Ошибка rootless установщика

Oct  8 02:31:19 vega kernel[0]: Sandbox: coresymbolicatio(540) System Policy: deny(1) file-write-create /System/Library/Caches/com.apple.coresymbolicationd
Oct  8 02:31:19 vega coresymbolicationd[540]: /System/Library/Caches/com.apple.coresymbolicationd/data does not exist, resetting cache
Oct  8 02:31:19 vega coresymbolicationd[540]: Attempt to create [/System/Library/Caches/com.apple.coresymbolicationd/data] failed. No such file or directory
Oct  8 02:31:19 vega coresymbolicationd[540]: Unable to open storage at /System/Library/Caches/com.apple.coresymbolicationd/data
Oct  8 02:31:19 vega com.apple.xpc.launchd[1] (com.apple.coresymbolicationd): Service only ran for 0 seconds. Pushing respawn out by 10 seconds.

Служба com.apple.coresymbolicationd не может открыть папку /System/Library/Caches/com.apple.coresymbolicationd/data, которая не существует и сама пытается её создать, но получает отлуп. Так почему же служба com.apple.coresymbolicationd, которая, по идее, запущена от имени рута не может создать необходимую папку в /System/Library/Caches/? Потому что, в El Capitan ничто не может модифицировать папку /System. По умолчанию в ОС включен режим «rootless» или по другому: работает System Integrity Protection (SIP), которая не даёт никому, даже руту, модифицировать системные файлы.

Выключаем rootless. Перезагружаемся в recovery mode (reboot & Cmd+R). Идём в терминал:

#csrutil disable

Перезагружаемся. Теперь защита снята и com.apple.coresymbolicationd создаст всё, что ей необходимо. После чего заведутся и уведомления и кнопка share.
После чего я вернулся обратно в recovery mode и на всякий случай включил «rootless».

#csrutil enable

Скорее всего, Apple поправит эту ошибку в ближайших обновлениях к OS X. Кроме того, есть файл
/System/Library/Sandbox/rootless.conf, но документации на него я, пока, не нашёл. Если, кто-то разберётся и сможет решить сию проблему используя его, то мне это будет очень любопытно.

Замечу, что после включения «rootless» служба продолжает «гадить» в system.log

Oct 12 01:24:49 vega kernel[0]: Sandbox: coresymbolicatio(6994) System Policy: deny(1) file-write-data /System/Library/Caches/com.apple.coresymbolicationd/data
Oct 12 01:24:49 vega kernel[0]: Sandbox: coresymbolicatio(6994) System Policy: deny(1) file-write-unlink /System/Library/Caches/com.apple.coresymbolicationd/data
Oct 12 01:24:49 vega kernel[0]: Sandbox: coresymbolicatio(6994) System Policy: deny(1) file-write-data /System/Library/Caches/com.apple.coresymbolicationd/data
Oct 12 01:24:49 vega coresymbolicationd[6994]: /System/Library/Caches/com.apple.coresymbolicationd/data did not validate, resetting cache
Oct 12 01:24:49 vega coresymbolicationd[6994]: Attempt to create [/System/Library/Caches/com.apple.coresymbolicationd/data] failed. Operation not permitted
Oct 12 01:24:49 vega coresymbolicationd[6994]: Unable to open storage at /System/Library/Caches/com.apple.coresymbolicationd/data
Oct 12 01:24:49 vega com.apple.xpc.launchd[1] (com.apple.coresymbolicationd): Service only ran for 0 seconds. Pushing respawn out by 10 seconds.

Что несколько настораживает, но тем не менее всё работает.

Напоследок: так и осталось неясным, после чего возникает данная проблема. Мне кажется, что она возникает после установки Xcode. Но опять повторять всё мне не хочется.

Надеюсь эта статья сбережёт кому-то нервы и время.
Желаю всем успешной рабочей недели.
Спасибо за внимание!

UPD.
Мне так и не удалось воспроизвести ошибку. Пытался воспроизвести, как после обновлениея до 10.11 с 10.10, так и после «чистой» установки. Такое ощущение, что важна, именно, фаза луны. Итого: счёт 2:1 в пользу Apple.

Обычно, когда вы устанавливаете Docker, ему требуются полные права (root) на на хост-системе.

Это создает потенциальную проблему безопасности, поскольку и контейнеры, и служба (демон) Docker будут работать от имени root.

При установке Docker без права root только демон Docker работает от имени root, а контейнеры запускаются от имени обычных пользователей.

Проект Podman с открытым исходным кодом был создан для запуска контейнеров без права root.

