FreeBSD 刑務所

jailメカニズムはFreeBSDのOS レベルの仮想化の実装であり、システム管理者はFreeBSD由来のコンピュータシステムをjailと呼ばれるいくつかの独立したミニシステムに分割して、すべて同じカーネルを共有することができます。オーバーヘッドは非常に小さい^[1]。これはシステムコール jail(2) ^[2]とユーザーランドユーティリティ jail(8) ^[3]によって実装され、システムによっては他のユーティリティもいくつかあります。この機能は、ホスティングプロバイダーによる実稼働期間を経て、1999 年にPoul-Henning Kampによって FreeBSD にコミットされ、FreeBSD 4.0 で初めてリリースされました。そのため、今日まで DragonFly BSD を含む多くの FreeBSD の子孫でサポートされています。

FreeBSD jail の必要性は、小規模な共有環境ホスティング プロバイダ (R&D Associates, Inc. のオーナー、Derrick T. Woolworth) が、主にセキュリティと管理の容易さのために、自社のサービスと顧客のサービスを明確に区別したいという要望から生まれました (jail(8))。Poul-Henning Kamp が採用した解決策は、きめ細かい設定オプションの新しいレイヤーを追加する代わりに、システム(ファイルとリソースの両方) を区画化し、適切な人だけが適切な区画にアクセスできるようにするというものでした。^[4]

jailは、2000年3月14日にリリースされたFreeBSDバージョン4.0で初めて導入されました。^[5] 元の機能のほとんどはDragonFlyでサポートされており、いくつかの新機能も移植されています。  ( 2000-03-14 )

FreeBSD jail は主に次の 3 つの目標を目指しています。

1. 仮想化: 各 jail は、独自のファイル、プロセス、ユーザー、スーパーユーザーアカウントを持つホスト マシン上で実行される仮想環境です。 jail プロセス内から見ると、環境は実際のシステムとほとんど区別がつきません。
2. セキュリティ: 各刑務所は他の刑務所から封鎖されているため、セキュリティがさらに強化されています。
3. 委任の容易さ: jail の範囲が限定されているため、システム管理者は、システムに対する完全な制御を委任することなく、スーパーユーザー アクセスを必要とするいくつかのタスクを委任できます。

プロセスをファイルシステムの特定のビューに制限するchroot jailとは異なり、FreeBSD jail メカニズムは、システムの残りの部分に関して jail 内のプロセスのアクティビティを制限します。実際には、 jail されたプロセスはサンドボックス化されます。それらは特定のIP アドレスにバインドされ、 jail されたプロセスは divert ソケットまたは routing ソケットにアクセスできません。rawソケットもデフォルトでは無効になっていますが、 sysctlオプションを設定することで有効にできます。さらに、同じ jail で実行されていないプロセス間の相互作用は制限されます。 security.jail.allow_raw_sockets

jail (8)ユーティリティとjail(2)システムコールは、FreeBSD 4.0で初めて登場しました。jail の管理をはるかに容易にする新しいユーティリティ (たとえば、 jail を一覧表示するjls(8) ) とシステムコール (たとえば、新しいプロセスを jail にアタッチするjail_attach(2) ) が FreeBSD 5.1 で追加されました。jail サブシステムは、jail ごとに複数の IPv4 および IPv6 アドレスのサポートや、jail を特定の CPU にバインドするサポートなど、FreeBSD 7.2 でさらに重要な更新を受けました。

jail を使用すると、それぞれに独自のユーティリティ セットがインストールされ、独自の構成を持つ環境を作成できます。 jail を使用すると、ソフトウェア パッケージは、各パッケージがマシンを所有しているかのように、システムをエゴイスティックに参照できます。 jail には、独自の独立した jail スーパーユーザーも存在します。^[6]

ただし、FreeBSD jail では真の仮想化は実現されません。仮想マシンがベース システムとは異なるカーネル バージョンを実行することはできません。すべての jail は同じカーネルを共有します。クラスタリングやプロセス移行はサポートされていません。

FreeBSD jail は、jail 環境とシステムの残りの部分 (他の jail と基本システム) を分離するため、サーバーのセキュリティを強化する効果的な方法です。

FreeBSD jailには次のような制限があります: ^[6]

• jail 化されたプロセスは、別の jail またはメイン ホストのプロセスと対話することはできません。たとえば、psコマンドは jail 内で実行されているプロセスのみを表示します。
• 実行中のカーネルに直接アクセスしてモジュールをロードすることにより変更することは禁止されています。ほとんどのsysctlとsecurelevel を変更することは禁止されています。
• インターフェイス、インターフェイスまたは IP アドレス、ルーティングテーブルなどのネットワーク構成の変更は禁止されています。転送ソケットおよびルーティング ソケットへのアクセスも禁止されています。また、raw ソケットはデフォルトで無効になっています。 jail は特定の IP アドレスにのみバインドされ、ファイアウォール ルールを変更することはできません。 VNET (仮想ネットワーク スタック) の導入により、 jail で vnet が有効になっている限り、 jail はネットワーク構成 (インターフェイス、IP アドレスなどを含む) を自由に変更できます。
• ファイルシステムのマウントとアンマウントは禁止されています。 jail はルート ディレクトリより上のファイルにアクセスできません (つまり、 jail は chroot されています)。
• 拘留されたプロセスはデバイス ノードを作成できません。

• ルーカス、マイケル W. (2019)。FreeBSDマスタリー: Jails。Tilted Windmill Press。ISBN 978-1-64235-023-4。

• ポール・ヘニング・カンプ著『Jails』
• jail(8) マニュアルページ
• ONLampの FreeBSD jail
• FreeBSD 6 の jail
• VNET マニュアルページ