# chroot 環境の構築
 
# 1. ディレクトリ構造の作成
sudo mkdir -p /srv/jail/{bin,lib,lib64,etc,usr/lib,dev,proc}
 
# 2. 必要なバイナリのコピー
sudo cp /bin/bash /srv/jail/bin/
sudo cp /bin/ls /srv/jail/bin/
sudo cp /bin/cat /srv/jail/bin/
 
# 3. 依存ライブラリのコピー
# ldd でライブラリを確認してコピー
ldd /bin/bash
# linux-vdso.so.1 (0x00007fff...)
# libtinfo.so.6 => /lib/x86_64-linux-gnu/libtinfo.so.6
# libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6
# /lib64/ld-linux-x86-64.so.2
 
sudo cp /lib/x86_64-linux-gnu/libtinfo.so.6 /srv/jail/lib/
sudo cp /lib/x86_64-linux-gnu/libc.so.6 /srv/jail/lib/
sudo cp /lib64/ld-linux-x86-64.so.2 /srv/jail/lib64/
 
# 4. chroot に入る
sudo chroot /srv/jail /bin/bash
# → / は /srv/jail を指す
ls /        # bin lib lib64 etc usr dev proc
# → /srv/jail の外にはアクセスできない
 
# 5. 脱獄の例（root権限がある場合）
# ※ 教育目的のみ。実際のシステムでは試さないこと
mkdir /tmp/escape
chroot /tmp/escape
cd ../../../..   # 真のルートに到達
chroot .         # 真のルートに chroot
# → chroot はセキュリティ境界としては不十分
 
# chroot の実務的な使い方:
# - ビルド環境の隔離（debootstrap + chroot）
# - BIND DNS サーバーの隔離
# - パッケージのビルド環境
# - 壊れたシステムの修復（rescue mode）

# PID Namespace の作成と確認
 
# 新しい PID Namespace でシェルを起動
sudo unshare --pid --fork --mount-proc bash
echo $$      # PID 1
ps aux       # Namespace 内のプロセスのみ表示
# USER  PID %CPU %MEM    VSZ   RSS TTY  STAT START   TIME COMMAND
# root    1  0.0  0.0   8532  5240 pts/0 S   12:00   0:00 bash
# root    2  0.0  0.0  10068  3456 pts/0 R+  12:00   0:00 ps aux
 
# 別のターミナルから確認
ps aux | grep bash  # ホストでは別の PID で見える
 
# --fork が必要な理由:
# unshare 自体は新しい Namespace に入るが、
# PID Namespace は子プロセスから有効になるため
# --fork で新しいプロセスを作成する必要がある

# Network Namespace の操作
 
# Namespace の作成
sudo ip netns add test-ns
 
# Namespace の一覧
ip netns list
 
# Namespace 内でコマンド実行
sudo ip netns exec test-ns ip addr
# → lo インターフェースのみ（DOWN状態）
 
# veth ペアの作成と設定
sudo ip link add veth-host type veth peer name veth-ns
sudo ip link set veth-ns netns test-ns
 
# ホスト側の設定
sudo ip addr add 10.0.0.1/24 dev veth-host
sudo ip link set veth-host up
 
# Namespace 側の設定
sudo ip netns exec test-ns ip addr add 10.0.0.2/24 dev veth-ns
sudo ip netns exec test-ns ip link set veth-ns up
sudo ip netns exec test-ns ip link set lo up
 
# 疎通確認
ping 10.0.0.2                              # ホスト → Namespace
sudo ip netns exec test-ns ping 10.0.0.1   # Namespace → ホスト
 
# Namespace からインターネット接続（NAT設定）
sudo ip netns exec test-ns ip route add default via 10.0.0.1
sudo iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j MASQUERADE
sudo sysctl -w net.ipv4.ip_forward=1
 
# Namespace 内で独立したファイアウォール
sudo ip netns exec test-ns iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo ip netns exec test-ns iptables -A INPUT -j DROP
 
# Namespace の削除
sudo ip netns delete test-ns

# Mount Namespace の操作
 
# 新しい Mount Namespace を作成
sudo unshare --mount bash
 
# Namespace 内で tmpfs をマウント
mount -t tmpfs tmpfs /mnt
echo "isolated" > /mnt/test.txt
cat /mnt/test.txt  # "isolated"
 
# 別のターミナル（ホスト側）で確認
ls /mnt/           # 何もない → 隔離されている
 
# プライベートマウントの設定
mount --make-private /
 
# Namespace 内で /proc を再マウント（PID Namespace と組み合わせ）
sudo unshare --pid --fork --mount bash
mount -t proc proc /proc
ps aux  # Namespace 内のプロセスのみ

