn(1), adjtimex(2), capget(2), clone(2), execve(2), fcntl(2), fork(2), getgroups(2), getpriority(2), getrlimit(2), gettimeofday(2), intro(2), ioperm(2), iopl(2), ioprio_set(2), keyctl(2), kill(2), mlock(2), mount_setattr(2), msgctl(2), msgget(2), msgop(2), nice(2), pciconfig_read(2), PR_GET_KEEPCAPS(2const), PR_GET_SECUREBITS(2const), process_madvise(2), PR_SET_DUMPABLE(2const), PR_SET_KEEPCAPS(2const), PR_SET_PDEATHSIG(2const), PR_SET_SECUREBITS(2const), ptrace(2), reboot(2), request_key(2), sched_setaffinity(2), sched_setattr(2), sched_setparam(2), sched_setscheduler(2), semctl(2), semget(2), semop(2), seteuid(2), setfsgid(2), setfsuid(2), setgid(2), setresuid(2), setreuid(2), setuid(2), shmctl(2), shmget(2), shmop(2), spu_create(2), spu_run(2), stat(2), statx(2), stime(2), syslog(2), uselib(2), vhangup(2), cap_clear(3), cap_copy_ext(3), cap_from_text(3), cap_get_file(3), cap_get_proc(3), cap_iab(3), cap_init(3), cap_launch(3), capng_apply(3), capng_apply_caps_fd(3), capng_capability_to_name(3), capng_change_id(3), capng_clear(3), capng_fill(3), capng_get_caps_fd(3), capng_get_caps_process(3), capng_get_rootid(3), capng_have_capabilities(3), capng_have_capability(3), capng_lock(3), capng_name_to_capability(3), capng_print_caps_numeric(3), capng_print_caps_text(3), capng_restore_state(3), capng_save_state(3), capng_setpid(3), capng_set_rootid(3), capng_update(3), capng_updatev(3), getauxval(3), getenv(3), intro(3), killpg(3), libcap(3), pthread_create(3), sd_bus_add_object(3), sd_bus_creds_get_pid(3), sd_bus_query_sender_creds(3), core(5), lxc.container.conf(5), proc_pid_status(5), proc_sys_kernel(5), systemd.exec(5), systemd.nspawn(5), systemd-system.conf(5), systemd.unit(5), arp(7), credentials(7), ddp(7), ip(7), libdrop_ambient(7), namespaces(7), netdevice(7), netlink(7), packet(7), path_resolution(7), pid_namespaces(7), pthreads(7), raw(7), sched(7), socket(7), spufs(7), systemd.journal-fields(7), unix(7), user_namespaces(7), vsock(7), xattr(7), captest(8), captree(8), filecap(8), getcap(8), getpcaps(8), ip-vrf(8), ld.so(8), mount.fuse3(8), netcap(8), pam_systemd(8), pscap(8), setcap(8)

			= Sidslut =

			Orginalhemsidan på Engelska :https://man7.org/linux/man-pages/man7/capabilities.7.html
			<HR>
			Det här är en maskinöversättning av Linux man sidor till svenska. Om du hittar fel är vi tacksamma om du rapporterar dem via formuläret som finns på
			https://www.linux.se/kontaka-linux-se/
			<BR><BR>Tack till [https://pc-service.se PC Service] som har sponsrat [https://www.linux.se Linux.se] med webbhotell.

			[[Kategori:Övrig Informationsmanual]]
			[[Kategori:Linuxmanual]]

Admin: Skapade sidan med 'Capabilities(7) Manual för Diverse Information Capabilities(7) == NAMN == capabilities - översikt över Linux-kapaciteter == BESKRIVNING == För att utföra behörighetskontroller skiljer traditionella UNIX-implementationer mellan två kategorier av processer: privilegierade processer (vars effektiva användar-ID är 0, kallad superuser eller root) och oprivilegierade processer (vars effektiva UID är icke-noll). Privilegierade processer kringgår alla kärnan...'

2024-11-23T08:19:42Z

Skapade sidan med 'Capabilities(7) Manual för Diverse Information Capabilities(7) == NAMN == capabilities - översikt över Linux-kapaciteter == BESKRIVNING == För att utföra behörighetskontroller skiljer traditionella UNIX-implementationer mellan två kategorier av processer: privilegierade processer (vars effektiva användar-ID är 0, kallad superuser eller root) och oprivilegierade processer (vars effektiva UID är icke-noll). Privilegierade processer kringgår alla kärnan...'

Visa ändringar