NSJail在Ubuntu 24.04中的AppArmor权限问题解析

问题背景

在Ubuntu 24.04系统中，用户在使用NSJail时可能会遇到一个特殊的权限问题：当尝试执行挂载操作时，系统会返回"Permission denied"错误。这个问题特别容易出现在从Ubuntu 22.04升级到24.04的环境中，尤其是在aarch64架构的设备上。

错误现象

当用户尝试以非root权限运行NSJail时，会看到如下关键错误信息：

initCloneNs():391 mount('/', '/', NULL, MS_REC|MS_PRIVATE, NULL): Permission denied
[F][2025-06-19T16:36:15+0000][1] runChild():487 Launching child process failed

而在系统日志(dmesg)中，可以看到更详细的AppArmor拒绝记录：

audit: type=1400 audit(1750355142.873:140): apparmor="DENIED" operation="mount" class="mount" info="failed mntpnt match" error=-13 profile="unprivileged_userns" name="/" pid=1442 comm="nsjail" flags="rw, rprivate"

根本原因

Ubuntu 24.04引入了一个新的安全特性：AppArmor会对非特权用户使用用户命名空间(user namespace)进行限制。具体来说，系统默认启用了unprivileged_userns AppArmor配置文件，该配置文件会阻止非特权用户执行挂载操作。

相关内核参数如下：

kernel.apparmor_restrict_unprivileged_userns = 1
kernel.apparmor_restrict_unprivileged_userns_complain = 0
kernel.apparmor_restrict_unprivileged_userns_force = 0
kernel.unprivileged_userns_apparmor_policy = 1
kernel.unprivileged_userns_clone = 1

解决方案

方案一：完全禁用限制（不推荐）

可以通过修改内核参数完全禁用AppArmor对非特权用户命名空间的限制：

sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
echo 'kernel.apparmor_restrict_unprivileged_userns=0' | sudo tee /etc/sysctl.d/99-nsjail.conf

这种方法虽然简单，但会降低系统安全性，不建议在生产环境中使用。

方案二：为NSJail创建专用AppArmor配置文件（推荐）

更安全的做法是为NSJail创建一个专门的AppArmor配置文件，只允许它执行必要的操作：

1. 创建配置文件：

cat > /etc/apparmor.d/usr.local.bin.nsjail <<EOF
#include <tunables/global>

/usr/local/bin/nsjail flags=(unconfined) {
  userns,
}
EOF

2. 加载配置文件：

apparmor_parser -r /etc/apparmor.d/usr.local.bin.nsjail

这个配置允许NSJail使用用户命名空间(user namespace)，同时保持其他安全限制不变。

技术细节

NSJail依赖Linux的命名空间(namespace)功能来创建隔离的执行环境。在Ubuntu 24.04中，当非特权用户尝试创建新的挂载命名空间(mount namespace)并执行挂载操作时，AppArmor会介入检查。

默认的unprivileged_userns配置文件限制了非特权用户的操作，特别是挂载操作。这是Ubuntu 24.04加强系统安全的一部分，旨在防止潜在的权限提升攻击。

最佳实践

1. 优先使用方案二，因为它提供了更精细的权限控制
2. 如果NSJail安装在标准路径(如/usr/bin/)，需要相应调整AppArmor配置文件的路径
3. 在生产环境中，应该进一步限制AppArmor配置文件，只允许必要的操作
4. 定期检查系统日志，监控AppArmor的拒绝记录

总结

Ubuntu 24.04通过AppArmor加强了对非特权用户命名空间的限制，这影响了NSJail的正常运行。理解这一安全机制并正确配置AppArmor，可以在保持系统安全性的同时，确保NSJail能够正常工作。建议用户采用最小权限原则，只为NSJail授予必要的权限，而不是完全禁用安全功能。