# User Namespace の操作
 
# User Namespace の作成（非特権ユーザーでも可能）
unshare --user --map-root-user bash
id
# uid=0(root) gid=0(root) groups=0(root)
# → Namespace 内では root に見える
 
whoami  # root（Namespace内）
 
# UID マッピングの確認
cat /proc/self/uid_map
# 0  1000  1
# → Namespace内の UID 0 = ホストの UID 1000
 
# ファイル作成テスト
touch /tmp/test-user-ns
ls -la /tmp/test-user-ns
# → ホストでは alice (UID 1000) の所有
 
# Rootless コンテナ（Podman）
podman run --rm -it alpine sh
# → root 権限なしでコンテナを実行
# → User Namespace で内部は root、外部は一般ユーザー

# 各 Namespace の確認
 
# 現在の Namespace 確認
ls -la /proc/self/ns/
# lrwxrwxrwx 1 user user 0 Jan 1 12:00 cgroup -> 'cgroup:[4026531835]'
# lrwxrwxrwx 1 user user 0 Jan 1 12:00 ipc -> 'ipc:[4026531839]'
# lrwxrwxrwx 1 user user 0 Jan 1 12:00 mnt -> 'mnt:[4026531840]'
# lrwxrwxrwx 1 user user 0 Jan 1 12:00 net -> 'net:[4026531992]'
# lrwxrwxrwx 1 user user 0 Jan 1 12:00 pid -> 'pid:[4026531836]'
# lrwxrwxrwx 1 user user 0 Jan 1 12:00 user -> 'user:[4026531837]'
# lrwxrwxrwx 1 user user 0 Jan 1 12:00 uts -> 'uts:[4026531838]'
 
# UTS Namespace（ホスト名の隔離）
sudo unshare --uts bash
hostname container-1
hostname    # container-1
# 別ターミナルで: hostname → ホスト名は変わらない
 
# IPC Namespace
sudo unshare --ipc bash
ipcs        # IPC リソースは空の状態から開始
# → ホストの共有メモリやセマフォは見えない
 
# 複数の Namespace を同時に作成
sudo unshare --pid --fork --mount-proc \
  --net --uts --ipc --user --map-root-user bash
# → 完全に隔離された環境（≒ コンテナ）

# cgroups v2 の確認
mount | grep cgroup2
# cgroup2 on /sys/fs/cgroup type cgroup2 (rw,nosuid,nodev,noexec,relatime)
 
# 利用可能なコントローラの確認
cat /sys/fs/cgroup/cgroup.controllers
# cpuset cpu io memory hugetlb pids rdma misc
 
# ========================================
# メモリ制限の設定
# ========================================
 
# cgroup の作成
sudo mkdir /sys/fs/cgroup/myapp
 
# サブツリーのコントローラを有効化
echo "+memory +cpu +io +pids" | \
  sudo tee /sys/fs/cgroup/cgroup.subtree_control
 
# メモリ制限の設定
echo 256M | sudo tee /sys/fs/cgroup/myapp/memory.max
echo 200M | sudo tee /sys/fs/cgroup/myapp/memory.high
# memory.max: ハード制限（超過するとOOM Killer発動）
# memory.high: ソフト制限（超過するとスロットリング）
 
# スワップの制限
echo 0 | sudo tee /sys/fs/cgroup/myapp/memory.swap.max
 
# プロセスの追加
echo $$ | sudo tee /sys/fs/cgroup/myapp/cgroup.procs
 
# メモリ使用状況の確認
cat /sys/fs/cgroup/myapp/memory.current    # 現在の使用量
cat /sys/fs/cgroup/myapp/memory.stat       # 詳細な統計
cat /sys/fs/cgroup/myapp/memory.events     # OOM等のイベント
 
