Hallo,
nach dem Update von Proxmox 8 auf Proxmox 9 ist die Rechteverwaltung der LXCs restriktiver geworden, so dass ein isc-dhcp-server seinen Dienst nicht mehr starten darf.
Die entsprechenden Meldung im syslog/kernellog stammen von AppArmor:
Eine Möglichkeit ist den LXC "privileged" zu machen, das ist in diesem Falle eventuell noch vertretbar bei anderen Servern, die damals leider als LXC eingerichtet wurden und deren Migration auf eine VM mit Mühen und Ausfällen verbunden wären, den Empfehlungen nach nicht.
Nun zur Frage:
Aus Sicherheitsgründen möchte ich verzichten die Server alle privileged zu konfigurieren, wenn der Unterschied nicht nur marginal ist. In Proxmox 8 liefen die Server. D.h. sie hatten auch wenn sie unprivileged waren die notwendigen Berechtigungen. Wie groß ist mit der Perspektive auf Sicherheit der Unterschied zwischen einem Proxmox 8 "unprivileged" und einem Proxmox 9 "privileged" Container? Reise ich damit Türen auf, die besser verschlossen blieben oder waren diese vor dem Update schon offen und was extra dazu kommt ist marginal?
Lohnt es sich bei einem Sambaserver das AppArmor Profil anzupassen, statt den Container privileged zu stellen oder kommt das im Endeffekt auf das gleiche heraus?
Falls es sich lohnt hat jemand eine gute Anleitung, wie ich von den Fehlermeldungen (z.B. oben) auf ein funktionierendes Profil für einen LXC komme?
Viele Grüße
Edit: Wie sieht die Zukunft aus? Wird aus Möglichkeiten geben ohne viel Gefrickel die LXC Permissions anzupassen oder sollte man sich langfristig auf VMs umorientieren?
nach dem Update von Proxmox 8 auf Proxmox 9 ist die Rechteverwaltung der LXCs restriktiver geworden, so dass ein isc-dhcp-server seinen Dienst nicht mehr starten darf.
Die entsprechenden Meldung im syslog/kernellog stammen von AppArmor:
Code:
/var/log/syslog.4:Jan 12 11:01:09 ServerX kernel: [238161.738933] audit: type=1400 audit(1768212069.542:207): apparmor="DENIED" operation="create" class="net" namespace="root//lxc-xy_<-var-lib-lxc>" profile="/usr/sbin/dhcpd" pid=3228808 com
m="dhcpd" family="inet" sock_type="raw" protocol=1 requested="create" denied="create"
/var/log/syslog.4:Jan 12 11:01:09 ServerX kernel: [238161.743319] audit: type=1400 audit(1768212069.546:208): apparmor="DENIED" operation="capable" class="cap" namespace="root//lxc-xy_<-var-lib-lxc>" profile="/usr/sbin/dhcpd" pid=3228808 co
mm="dhcpd" capability=1 capname="dac_override"Eine Möglichkeit ist den LXC "privileged" zu machen, das ist in diesem Falle eventuell noch vertretbar bei anderen Servern, die damals leider als LXC eingerichtet wurden und deren Migration auf eine VM mit Mühen und Ausfällen verbunden wären, den Empfehlungen nach nicht.
Nun zur Frage:
Aus Sicherheitsgründen möchte ich verzichten die Server alle privileged zu konfigurieren, wenn der Unterschied nicht nur marginal ist. In Proxmox 8 liefen die Server. D.h. sie hatten auch wenn sie unprivileged waren die notwendigen Berechtigungen. Wie groß ist mit der Perspektive auf Sicherheit der Unterschied zwischen einem Proxmox 8 "unprivileged" und einem Proxmox 9 "privileged" Container? Reise ich damit Türen auf, die besser verschlossen blieben oder waren diese vor dem Update schon offen und was extra dazu kommt ist marginal?
Lohnt es sich bei einem Sambaserver das AppArmor Profil anzupassen, statt den Container privileged zu stellen oder kommt das im Endeffekt auf das gleiche heraus?
Falls es sich lohnt hat jemand eine gute Anleitung, wie ich von den Fehlermeldungen (z.B. oben) auf ein funktionierendes Profil für einen LXC komme?
Viele Grüße
Edit: Wie sieht die Zukunft aus? Wird aus Möglichkeiten geben ohne viel Gefrickel die LXC Permissions anzupassen oder sollte man sich langfristig auf VMs umorientieren?
Last edited: