マニュアル - 章 7: capabilities

名前

capabilities - Linux のケーパビリティ (capability) の概要

説明

権限のチェックを行う観点から見ると、伝統的な Unix の実装ではプロセスは二つのカテゴリに分類できる: 特権プロセス (実効ユーザID が 0 のプロセス。ユーザID 0 はスーパーユーザや root と呼ばれる) と 非特権 プロセス (実効ユーザID が 0 以外のプロセス) である。非特権プロセスでは、プロセスの資格情報 (通常は、実効UID 、実効GID と追加のグループリスト) に基づく権限チェックが行われるのに対し、特権プロセスでは全てのカーネルの権限チェックがバイパスされる。

バージョン 2.2 以降の Linux では、これまでスーパーユーザに結び付けられてきた権限を、いくつかのグループに分割している。これらのグループは ケーパビリティ(capability) と呼ばれ、グループ毎に独立に有効、無効を設定できる。ケーパビリティはスレッド単位の属性である。

ケーパビリティのリスト

Linux 2.6.14 では、以下のケーパビリティが実装されている:

CAP_AUDIT_CONTROL (Linux 2.6.11 以降)

カーネル監査 (audit) の有効無効の切り替え、監査のフィルタ・ルールの変更、監査の状況やフィルタ・ルールの取得ができる。

CAP_AUDIT_WRITE (Linux 2.6.11 以降)

カーネル監査のログにレコードを書き込むことができる。

CAP_CHOWN

ファイルの UID とGID を任意に変更することができる (chown(2) 参照)。

CAP_DAC_OVERRIDE

ファイルの読み出し、書き込み、実行の権限チェックがバイパスされる (DAC = "discretionary access control (任意のアクセス制御)")。

CAP_DAC_READ_SEARCH

ファイルの読み出し権限のチェックとディレクトリの読み出しと実行の権限チェックがバイパスされる。

CAP_FOWNER

通常、プロセスのファイルシステム UID がファイルの UID に一致することが要求される操作 (例えば chmod(2), utime(2)) における権限チェックをバイパスする。但し、 CAP_DAC_OVERRIDE か CAP_DAC_READ_SEARCH によりチェックが行われる操作は除く。任意のファイルに対して拡張ファイル属性を設定することができる (chattr(1) 参照)。任意のファイルに対してアクセス制御リスト (ACL) を設定できる。ファイルの削除の際にディレクトリのスティッキービットを無視する。 open(2) や fcntl(2) で任意のファイルに対して O_NOATIME を指定できる。

CAP_FSETID

ファイルが変更されたときにset-user-ID とset-group-ID ビットをクリアしない。呼び出し元プロセスのファイルシステム GID と追加の GID のいずれとも GID が一致しないファイルに対して set-group-ID ビットを設定することができる。

CAP_IPC_LOCK

メモリーのロック (mlock(2), mlockall(2), mmap(2), shmctl(2)) を行うことができる。

CAP_IPC_OWNER

System V IPC オブジェクトに対する操作に関して権限チェックがバイパスされる。

CAP_KILL

シグナルを送信する際に権限チェックがバイパスされる (kill(2) 参照)。 KDSIGACCEPT ioctl の使用も認められる。

CAP_LEASE

(Linux 2.4 以降) 任意のファイルに対してファイルリースを設定することができる (fcntl(2) 参照)。

CAP_LINUX_IMMUTABLE

拡張ファイル属性 EXT2_APPEND_FL と EXT2_IMMUTABLE_FL を設定できる (chattr(1) 参照)。

CAP_MKNOD

(Linux 2.4 以降) mknod(2) を使用してスペシャル・ファイルを作成することができる。

CAP_NET_ADMIN

各種のネットワーク関連の操作を許可する。 (例えば、特権が必要なソケットオプションを設定する、マルチキャストを有効にする、インターフェースを設定する、ルーティングテーブルを変更するなど)