Это заставило Docker поддержать аналогичную функцию, чтобы контейнеры запускались от имени обычных пользователей, но служба Docker (демон) работала от имени root.

Теперь такая установка без root доступна в самом Docker, и вам не нужно использовать Podman только для этой функции.

В этой статье я расскажу, как установить Docker без root-доступа.

Но прежде чем я покажу вам эти шаги, давайте сначала обсудим недостатки этого режима.

Недостаток запуска Docker в режиме rootless

Самым большим недостатком этого режима является сеть, и эти проблемы также присутствуют в Podman.

По умолчанию Docker использует сеть rootless.

Потому что она самая быстрая, со скоростью до 30 Гбит/с и поддержкой IPv4 и IPv6.

Но у нее есть проблемы.

Контейнеры не будут иметь внешнего IP запроса, и все запросы будут появляться с адреса 127.0.0.1.

Это большая проблема, особенно если вы хотите установить защиту, ограничивающую распределенные атаки типа “отказ в обслуживании” (DDOS), поскольку все запросы будут казаться исходящими с одного и того же адреса.

Использование режима Slirp4netns решает эту проблему и показывает исходный адрес запроса.

Но у него также есть две проблемы.

• IPv6 не поддерживается.
• Скорость намного ниже (около 7 Гбит/с).

Предварительные условия

Режим rootless не использует стикибитс.

Для них нужны newuidmap и newgidmap.

Поэтому вы должны убедиться, что пакеты newuidmap и newgidmap установлены (через пакет uidmap) и что имеется 65 536 дочерних идентификаторов.

newuidmap проверяет, что вызывающая программа является владельцем процесса, на который указывает pid.

id -u
1001

whoami
testuser

Затем проверьте, что пользователь имеет 65 536 под UID:

grep ^$(whoami): /etc/subuid
testuser:231072:65536

grep ^$(whoami): /etc/subgid
testuser:231072:65536

Что означают эти числа? Первое число – это первый разрешенный к использованию id, а следующие говорят о том, сколько у вас id. Например, начинается с 231072, id 0 означает 231072, а id 1000 означает 241072.

Установите пакеты dbus-user-session и fuse-overlayfs.

На Debian используйте команду для установки dbus-user-session:

sudo apt install -y dbus-user-session

Затем установите fuse-overlayfs:

sudo apt install -y fuse-overlayfs

Рекомендуется использовать ядро 5.11 или более позднюю версию.

Установка docker в режиме rootless

Теперь вы переходите к основной части.

Первая часть – это обычная установка Docker, а затем переходим к установке в режиме rootless.

Я покажу шаги на Ubuntu.

Установите обычные пакеты Docker

Сначала удалите все существующие пакеты Docker:

 sudo apt remove docker docker-engine docker.io containerd runc

А затем установите Docker на Ubuntu:

 sudo apt update
 sudo apt install docker-ce docker-ce-cli containerd.io

Убедитесь, что Docker Engine установлен правильно, запустив образ hello-world.

sudo docker run hello-world

Учитывая, что демон Docker уже запущен, сначала отключите его.

sudo systemctl disable --now docker.service docker.socket

Установите пакет rootless

Теперь установите пакет docker-ce-rootless-extras, загрузив официальный скрипт с помощью команды curl:

curl -fsSL https://get.docker.com/rootless | sh

Следуйте предложениям на экране, и у вас будет установлен Docker рутлесс,

В конце экрана установки будут написаны две вещи: export=xxx.

Скопируйте и вставьте их в последний файл .bashrc или, если вы используете ZSH, в файл .zshrc.

Запустите rc-файлы, которые вы только что изменили.

После завершения установки запустите демон docker rootless:

 systemctl --user start docker

Автоматический запуск rootless docker при каждом запуске:

systemctl --user enable docker
sudo loginctl enable-linger $(whoami)

см. также:

• 🐳 Как запустить Grafana в контейнере Docker
• 🐳 Docker, containerd и CRI-O: Углубленное сравнение
• 🕵️ Как локально развернуть зеркало базы уязвимостей NIST в Docker
• 🐳 Как и зачем запускать Docker внутри Docker
• 🐳 Docker secret – как использовать в Docker Swarm и Docker Compose
• 🐳 Где хранятся образы, контейнеры и тома Docker в хост-системе Linux?
• 🐳 Как отредактировать конфигурационный файл внутри Docker контейнера?
• 🐳 3 довольно неизвестных команды Docker, которые помогут вам в самых различных ситуациях