diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index 26e64baa7..b9ebe6058 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -1392,20 +1392,21 @@ by KATOH Yasufumi fstab フォーマットの一行と同じフォーマットのマウントポイントの指定をします。 - fstab フォーマットに加えて、LXC ではマウントに対して独自の 2 つのオプションが使えます。 + 加えて、LXC では rslave や rprivate といったマウント・プロパゲーションオプションと、独自の 3 つのマウントオプションが使えます。 は、マウントが失敗しても失敗を返さずに無視します。 と は、マウントポイントをマウントする際にディレクトリもしくはファイルを作成します。 を指定すると、マウントされたコンテナルートからの相対パスとして取得されます。 @@ -1439,138 +1440,159 @@ by KATOH Yasufumi - - - (or ): /proc を読み書き可能でマウントします。 ただし、/proc/sys と /proc/sysrq-trigger は、セキュリティとコンテナの隔離の目的でリードオンリーで再マウントされます。 - : + /proc を読み書き可能でマウントします。 - - - (or ): /sys/devices/virtual/net のみ書き込み可能で、その他の /sys はリードオンリーでマウントします。 - : + /sys を、セキュリティとコンテナの隔離の目的でリードオンリーでマウントします。 - : + /sys を読み書き可能でマウントします。 - - - : - /sys/fs/cgroup を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、その cgroup の名前でその中にサブディレクトリを作製し、そのコンテナ自身の cgroup をそのディレクトリにバインドマウントします。 - コンテナは自身の cgroup ディレクトリに書き込みが可能ですが、親ディレクトリはリードオンリーで再マウントされているため書き込めません。 + + /sys/fs/cgroup を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層に対するディレクトリを作成し、それらの階層内に cgroup 名でサブディレクトリを作成し、そのコンテナ自身の cgroup をそのディレクトリにバインドマウントします。コンテナは自身の cgroup ディレクトリに書き込みが可能ですが、親ディレクトリはリードオンリーで再マウントされているため書き込めません。 + - + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。 - --> + + + : + と同様にマウントされますが、全てリードオンリーでマウントされます。 + - + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。 - --> + + + : + と同様にマウントされますが、全て読み書き可能でマウントされます。 コンテナ自身の cgroup に至るまでのパスも書き込み可能になることに注意が必要ですが、cgroup ファイルシステムにはならず、 /sys/fs/cgroup の tmpfs の一部分になるでしょう。 + + : + + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。 + + + + + + (マウントオプションなしの場合): - (マウントオプションなしの場合): コンテナが CAP_SYS_ADMIN ケーパビリティを保持している場合、 となります。保持していない場合、 となります。 - - - : /sys/fs/cgroup を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、ホストからコンテナまでの階層構造を全てバインドマウントし、コンテナ自身の cgroup を除いてリードオンリーにします。 と比べると、コンテナ自身の cgroup に至るまでの全てのパスが tmpfs の下層のシンプルなディレクトリとなり、コンテナ自身の cgroup の外ではリードオンリーになりますが、/sys/fs/cgroup/$hierarchy はホストの全ての cgroup 階層構造を含みます。 これにより、コンテナにはかなりの情報が漏洩します。 - : + と同様にマウントされますが、全てリードオンリーでマウントされます。 - - - : と同様にマウントされますが、全て読み書き可能でマウントされます。 この場合、コンテナは自身の cgroup から脱出する可能性があることに注意してください (コンテナが CAP_SYS_ADMIN を持ち、自身で cgroup ファイルシステムをマウント可能なら、いずれにせよそのようにするかもしれないことにも注意してください)。 @@ -1806,23 +1821,41 @@ by KATOH Yasufumi - + - 設定する control group の値を指定します。 - サブシステム名は、control group のそのままの名前です。 - 許される名前や値の書式は LXC が指示することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。 - 例えば + legacy な cgroup 階層 (cgroup v1) に設定する値を指定します。コントローラー名は control group そのままの名前です。 + 許される名前や値の書式は LXC が指定することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。 + 例えば のようになります。 + + + + + + + + + + + 単一の cgroup 階層 (cgroup v2) に設定する値を指定します。 + 許される名前や値の書式は LXC が指定することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。 + 例えば のようになります。 @@ -1919,17 +1952,95 @@ by KATOH Yasufumi - 名前空間の継承 <!-- Namespace Inheritance --> + 名前空間 <!-- Namespace --> - 他のコンテナやプロセスから名前空間を継承できます。 + A namespace can be cloned (), + kept () or shared + (). + --> + 名前空間は clone したり ()、keep したり ()、share したり () できます。 - + + + + + + コンテナ作成時に作成する名前空間を指定します。作成する名前空間はスペース区切りのリストで指定します。指定する名前空間名は、/proc/PID/ns ディレクトリ内に存在する標準の名前空間指示子でなければなりません。 + を明示的に設定していない場合は、カーネルがサポートするすべての名前空間と現在の設定が使われます。 + + + + + 新しいマウント、ネット、IPC 名前空間を作る場合は と指定します。 + + + + + + + + + + + + コンテナが、作成元のプロセスから継承する (新しい名前空間を作らずに元のプロセスの名前空間のまま実行する) 名前空間を指定します。継承する名前空間はスペース区切りのリストで指定します。指定する名前空間名は、/proc/PID/ns ディレクトリ内に存在する標準の名前空間指示子でなければなりません。 はブラックリストを指定するオプションです。つまり、コンテナに特定の名前空間を使い続けることを強制したい場合に便利です。 + + + + + ネットワーク、ユーザ、IPC 名前空間を元のプロセスの名前空間のままで実行したい場合は と指定します。 + + + + + PID 名前空間を共有すると、ほとんどの init で動作しない可能性があることに注意してください。 + + + + + コンテナが新しいユーザ名前空間をリクエストし、そのコンテナがネットワーク名前空間は継承したい場合は、ユーザ名前空間は継承する必要があることに注意してください。 + + + + + + + @@ -1945,30 +2056,30 @@ by KATOH Yasufumi - 他のプロセスから名前空間を継承するには、 の値をプロセスの PID に設定します。例えば のようになります。 + 他のプロセスから名前空間を継承するには、 の値をプロセスの PID に設定します。例えば のようになります。 - 他のコンテナから名前空間を継承するには、 の値をコンテナ名に設定します。例えば のようになります。 + 他のコンテナから名前空間を継承するには、 の値をコンテナ名に設定します。例えば のようになります。 - 標準の liblxc のパスとは異なるコンテナパスに存在する他のコンテナから名前空間を継承するには、 をそのコンテナのフルパスで指定します。例えば のようになります。 + 標準の liblxc のパスとは異なるコンテナパスに存在する他のコンテナから名前空間を継承するには、 をそのコンテナのフルパスで指定します。例えば のようになります。