CAP_NET_BIND_SERVICE

インターネットドメインで予約されている (1024 番未満の) ソケットポート番号を使用できる。

CAP_NET_BROADCAST

(未使用) ソケットのブロードキャストと、マルチキャストの待ち受けを行うことができる。

CAP_NET_RAW

RAW ソケットと PACKET ソケットを使用することができる。

CAP_SETGID

プロセスの GID と追加の GID リストに対する任意の操作を行うことができる。 Unix ドメインソケット経由でソケットの資格情報 (credential) を渡す際に偽の GID を渡すことができる。

CAP_SETPCAP

呼び出し元が許可されているケーパビリティセットに含まれる任意のケーパビリティを、他のプロセスに付与したり、削除したりできる。

CAP_SETUID

プロセスの UID に対する任意の操作 (setuid(2), setreuid(2), setresuid(2), setfsuid(2)) を行うことができる。 Unix ドメインソケット経由でソケットの資格情報 (credential) を渡す際に偽の UID を渡すことができる。

CAP_SYS_ADMIN

以下のシステム管理用の操作を行うことができる: quotactl(2), mount(2), umount(2), swapon(2) , swapoff(2) , sethostname(2), setdomainname(2), 任意の System V IPC オブジェクトに対する IPC_SET と IPC_RMID 操作。拡張属性 trusted と security に対する操作を実行できる (attr(5) 参照)。 lookup_dcookie(2) を呼び出すことができる。 ioprio_set(2) を使って I/O スケジューリングクラス IOPRIO_CLASS_RT, IOPRIO_CLASS_IDLE を割り当てることができる。 keyctl(2) の KEYCTL_CHOWN と KEYCTL_SETPERM 操作を実行できる。ソケットの資格情報 (credential) を渡す際に偽の UID を渡すことができる。ファイルをオープンするシステムコール (例えば accept(2), execve(2), open(2), pipe(2)) でシステム全体でオープンできるファイル数の上限 /proc/sys/fs/file-max を超えることができる (このケーパビリティがない場合、この上限に達するとこれらのシステムコールは ENFILE エラーで失敗する)。 clone(2) と unshare(2) で CLONE_NEWNS フラグを利用できる。

CAP_SYS_BOOT

reboot(2) と kexec_load(2) を呼び出すことができる。

CAP_SYS_CHROOT

chroot(2). を呼び出すことができる。

CAP_SYS_MODULE

カーネルモジュールのロード、アンロードを行うことができる。ケーパビリティバウンディングセット (capability bounding set) を変更できる。 (init_module(2) と delete_module(2) を参照のこと)

CAP_SYS_NICE

プロセスの nice 値の引き上げ (nice(2), setpriority(2)) や、任意のプロセスの nice 値の変更を行うことができる。呼び出し元プロセスに対するリアルタイム・スケジューリングポリシーの設定と、任意のプロセスに対するスケジューリングポリシーと優先度の設定を行うことができる (sched_setscheduler(2), sched_setparam(2))。任意のプロセスに対する CPU affinity を設定できる (sched_setaffinity(2))。任意のプロセスに対して I/O スケジューリングクラスと優先度を設定できる (ioprio_set(2))。 migrate_pages(2) を任意のプロセスに適用でき、プロセスを任意のノードに移動できる。 move_pages(2) を任意のプロセスに対して行うことができる。 mbind(2) と move_pages(2) で MPOL_MF_MOVE_ALL フラグを使用できる。

CAP_SYS_PACCT

acct(2) を呼び出すことができる。

CAP_SYS_PTRACE

任意のプロセスに対し ptrace(2) を用いたトレースを行うことができる。

CAP_SYS_RAWIO

I/O ポート操作を行うことができる (iopl(2) 、 ioperm(2))。 /proc/kcore にアクセスできる。

CAP_SYS_RESOURCE

以下の操作を行うことができる: ext2 ファイルシステム上で予約されている領域の使用。 ext3 のジャーナル機能を制御する ioctl(2) の使用。ディスク quota の上限を上書き。リソース上限を増やすこと (setrlimit(2))。 RLIMIT_NPROC によるリソース制限の上書き。メッセージキューに関する上限 msg_qbytes を /proc/sys/kernel/msgmnb に指定されている上限よりも大きく設定すること (msgop(2) と msgctl(2) 参照)

