From 20216658232f481654ef860de1a959facdbee660 Mon Sep 17 00:00:00 2001 From: KATOH Yasufumi Date: Wed, 21 Feb 2018 18:34:23 +0900 Subject: [PATCH 1/6] doc: add lxc.cgroup2.* to Japanese lxc.container.conf(5) Update for commit 54860ed Signed-off-by: KATOH Yasufumi --- doc/ja/lxc.container.conf.sgml.in | 42 ++++++++++++++++++++++--------- 1 file changed, 30 insertions(+), 12 deletions(-) diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index 26e64baa7..a6391053e 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -1806,23 +1806,41 @@ by KATOH Yasufumi - + - 設定する control group の値を指定します。 - サブシステム名は、control group のそのままの名前です。 - 許される名前や値の書式は LXC が指示することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。 - 例えば + legacy な cgroup 階層 (cgroup v1) に設定する値を指定します。コントローラー名は control group そのままの名前です。 + 許される名前や値の書式は LXC が指定することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。 + 例えば のようになります。 + + + + + + + + + + + 単一の cgroup 階層 (cgroup v2) に設定する値を指定します。 + 許される名前や値の書式は LXC が指定することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。 + 例えば のようになります。 From 1fe33b7b9004674cdd4d1c6ec60f50e483c6d978 Mon Sep 17 00:00:00 2001 From: KATOH Yasufumi Date: Wed, 21 Feb 2018 18:37:33 +0900 Subject: [PATCH 2/6] doc: Update to lxc.namespace.share.* in Japanese lxc.container.conf(5) change from lxc.namespace.* to lxc.namespace.share.*. Update for commit b074bbf Signed-off-by: KATOH Yasufumi --- doc/ja/lxc.container.conf.sgml.in | 20 ++++++++++---------- 1 file changed, 10 insertions(+), 10 deletions(-) diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index a6391053e..145bfe597 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -1947,7 +1947,7 @@ by KATOH Yasufumi - + @@ -1963,30 +1963,30 @@ by KATOH Yasufumi - 他のプロセスから名前空間を継承するには、 の値をプロセスの PID に設定します。例えば のようになります。 + 他のプロセスから名前空間を継承するには、 の値をプロセスの PID に設定します。例えば のようになります。 - 他のコンテナから名前空間を継承するには、 の値をコンテナ名に設定します。例えば のようになります。 + 他のコンテナから名前空間を継承するには、 の値をコンテナ名に設定します。例えば のようになります。 - 標準の liblxc のパスとは異なるコンテナパスに存在する他のコンテナから名前空間を継承するには、 をそのコンテナのフルパスで指定します。例えば のようになります。 + 標準の liblxc のパスとは異なるコンテナパスに存在する他のコンテナから名前空間を継承するには、 をそのコンテナのフルパスで指定します。例えば のようになります。 From a2fbabedb2609a26913bc06f588e6b602b3e3bfe Mon Sep 17 00:00:00 2001 From: KATOH Yasufumi Date: Wed, 21 Feb 2018 19:27:28 +0900 Subject: [PATCH 3/6] doc: Add lxc.namespace.{clone,keep} to Japanese lxc.container.conf(5) Update for commit 46186ac Signed-off-by: KATOH Yasufumi --- doc/ja/lxc.container.conf.sgml.in | 86 +++++++++++++++++++++++++++++-- 1 file changed, 82 insertions(+), 4 deletions(-) diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index 145bfe597..f32202850 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -1937,14 +1937,92 @@ by KATOH Yasufumi - 名前空間の継承 <!-- Namespace Inheritance --> + 名前空間 <!-- Namespace --> - 他のコンテナやプロセスから名前空間を継承できます。 + A namespace can be cloned (), + kept () or shared + (). + --> + 名前空間は clone したり ()、keep したり ()、share したり () できます。 + + + + + + + + コンテナ作成時に作成する名前空間を指定します。作成する名前空間はスペース区切りのリストで指定します。指定する名前空間名は、/proc/PID/ns ディレクトリ内に存在する標準の名前空間指示子でなければなりません。 + を明示的に設定していない場合は、カーネルがサポートするすべての名前空間と現在の設定が使われます。 + + + + + 新しいマウント、ネット、IPC 名前空間を作る場合は と指定します。 + + + + + + + + + + + + コンテナが、作成元のプロセスから継承する (新しい名前空間を作らずに元のプロセスの名前空間のまま実行する) 名前空間を指定します。継承する名前空間はスペース区切りのリストで指定します。指定する名前空間名は、/proc/PID/ns ディレクトリ内に存在する標準の名前空間指示子でなければなりません。 はブラックリストを指定するオプションです。つまり、コンテナに特定の名前空間を使い続けることを強制したい場合に便利です。 + + + + + ネットワーク、ユーザ、IPC 名前空間を元のプロセスの名前空間のままで実行したい場合は と指定します。 + + + + + PID 名前空間を共有すると、ほとんどの init で動作しない可能性があることに注意してください。 + + + + + コンテナが新しいユーザ名前空間をリクエストし、そのコンテナがネットワーク名前空間は継承したい場合は、ユーザ名前空間は継承する必要があることに注意してください。 + + + + From 07410c63a43ebea689b99a9be5c9879b7894f2c7 Mon Sep 17 00:00:00 2001 From: KATOH Yasufumi Date: Wed, 21 Feb 2018 19:36:03 +0900 Subject: [PATCH 4/6] doc: Add the describe of mount propagation to Japanese lxc.container.conf(5) Update for commit d840039 Signed-off-by: KATOH Yasufumi --- doc/ja/lxc.container.conf.sgml.in | 7 ++++--- 1 file changed, 4 insertions(+), 3 deletions(-) diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index f32202850..041fc6d75 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -1392,20 +1392,21 @@ by KATOH Yasufumi fstab フォーマットの一行と同じフォーマットのマウントポイントの指定をします。 - fstab フォーマットに加えて、LXC ではマウントに対して独自の 2 つのオプションが使えます。 + 加えて、LXC では rslave や rprivate といったマウント・プロパゲーションオプションと、独自の 3 つのマウントオプションが使えます。 は、マウントが失敗しても失敗を返さずに無視します。 と は、マウントポイントをマウントする際にディレクトリもしくはファイルを作成します。 を指定すると、マウントされたコンテナルートからの相対パスとして取得されます。 From 3f163e459f85c7eee281f8a5f3491225686422de Mon Sep 17 00:00:00 2001 From: KATOH Yasufumi Date: Wed, 21 Feb 2018 20:12:59 +0900 Subject: [PATCH 5/6] doc: add "force" option of lxc.mount.auto to Japanese lxc.container.conf(5) Update for commit 3f69fb1, and and reduce commentnized English line. Signed-off-by: KATOH Yasufumi --- doc/ja/lxc.container.conf.sgml.in | 160 ++++++++++++++++-------------- 1 file changed, 87 insertions(+), 73 deletions(-) diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index 041fc6d75..20d912750 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -1440,138 +1440,159 @@ by KATOH Yasufumi - - - (or ): /proc を読み書き可能でマウントします。 ただし、/proc/sys と /proc/sysrq-trigger は、セキュリティとコンテナの隔離の目的でリードオンリーで再マウントされます。 - : + /proc を読み書き可能でマウントします。 - - - (or ): /sys/devices/virtual/net のみ書き込み可能で、その他の /sys はリードオンリーでマウントします。 - : + /sys を、セキュリティとコンテナの隔離の目的でリードオンリーでマウントします。 - : + /sys を読み書き可能でマウントします。 - - - : - /sys/fs/cgroup を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、その cgroup の名前でその中にサブディレクトリを作製し、そのコンテナ自身の cgroup をそのディレクトリにバインドマウントします。 - コンテナは自身の cgroup ディレクトリに書き込みが可能ですが、親ディレクトリはリードオンリーで再マウントされているため書き込めません。 + + /sys/fs/cgroup を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層に対するディレクトリを作成し、それらの階層内に cgroup 名でサブディレクトリを作成し、そのコンテナ自身の cgroup をそのディレクトリにバインドマウントします。コンテナは自身の cgroup ディレクトリに書き込みが可能ですが、親ディレクトリはリードオンリーで再マウントされているため書き込めません。 + - + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。 - --> + + + : + と同様にマウントされますが、全てリードオンリーでマウントされます。 + - + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。 - --> + + + : + と同様にマウントされますが、全て読み書き可能でマウントされます。 コンテナ自身の cgroup に至るまでのパスも書き込み可能になることに注意が必要ですが、cgroup ファイルシステムにはならず、 /sys/fs/cgroup の tmpfs の一部分になるでしょう。 + + : + + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。 + + + + + + (マウントオプションなしの場合): - (マウントオプションなしの場合): コンテナが CAP_SYS_ADMIN ケーパビリティを保持している場合、 となります。保持していない場合、 となります。 - - - : /sys/fs/cgroup を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、ホストからコンテナまでの階層構造を全てバインドマウントし、コンテナ自身の cgroup を除いてリードオンリーにします。 と比べると、コンテナ自身の cgroup に至るまでの全てのパスが tmpfs の下層のシンプルなディレクトリとなり、コンテナ自身の cgroup の外ではリードオンリーになりますが、/sys/fs/cgroup/$hierarchy はホストの全ての cgroup 階層構造を含みます。 これにより、コンテナにはかなりの情報が漏洩します。 - : + と同様にマウントされますが、全てリードオンリーでマウントされます。 - - - : と同様にマウントされますが、全て読み書き可能でマウントされます。 この場合、コンテナは自身の cgroup から脱出する可能性があることに注意してください (コンテナが CAP_SYS_ADMIN を持ち、自身で cgroup ファイルシステムをマウント可能なら、いずれにせよそのようにするかもしれないことにも注意してください)。 From 3e2bb54b2ec74a8b57a4472178463e426ce6c95b Mon Sep 17 00:00:00 2001 From: KATOH Yasufumi Date: Wed, 21 Feb 2018 20:17:15 +0900 Subject: [PATCH 6/6] doc: Improve Japanese translation in lxc.container.conf(5) Signed-off-by: KATOH Yasufumi --- doc/ja/lxc.container.conf.sgml.in | 6 +++--- 1 file changed, 3 insertions(+), 3 deletions(-) diff --git a/doc/ja/lxc.container.conf.sgml.in b/doc/ja/lxc.container.conf.sgml.in index 20d912750..b9ebe6058 100644 --- a/doc/ja/lxc.container.conf.sgml.in +++ b/doc/ja/lxc.container.conf.sgml.in @@ -1517,7 +1517,7 @@ by KATOH Yasufumi where LXC will normally leave mounting cgroups to the init binary of the container since it is perfectly safe to do so. --> - を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。 + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。 @@ -1543,7 +1543,7 @@ by KATOH Yasufumi where LXC will normally leave mounting cgroups to the init binary of the container since it is perfectly safe to do so. --> - を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。 + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。 @@ -1574,7 +1574,7 @@ by KATOH Yasufumi where LXC will normally leave mounting cgroups to the init binary of the container since it is perfectly safe to do so. --> - を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままにしておきます。 + を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。