# ========================================
# CPU 制限の設定
# ========================================
 
# CPU 時間の制限（50%）
echo "50000 100000" | sudo tee /sys/fs/cgroup/myapp/cpu.max
# 100000μsの期間中、50000μsのCPU時間を使用可能 = 50%
 
# CPU の重み（相対的な優先度）
echo 100 | sudo tee /sys/fs/cgroup/myapp/cpu.weight
# デフォルト: 100, 範囲: 1-10000
# weight=200 のグループは weight=100 の2倍のCPU時間を得る
 
# CPU コアの割り当て
echo "0-1" | sudo tee /sys/fs/cgroup/myapp/cpuset.cpus
# CPU 0 と CPU 1 のみ使用可能
 
# ========================================
# I/O 制限の設定
# ========================================
 
# デバイスの確認
lsblk
# sda  8:0
 
# I/O 帯域幅の制限
echo "8:0 rbps=10485760 wbps=5242880" | \
  sudo tee /sys/fs/cgroup/myapp/io.max
# sda の読み取り: 10MB/s, 書き込み: 5MB/s
 
# I/O の重み
echo "8:0 200" | sudo tee /sys/fs/cgroup/myapp/io.weight
# デフォルト: 100, 範囲: 1-10000
 
# ========================================
# PID 数の制限
# ========================================
 
# プロセス数の制限（fork bomb 対策）
echo 100 | sudo tee /sys/fs/cgroup/myapp/pids.max
# → 100プロセスまで
 
# 現在のプロセス数
cat /sys/fs/cgroup/myapp/pids.current
 
# ========================================
# PSI（Pressure Stall Information）の監視
# ========================================
 
# リソース圧力の確認
cat /sys/fs/cgroup/myapp/memory.pressure
# some avg10=0.00 avg60=0.00 avg300=0.00 total=0
# full avg10=0.00 avg60=0.00 avg300=0.00 total=0
# → some: 一部のタスクが待機中, full: すべてのタスクが待機中
 
cat /sys/fs/cgroup/myapp/cpu.pressure
cat /sys/fs/cgroup/myapp/io.pressure
 
# PSI の通知を設定（メモリ圧力が5秒中500ms超えたら通知）
echo "some 500000 5000000" > /sys/fs/cgroup/myapp/memory.pressure
# → epoll/poll で監視可能
 
# cgroup の削除
echo $$ | sudo tee /sys/fs/cgroup/cgroup.procs  # プロセスを移動
sudo rmdir /sys/fs/cgroup/myapp

# systemd でのリソース監視
systemd-cgtop                    # cgroup のリソース使用量一覧
systemctl status myapp.service   # サービスの状態と cgroup 情報
systemctl show myapp.service --property=MemoryMax
systemctl show myapp.service --property=CPUQuota
 
# 実行中のサービスのリソース制限を変更
sudo systemctl set-property myapp.service MemoryMax=1G
sudo systemctl set-property myapp.service CPUQuota=150%
 
# slice の作成（関連サービスのグループ化）
# /etc/systemd/system/myapp.slice
# [Slice]
# MemoryMax=2G
# CPUQuota=400%
#
# → サービスファイルで Slice=myapp.slice を指定

/* seccomp-bpf フィルタの C 実装例 */
#include <linux/seccomp.h>
#include <linux/filter.h>
#include <linux/audit.h>
#include <sys/prctl.h>
#include <sys/syscall.h>
#include <unistd.h>
#include <stddef.h>
 
/* BPF フィルタ: write, exit_group, sigreturn のみ許可 */
static struct sock_filter filter[] = {
    /* アーキテクチャの確認 */
    BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
             offsetof(struct seccomp_data, arch)),
    BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K,
             AUDIT_ARCH_X86_64, 1, 0),
    BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_KILL_PROCESS),
 
    /* システムコール番号を取得 */
    BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
             offsetof(struct seccomp_data, nr)),
 
    /* 許可するシステムコール */
    BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_write, 0, 1),
    BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),
 
    BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_exit_group, 0, 1),
    BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),
 
    BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_rt_sigreturn, 0, 1),
    BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),
 
    /* それ以外はすべて拒否 */
    BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_KILL_PROCESS),
};
 
int main() {
    struct sock_fprog prog = {
        .len = sizeof(filter) / sizeof(filter[0]),
        .filter = filter,
    };
 
    /* NO_NEW_PRIVS を設定（SUID を無効化） */
    prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0);
 
    /* seccomp フィルタを適用 */
    prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog);
 