CAP_SYS_TIME

システムクロックを変更できる (settimeofday(2), stime(2), adjtimex(2))。リアルタイム (ハードウェア) クロックを変更できる。

CAP_SYS_TTY_CONFIG

vhangup(2) を呼び出すことができる。

ケーパビリティセット

各スレッドは以下の 3種類のケーパビリティセットを持つ。各々のケーパビリティセットは上記のケーパビリティの組み合わせである (全てのケーパビリティが無効でもよい)。

実効 (effective):

カーネルがスレッドの権限をチェックするときに使用するケーパビリティ集合。

許可 (permitted):

そのスレッドが持つことを許可されているケーパビリティ集合 (言い換えると、実効ケーパビリティセットと継承可能ケーパビリティセットのスーパーセットである)。許可ケーパビリティセットから削除してしまったケーパビリティは、 (set-user-ID-root プログラムを execv(2) しない限りは) もう一度獲得することはできない。

継承可能 (inheritable):

execve(2) を前後で保持されるケーパビリティ集合。

fork(2) で作成される子プロセスは、親のケーパビリティセットのコピーを継承する。 execve(2) 中のケーパビリティの扱いについては下記を参照のこと。

capset(2) を使うと、プロセスは自分自身のケーパビリティセットを操作することができる。また、 CAP_SETPCAP ケーパビリティを持っている場合には、別プロセスのスレッドのケーパビリティセットも操作できる。

ケーパビリティバウンディングセット

プログラムが実行されると、、許可ケーパビリティと実効ケーパビリティには、 /proc/sys/kernel/cap-bound で定義されている、 ケーパビリティバウンディングセット (capability bounding set) といわれる値と論理和をとった後の値が設定される。このパラメータを使うことで、これより後で実行されるすべてのプログラムに与えられるケーパビリティに対するシステム全体での制限を設けることができる。 (間違えやすいが、ビットマスク形式のパラメータは、 /proc/sys/kernel/cap-bound では符号付きの十進数で表示される。)

init プロセスのみが、ケーパビリティバウンディングセットを設定することが出来る。また、スーパーユーザーであれば、このセットからビットをクリアする操作だけは実行できる。

通常のシステムでは、ケーパビリティバウンディングセットは、 CAP_SETPCAP が無効になっている。この制限を取り去るには (取り去るのは危険!)、 include/linux/capability.h 内の CAP_INIT_EFF_SET の定義を修正し、カーネルを再構築する必要がある。

ケーパビリティバウンディングセット機能の Linux への追加はカーネル 2.2.11 から開始された。

現在と将来の実装

完全な形のケーパビリティを実装するには、以下の要件を満たす必要がある：

1. 全ての特権操作について、カーネルはそのスレッドの実効ケーパビリティセットに必要なケーパビリティがあるかを確認する。

2. カーネルで、あるスレッドのケーパビリティセットを変更したり、取得したりできるシステムコールが提供される。

3. ファイルシステムが、実行可能ファイルにケーパビリティを付与でき、ファイル実行時にそのケーパビリティをプロセスが取得できるような機能をサポートする。

Linux 2.6.6 では、最初の 2つの要件のみが満たされている。

結局、スレッドのケーパビリティセットと連結され、 execve(2) 後のスレッドのケーパビリティセットを決定する 3 つのケーパビリティセットと、実効可能なファイルとを関係付けることが出来る。

継承可能 (Inheritable) (以前の 許容 (Allowed)):

このセットは、スレッドの継承可能ケーパビリティセットと論理和がとられ、 execve(2) の後でスレッドに認められる継承可能ケーパビリティの決定に使われる。

許可 (Permitted) (以前の強制 (Forced)):

スレッドの継承可能ケーパビリティに関わらず、そのスレッドに自動的に認められるケーパビリティ。

実効 (Effective):

