Virtualisierter PBS Server kann alle Disks am Host sehen

[s.kiriakidis]

Hallo zusammen,

ich habe letztens den Proxmox Backup Server als unprivileged LXC Container installiert und eine Sicht auf die Storage/Disks Ansicht in der Web GUI hat mich zum nachdenken angestoßen. Wie kann es sein dass der LXC Container alle Platten sehen kann?


Anbei die Optionen des LXC Containers:


Vielen Dank vorab.
Stelios

 

[CoolTux]

Das liegt in der Natur der Containertechnologie. Es wird der Kernel des Hosts genommen und dieser wiederum hat Zugriff auf die Hardware. AppAmmor und cgroups2 kümmern sich dann um die Einschränkungen.

 

[s.kiriakidis]

Danke für die schnelle Rückmeldung! Würde bedeuten, ich kann ganz einfach die Disk vom Hypervisor in den LXC Container mounten? Schreitet dann appammor und cgroups2 ein und verhindern das?

 

[CoolTux]

Wie weit Du da kommst kann ich leider nicht sagen. Probier aus.

 

[fabian]

prozesse im container sehen einiges der host hardware (auch NICs, CPU, memory, nicht nur Storage), aber koennen abgesehen von den definierten ausnahmen im rahmen der container config nix damit anfangen.

 

[s.kiriakidis]

prozesse im container sehen einiges der host hardware (auch NICs, CPU, memory, nicht nur Storage), aber koennen abgesehen von den definierten ausnahmen im rahmen der container config nix damit anfangen.

Verstanden! Vielen Dank! Ich bestätige es nochmal mit eigenen Worten: er kann die Config files auslesen, in denen zu sehen ist welche Disk angeschlossen sind, kann aber nicht drauf zugreifen.

 

[CoolTux]

Verstanden! Vielen Dank! Ich bestätige es nochmal mit eigenen Worten: er kann die Config files auslesen, in denen zu sehen ist welche Disk angeschlossen sind, kann aber nicht drauf zugreifen.

Nein! Er kann die Hardware sehen, nicht die Konfigfiles. Alles was der Host-Kernel sehen kann kann auch der Container sehen.

 

[s.kiriakidis]

Nein! Er kann die Hardware sehen, nicht die Konfigfiles. Alles was der Host-Kernel sehen kann kann auch der Container sehen.

Ah okay! Stellt sich die Frage was den Container davon abhält auf diese Hardware zuzugreifen und zu verwenden.

 

[fabian]

die kombination aus namespaces, apparmor, seccomp und cgroups die sich landlaeufig "container" nennt

 

[s.kiriakidis]

die kombination aus namespaces, apparmor, seccomp und cgroups die sich landlaeufig "container" nennt

Lese ich mich ein. Danke Dir!