    /* 以降、write, exit_group, sigreturn のみ実行可能 */
    write(1, "Hello, sandboxed world!\n", 24);
 
    return 0;
}

/* libseccomp を使った設定（より簡単） */
#include <seccomp.h>
#include <unistd.h>
 
int main() {
    /* デフォルトアクション: KILL */
    scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_KILL_PROCESS);
 
    /* 許可するシステムコール */
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(rt_sigreturn), 0);
 
    /* 引数の条件付き許可 */
    /* write は fd=1 (stdout) と fd=2 (stderr) のみ */
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 1,
                     SCMP_A0(SCMP_CMP_EQ, STDOUT_FILENO));
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 1,
                     SCMP_A0(SCMP_CMP_EQ, STDERR_FILENO));
 
    /* フィルタをロード */
    seccomp_load(ctx);
    seccomp_release(ctx);
 
    write(1, "Sandboxed!\n", 11);
    return 0;
}

# 現在のNamespace確認
ls -la /proc/self/ns/
 
# 新しいNamespaceでコマンド実行（要root）
sudo unshare --pid --fork --mount-proc bash
ps aux  # PID 1 から始まる別世界
 
# Namespace のID比較
readlink /proc/self/ns/pid
# → ホストとNamespace内で異なるID

# Network Namespace の作成と通信
sudo ip netns add ns1
sudo ip netns add ns2
 
# veth ペアで ns1 と ns2 を接続
sudo ip link add veth1 type veth peer name veth2
sudo ip link set veth1 netns ns1
sudo ip link set veth2 netns ns2
 
sudo ip netns exec ns1 ip addr add 10.0.0.1/24 dev veth1
sudo ip netns exec ns1 ip link set veth1 up
sudo ip netns exec ns1 ip link set lo up
 
sudo ip netns exec ns2 ip addr add 10.0.0.2/24 dev veth2
sudo ip netns exec ns2 ip link set veth2 up
sudo ip netns exec ns2 ip link set lo up
 
# 疎通確認
sudo ip netns exec ns1 ping -c 3 10.0.0.2
 
# クリーンアップ
sudo ip netns delete ns1
sudo ip netns delete ns2

# cgroup v2 でメモリ制限（Linux）
sudo mkdir /sys/fs/cgroup/test
 
# コントローラの有効化
echo "+memory +pids" | sudo tee /sys/fs/cgroup/cgroup.subtree_control
 
# メモリ制限
echo 50M | sudo tee /sys/fs/cgroup/test/memory.max
echo 30M | sudo tee /sys/fs/cgroup/test/memory.high
 
# PID 数制限
echo 10 | sudo tee /sys/fs/cgroup/test/pids.max
 
# プロセスを追加
echo $$ | sudo tee /sys/fs/cgroup/test/cgroup.procs
 
# メモリ使用量の確認
cat /sys/fs/cgroup/test/memory.current
cat /sys/fs/cgroup/test/memory.stat
 
# ストレステスト
python3 -c "
data = []
try:
    while True:
        data.append('x' * 1024 * 1024)  # 1MB ずつ確保
except MemoryError:
    print(f'OOM at {len(data)} MB')
"
 
# クリーンアップ
echo $$ | sudo tee /sys/fs/cgroup/cgroup.procs
sudo rmdir /sys/fs/cgroup/test

# Namespace + cgroup で簡易コンテナを作成
 
# 1. ルートファイルシステムの準備
sudo debootstrap --variant=minbase focal /srv/container
 
# 2. 完全隔離で起動
sudo unshare --pid --fork --mount-proc \
  --net --uts --ipc --user --map-root-user \
  --mount \
  chroot /srv/container /bin/bash
 
# 3. 隔離環境内で確認
hostname isolated-container
ps aux           # PID 1 のみ
ip addr          # lo のみ
whoami           # root（実際は非特権ユーザー）
cat /etc/os-release  # Ubuntu Focal

# 最小権限のDockerコンテナ
docker run --rm -it \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges:true \
  --security-opt seccomp=default.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid \
  --user 1000:1000 \
  --pids-limit 64 \
  --memory 256m \
  --memory-swap 256m \
  --cpus 0.5 \
  nginx:alpine
 
# gVisor を使用（より強い隔離）
docker run --runtime=runsc --rm -it alpine sh
 
# rootless Docker
dockerd-rootless-setuptool.sh install
docker context use rootless
docker run --rm hello-world