そのスレッドの新しい許可 (permitted) ケーパビリティセットのうち、新しい実効ケーパビリティセットでもセットされるケーパビリティ。 (通常、 F(effective) はすべて 0 か、すべて 1 のどちらかとなる)

当面は、ファイル・ケーパビリティセットが実装されていないので、 execve(2) 時には以下のような処理が行われる：

1. 3種類のファイルケーパビリティセットは初期状態ではクリアされているものと仮定される。

2. set-user-ID-root プログラムが実行された場合か、プロセスの実ユーザID が 0 (root) の場合は、継承可能と許可のファイルケーパビリティセットがすべて 1 (つまり、全てのケーパビリティが有効) にセットされる。

3. set-user-ID-root プログラムが実行された場合は、実効ファイルケーパビリティセットが全て 1 にセットされる。

exec() 中のケーパビリティの変化

execve(2) 中は、カーネルはプロセスの新しいケーパビリティを次のアルゴリズムを用いて計算する：

P’(permitted) = (P(inheritable) & F(inheritable)) | (F(permitted) & cap_bset)

P’(effective) = P’(permitted) & F(effective)

P’(inheritable) = P(inheritable) [つまり、変更されない]

各変数の意味は以下の通り:

P execve(2) 前のスレッドのケーパビリティセットの値

P’ execve(2) 後のスレッドのケーパビリティセットの値

F ファイルケーパビリティセットの値

cap_bset ケーパビリティバウンディングセットの値

現在の実装では、このアルゴリズムの結果、プロセスが set-user-ID-root プログラムを execve(2) するとき、または実効 UID が 0 のプロセスがプログラムを execve(2) するとき、許可と実効のケーパビリティセットの全ケーパビリティ (正確には、ケーパビリティバウンディングセットによるマスクで除外されるもの (つまり CAP_SETPCAP) 以外の全てのケーパビリティ) を取得することになる。これにより、伝統的な Unix システムと同じ振る舞いができるようになっている。

ユーザ ID 変更のケーパビリティへの影響

ユーザ ID が 0 と 0 以外の間で変化する際の振る舞いを従来と同じにするため、スレッドの実 UID、実効 UID、保存 set-user-ID、ファイルシステム UID が (setuid(2), setresuid(2) などを使って) 変更された際に、カーネルはそのスレッドのケーパビリティセットに以下の変更を行う:

1. UID の変更前には実 UID、実効 UID、保存 set-user-ID のうち少なくとも一つが 0 で、変更後に実 UID、実効 UID、保存 set-user-ID がすべて 0 以外の値になった場合、許可と実効のケーパビリティセットの全ケーパビリティをクリアする。

2. 実効 UID が 0 から 0 以外に変更された場合、実効ケーパビリティセットの全ケーパビリティをクリアする。

3. 実効 UID が 0 以外から 0 に変更された場合、許可ケーパビリティセットの内容を実効ケーパビリティセットにコピーする。

4. ファイルシステム UID が 0 から 0 以外に変更された場合 (setfsuid(2) 参照)、実効ケーパビリティセットの以下のケーパビリティがクリアされる: CAP_CHOWN, CAP_DAC_OVERRIDE, CAP_DAC_READ_SEARCH, CAP_FOWNER, CAP_FSETID. ファイルシステム UID が 0 以外から 0 に変更された場合、上記のケーパビリティのうち許可ケーパビリティセットで有効になっているものが実効ケーパビリティセットで有効にされる。

各種 UID のうち少なくとも一つが 0 であるスレッドが、その UID の全てが 0 以外になったときに許可ケーパビリティセットがクリアされないようにしたい場合には、 prctl() の PR_SET_KEEPCAPS 操作を使えばよい。

準拠

ケーパビリティに関する標準はないが、 Linux のケーパビリティは廃案になった POSIX.1e 草案に基づいて実装されている。

注意

libcap パッケージは、スレッドのケーパビリティを設定・取得するためのルーチン群を提供している。これらのインタフェースは、 capset(2) と capget(2) が提供するインターフェースと比べて、より使いやすく、変更される可能性が少ない。

バグ

今のところ、実行可能ファイルにケーパビリティを結び付ける機能をサポートしているファイルシステムはない。

マニュアル - 章 7: capabilities

openSUSE 11.2 "エメラルド" Linux オンラインマニュアルページ

名前

説明

ケーパビリティのリスト

ケーパビリティセット

ケーパビリティバウンディングセット

現在と将来の実装

exec() 中のケーパビリティの変化

ユーザ ID 変更のケーパビリティへの影響

準拠

注意

バグ

関連項目

コンテンツ

CAP_AUDIT_CONTROL (Linux 2.6.11 以降)
	カーネル監査 (audit) の有効無効の切り替え、監査のフィルタ・ルールの変更、監査の状況やフィルタ・ルールの取得ができる。
CAP_AUDIT_WRITE (Linux 2.6.11 以降)
	カーネル監査のログにレコードを書き込むことができる。
CAP_CHOWN
	ファイルの UID とGID を任意に変更することができる (chown(2) 参照)。
CAP_DAC_OVERRIDE
	ファイルの読み出し、書き込み、実行の権限チェックがバイパスされる (DAC = "discretionary access control (任意のアクセス制御)")。
CAP_DAC_READ_SEARCH
	ファイルの読み出し権限のチェックとディレクトリの読み出しと実行の権限チェックがバイパスされる。
CAP_FOWNER
	通常、プロセスのファイルシステム UID がファイルの UID に一致することが要求される操作 (例えば chmod(2), utime(2)) における権限チェックをバイパスする。但し、 CAP_DAC_OVERRIDE か CAP_DAC_READ_SEARCH によりチェックが行われる操作は除く。任意のファイルに対して拡張ファイル属性を設定することができる (chattr(1) 参照)。任意のファイルに対してアクセス制御リスト (ACL) を設定できる。ファイルの削除の際にディレクトリのスティッキービットを無視する。 open(2) や fcntl(2) で任意のファイルに対して O_NOATIME を指定できる。
CAP_FSETID
	ファイルが変更されたときにset-user-ID とset-group-ID ビットをクリアしない。呼び出し元プロセスのファイルシステム GID と追加の GID のいずれとも GID が一致しないファイルに対して set-group-ID ビットを設定することができる。
CAP_IPC_LOCK
	メモリーのロック (mlock(2), mlockall(2), mmap(2), shmctl(2)) を行うことができる。
CAP_IPC_OWNER
	System V IPC オブジェクトに対する操作に関して権限チェックがバイパスされる。
CAP_KILL
	シグナルを送信する際に権限チェックがバイパスされる (kill(2) 参照)。 KDSIGACCEPT ioctl の使用も認められる。
CAP_LEASE
	(Linux 2.4 以降) 任意のファイルに対してファイルリースを設定することができる (fcntl(2) 参照)。
CAP_LINUX_IMMUTABLE
	拡張ファイル属性 EXT2_APPEND_FL と EXT2_IMMUTABLE_FL を設定できる (chattr(1) 参照)。
CAP_MKNOD
	(Linux 2.4 以降) mknod(2) を使用してスペシャル・ファイルを作成することができる。
CAP_NET_ADMIN
	各種のネットワーク関連の操作を許可する。 (例えば、特権が必要なソケットオプションを設定する、マルチキャストを有効にする、インターフェースを設定する、ルーティングテーブルを変更するなど)
CAP_NET_BIND_SERVICE
	インターネットドメインで予約されている (1024 番未満の) ソケットポート番号を使用できる。
CAP_NET_BROADCAST
	(未使用) ソケットのブロードキャストと、マルチキャストの待ち受けを行うことができる。
CAP_NET_RAW
	RAW ソケットと PACKET ソケットを使用することができる。
CAP_SETGID
	プロセスの GID と追加の GID リストに対する任意の操作を行うことができる。 Unix ドメインソケット経由でソケットの資格情報 (credential) を渡す際に偽の GID を渡すことができる。
CAP_SETPCAP
	呼び出し元が許可されているケーパビリティセットに含まれる任意のケーパビリティを、他のプロセスに付与したり、削除したりできる。
CAP_SETUID
