通常のユーザーがネットワーク名前空間を使用できるスクリプトは何ですか？

ネットワーク名前空間（netns）を使用するアーキテクチャがあります。通常のユーザーがこれらのネットワークでいくつかの操作を行えるようにしたいと思います。

この投稿にnetns-exec.sh触発され、実行されたスクリプトを記述できます：sudo

ip netns exec $1 su $USER -c "$2"

私のsudoerファイルに追加します：

user ALL=(ALL) /path/to/netns-exec.sh

しかし、私はそれが非常にいので、それについて完全に悪夢を抱く可能性があります。通常のユーザーが名前空間を使用できるようにするより良いソリューションはありますか？ユーザーをいくつかの有用なグループに入れることは可能ですか？私はそれについて検索しましたが、何も見つかりませんでした。

解決策1

「netns」というグループを追加するだけで、必要なすべてのユーザーを追加できます。次に、root：netnsに所有権を与え、グループに読み取り/実行機能を与えます。

言い換えれば：

# New group netns
sudo groupadd --system netns

# Add root to "netns", not sure if needed
sudo usermod -aG netns root

# Do this for every needed user
sudo usermod -aG netns $UserName

# Change ownership to root, grant rw acces to group netns
sudo chown root:netns /path/to/netns-exec.sh
sudo chmod 633 /path/to/netns-exec.sh

解決策2

この解決策は簡単です。この例に示すように、sudoersファイルを編集する必要があります。

user ALL=(ALL) /bin/ip netns

個人的には、通常のユーザーが異なるネットワーク名前空間でコマンドを実行することを許可する可能性があるかどうかはわかりませんが、この注釈付きのシェルスクリプトはニーズに適している場合があります。

#!/bin/bash
# ip netns wrapper script, nns.
# Usage: nns nsname cmdline

case "${1}" in
    do)
        shift # remove "do"
        NSNAME="${1}" # remember nsname
        shift # remove nsname to get argument list for su -c
        [ -z "${NSNAME}" -o -z "${1}" ] && exit 1 # if either nsname or arglist is empty - error out
        echo ip netns exec "${NSNAME}" su "${SUDO_USER}" -c "${*}" # execute, ${*} merges separate arguments into single word for su/sh -c parsing. See with strace.
    ;;
    *)
        SCRIPTNAME="${0}" # remember script full path
        exec sudo "${SCRIPTNAME}" do "${@}" # run it through sudo with elevated privileges
    ;;
esac

どこかにインストールして/usr/bin、ユーザーが実行できるようにします。

Firejail は仕事をすることができます

firejail --noprofile --netns=nameOfNetSpace command

あるいは、Netns-Exec、NsutilsおよびNetnsはrootを必要としません