Proxmox Ubuntu lxc Container mit snapd / Fehlermeldungen

[redjohn]

Hallo zusammen,

Ich habe ein Problem mit snapd in Ubuntu 18.04 lxc Containern. In meiner lxc config habe ich bereits folgendes hInzugefügt.

features: nesting=1,fuse=1,mount=nfs
lxc.cap.drop:
I can start the snapd container with rocketchat server but in syslog I have the following error:

 audit: type=1400 audit(1567013721.993:14130357): apparmor="DENIED" operation="open" namespace="root//lxc-111_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/549/net/netstat" pid=2002 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0

audit: type=1400 audit(1567013803.088:14130495): apparmor="STATUS" operation="profile_load" label="lxc-111_</var/lib/lxc>//&:lxc-111_<-var-lib-lxc>:unconfined" name="/usr/bin/man" pid=26358 comm="apparmor_parser"

audit: type=1400 audit(1567013816.156:14130559): apparmor="DENIED" operation="ptrace" namespace="root//lxc-111_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-server" pid=27441 comm="ps" requested_mask="trace" denied_mask="trace" peer="unconfined"

Ich weiß nicht was ich noch machen soll mein syslog läuft damit voll. Hunderte Einträge. Hat jemand eine Idee?

Vielen Dank

Oliver

 

[Stefan_R]

Es wirkt als wäre das eine weitere Auswirkung von diesem Bug. Verschwinden die Meldungen wenn man den dortigen Workaround verwendet? (also lxc.apparmor.raw: mount, inkl. dem Beistrich in die LXC config)

 

[redjohn]

Es wirkt als wäre das eine weitere Auswirkung von diesem Bug. Verschwinden die Meldungen wenn man den dortigen Workaround verwendet? (also lxc.apparmor.raw: mount, inkl. dem Beistrich in die LXC config)

Hallo und schon mal Danke für den Tipp. Leider weiterhin Fehler im syslog:

 kernel: [14505760.850615] audit: type=1400 audit(1567521562.111:15147905): apparmor="DENIED" operation="ptrace" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-server" pid=12277 comm="ps" requested_mask="trace" denied_mask="trace" peer="unconfined"
 kernel: [14505767.574700] audit: type=1400 audit(1567521568.995:15147933): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/snmp" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
 kernel: [14505779.526579] audit: type=1400 audit(1567521580.995:15147956): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/netstat" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
 kernel: [14505781.526475] audit: type=1400 audit(1567521582.995:15147960): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/netstat" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
 kernel: [14505784.526617] audit: type=1400 audit(1567521585.995:15147966): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/netstat" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0

Noch eine Idee wie ich das abstellen kann? Ich würde ungern mein syslog damit "voll müllen".

Danke,

Oliver

 

[Stefan_R]

Nach etwas testen konnte ich den Fehler reproduzieren - es handelt sich allerdings um keinen LXC Fehler, die Meldungen stammen von einem Fehlerhaften AppArmor profil für die MongoDB Instanz von rocketchat.

Ein workaround wäre, das Profil manuell zu bearbeiten:

$ editor /var/lib/snapd/apparmor/profiles/snap.rocketchat-server.rocketchat-mongo

# am Ende, vor der letzten '}':
@{PROC}/*/net/snmp
@{PROC}/*/net/netstat

Man beachte allerdings, dass diese Regeln jederzeit von snap gelöscht oder wiederhergestellt werden können.

Es ist wahrscheinlich sinnvoller, das als upstream bug bei Rocket.Chat oder snap zu melden.

PS: Bitte vermeide das Posten in mehreren Foren - führt nur zu Verwirrung.

 

[redjohn]

Nach etwas testen konnte ich den Fehler reproduzieren - es handelt sich allerdings um keinen LXC Fehler, die Meldungen stammen von einem Fehlerhaften AppArmor profil für die MongoDB Instanz von rocketchat.

Ein workaround wäre, das Profil manuell zu bearbeiten:

$ editor /var/lib/snapd/apparmor/profiles/snap.rocketchat-server.rocketchat-mongo

# am Ende, vor der letzten '}':
@{PROC}/*/net/snmp
@{PROC}/*/net/netstat

Man beachte allerdings, dass diese Regeln jederzeit von snap gelöscht oder wiederhergestellt werden können.

Es ist wahrscheinlich sinnvoller, das als upstream bug bei Rocket.Chat oder snap zu melden.

PS: Bitte vermeide das Posten in mehreren Foren - führt nur zu Verwirrung.

Hallo,

nochmals danke für deine Antwort. Leider sind die Fehlermeldungen auch nach einfügen der Zeilen immer noch vorhanden.

kernel: [14505760.850615] audit: type=1400 audit(1567521562.111:15147905): apparmor="DENIED" operation="ptrace" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-server" pid=12277 comm="ps" requested_mask="trace" denied_mask="trace" peer="unconfined"
 kernel: [14505767.574700] audit: type=1400 audit(1567521568.995:15147933): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/snmp" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
 kernel: [14505779.526579] audit: type=1400 audit(1567521580.995:15147956): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/netstat" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
 kernel: [14505781.526475] audit: type=1400 audit(1567521582.995:15147960): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/netstat" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
 kernel: [14505784.526617] audit: type=1400 audit(1567521585.995:15147966): apparmor="DENIED" operation="open" namespace="root//lxc-900_<-var-lib-lxc>" profile="snap.rocketchat-server.rocketchat-mongo" name="/proc/625/net/netstat" pid=11748 comm="ftdc" requested_mask="r" denied_mask="r" fsuid=0 ouid=0

 

[Stefan_R]

Ein Neustart des containers ist notwendig um die Regeln zu laden. Die ptrace Meldungen werden nicht davon beeinflusst, dafür wären weitere Regeln notwendig.

Allerdings, wie gesagt, handelt es sich dabei um ein Problem mit dem Snap-Paket von Rocket.Chat, und der Workaround ist ohne jede Garantie zu betrachten. In meinen Tests konnte er die Meldungen reduzieren, man muss sich aber natürlich auch gewisser Sicherheitsrisiken bewusst sein, die u.U. dadurch auftreten.