	プロセスの UID に対する任意の操作 (setuid(2), setreuid(2), setresuid(2), setfsuid(2)) を行うことができる。 Unix ドメインソケット経由でソケットの資格情報 (credential) を渡す際に偽の UID を渡すことができる。
CAP_SYS_ADMIN
	以下のシステム管理用の操作を行うことができる: quotactl(2), mount(2), umount(2), swapon(2) , swapoff(2) , sethostname(2), setdomainname(2), 任意の System V IPC オブジェクトに対する IPC_SET と IPC_RMID 操作。拡張属性 trusted と security に対する操作を実行できる (attr(5) 参照)。 lookup_dcookie(2) を呼び出すことができる。 ioprio_set(2) を使って I/O スケジューリングクラス IOPRIO_CLASS_RT, IOPRIO_CLASS_IDLE を割り当てることができる。 keyctl(2) の KEYCTL_CHOWN と KEYCTL_SETPERM 操作を実行できる。ソケットの資格情報 (credential) を渡す際に偽の UID を渡すことができる。ファイルをオープンするシステムコール (例えば accept(2), execve(2), open(2), pipe(2)) でシステム全体でオープンできるファイル数の上限 /proc/sys/fs/file-max を超えることができる (このケーパビリティがない場合、この上限に達するとこれらのシステムコールは ENFILE エラーで失敗する)。 clone(2) と unshare(2) で CLONE_NEWNS フラグを利用できる。
CAP_SYS_BOOT
	reboot(2) と kexec_load(2) を呼び出すことができる。
CAP_SYS_CHROOT
	chroot(2). を呼び出すことができる。
CAP_SYS_MODULE
	カーネルモジュールのロード、アンロードを行うことができる。ケーパビリティバウンディングセット (capability bounding set) を変更できる。 (init_module(2) と delete_module(2) を参照のこと)
CAP_SYS_NICE
	プロセスの nice 値の引き上げ (nice(2), setpriority(2)) や、任意のプロセスの nice 値の変更を行うことができる。呼び出し元プロセスに対するリアルタイム・スケジューリングポリシーの設定と、任意のプロセスに対するスケジューリングポリシーと優先度の設定を行うことができる (sched_setscheduler(2), sched_setparam(2))。任意のプロセスに対する CPU affinity を設定できる (sched_setaffinity(2))。任意のプロセスに対して I/O スケジューリングクラスと優先度を設定できる (ioprio_set(2))。 migrate_pages(2) を任意のプロセスに適用でき、プロセスを任意のノードに移動できる。 move_pages(2) を任意のプロセスに対して行うことができる。 mbind(2) と move_pages(2) で MPOL_MF_MOVE_ALL フラグを使用できる。
CAP_SYS_PACCT
	acct(2) を呼び出すことができる。
CAP_SYS_PTRACE
	任意のプロセスに対し ptrace(2) を用いたトレースを行うことができる。
CAP_SYS_RAWIO
	I/O ポート操作を行うことができる (iopl(2) 、 ioperm(2))。 /proc/kcore にアクセスできる。
CAP_SYS_RESOURCE
	以下の操作を行うことができる: ext2 ファイルシステム上で予約されている領域の使用。 ext3 のジャーナル機能を制御する ioctl(2) の使用。ディスク quota の上限を上書き。リソース上限を増やすこと (setrlimit(2))。 RLIMIT_NPROC によるリソース制限の上書き。メッセージキューに関する上限 msg_qbytes を /proc/sys/kernel/msgmnb に指定されている上限よりも大きく設定すること (msgop(2) と msgctl(2) 参照)
CAP_SYS_TIME
	システムクロックを変更できる (settimeofday(2), stime(2), adjtimex(2))。リアルタイム (ハードウェア) クロックを変更できる。
CAP_SYS_TTY_CONFIG
	vhangup(2) を呼び出すことができる。

実効 (effective):
	カーネルがスレッドの権限をチェックするときに使用するケーパビリティ集合。
許可 (permitted):
	そのスレッドが持つことを許可されているケーパビリティ集合 (言い換えると、実効ケーパビリティセットと継承可能ケーパビリティセットのスーパーセットである)。許可ケーパビリティセットから削除してしまったケーパビリティは、 (set-user-ID-root プログラムを execv(2) しない限りは) もう一度獲得することはできない。
継承可能 (inheritable):
	execve(2) を前後で保持されるケーパビリティ集合。

1.	全ての特権操作について、カーネルはそのスレッドの実効ケーパビリティセットに必要なケーパビリティがあるかを確認する。
2.	カーネルで、あるスレッドのケーパビリティセットを変更したり、取得したりできるシステムコールが提供される。
3.	ファイルシステムが、実行可能ファイルにケーパビリティを付与でき、ファイル実行時にそのケーパビリティをプロセスが取得できるような機能をサポートする。

継承可能 (Inheritable) (以前の許容 (Allowed)):
	このセットは、スレッドの継承可能ケーパビリティセットと論理和がとられ、 execve(2) の後でスレッドに認められる継承可能ケーパビリティの決定に使われる。
許可 (Permitted) (以前の強制 (Forced)):
	スレッドの継承可能ケーパビリティに関わらず、そのスレッドに自動的に認められるケーパビリティ。
実効 (Effective):
	そのスレッドの新しい許可 (permitted) ケーパビリティセットのうち、新しい実効ケーパビリティセットでもセットされるケーパビリティ。 (通常、 F(effective) はすべて 0 か、すべて 1 のどちらかとなる)

1.	3種類のファイルケーパビリティセットは初期状態ではクリアされているものと仮定される。
2.	set-user-ID-root プログラムが実行された場合か、プロセスの実ユーザID が 0 (root) の場合は、継承可能と許可のファイルケーパビリティセットがすべて 1 (つまり、全てのケーパビリティが有効) にセットされる。
3.	set-user-ID-root プログラムが実行された場合は、実効ファイルケーパビリティセットが全て 1 にセットされる。

P	execve(2) 前のスレッドのケーパビリティセットの値
P’	execve(2) 後のスレッドのケーパビリティセットの値
F	ファイルケーパビリティセットの値
cap_bset	ケーパビリティバウンディングセットの値

1.	UID の変更前には実 UID、実効 UID、保存 set-user-ID のうち少なくとも一つが 0 で、変更後に実 UID、実効 UID、保存 set-user-ID がすべて 0 以外の値になった場合、許可と実効のケーパビリティセットの全ケーパビリティをクリアする。
2.	実効 UID が 0 から 0 以外に変更された場合、実効ケーパビリティセットの全ケーパビリティをクリアする。
3.	実効 UID が 0 以外から 0 に変更された場合、許可ケーパビリティセットの内容を実効ケーパビリティセットにコピーする。
4.	ファイルシステム UID が 0 から 0 以外に変更された場合 (setfsuid(2) 参照)、実効ケーパビリティセットの以下のケーパビリティがクリアされる: CAP_CHOWN, CAP_DAC_OVERRIDE, CAP_DAC_READ_SEARCH, CAP_FOWNER, CAP_FSETID. ファイルシステム UID が 0 以外から 0 に変更された場合、上記のケーパビリティのうち許可ケーパビリティセットで有効になっているものが実効ケーパビリティセットで有効にされる。

マニュアル - 章 7: capabilities

openSUSE 11.2 "エメラルド" Linux オンラインマニュアル ページ

名前

説明

ケーパビリティのリスト

ケーパビリティセット

ケーパビリティバウンディングセット

現在と将来の実装

exec() 中のケーパビリティの変化

ユーザ ID 変更のケーパビリティへの影響

準拠

注意

バグ

関連項目

コンテンツ

openSUSE 11.2 "エメラルド" Linux オンラインマニュアルページ