Youki容器运行时中exec命令的权限问题分析与解决

问题背景

在容器运行时领域，Youki作为Rust实现的OCI兼容运行时，其功能与行为应当与runc保持高度一致。然而在实际使用中发现，当使用相同的config.json配置文件时，Youki与runc在执行exec命令时存在明显的权限差异。

现象描述

通过对比测试发现，当使用相同的config.json配置启动容器后：

1. 在runc环境中，exec进入容器后能够正常执行apt update等需要权限的操作
2. 在Youki环境中，exec进入容器后会出现以下问题：
   • bash提示"cannot set terminal process group"
   • 无法读取/root/.bashrc文件
   • 执行apt update时出现"Permission denied"错误

技术分析

1. 命名空间处理差异

在Youki的exec实现中，TenantBuilder会尝试为进程使用所有命名空间，而不管这些命名空间是否在spec中配置。这与runc的行为不一致，可能导致权限问题。

2. 能力集(Capabilities)处理问题

深入分析后发现，Youki在exec过程中存在能力集处理不当的问题：

• 容器初始化过程中，reset_effective函数将容器进程的能力集重置为有效能力集
• 紧接着drop_privileges函数丢弃了配置的能力集，仅保留基本OCI权限
• 这两个函数的连续调用导致了配置的能力集最终未能正确应用

3. 用户ID映射问题

测试还发现，容器内文件的所有权与执行用户不匹配：

• 容器内文件由执行docker export的用户拥有
• 当exec使用0:0(root)用户时，理论上应具有"真正"的root权限
• 但实际上Youki未能正确处理用户ID映射，导致root用户无法访问本应可访问的文件

解决方案

经过项目维护者的深入排查和修复，主要解决了以下问题：

1. 修正命名空间处理逻辑：确保exec仅使用spec中配置的命名空间，与runc行为保持一致

2. 完善能力集传递机制：

   • 确保spec中配置的能力集正确传递给tenant进程
   • 在创建新spec时正确应用这些能力集

3. 修复用户权限映射：确保root用户(0:0)在容器内获得真正的root权限

技术启示

1. 容器运行时一致性：作为OCI兼容运行时，与runc的行为一致性至关重要，特别是在核心功能如exec的实现上

2. 权限模型复杂性：容器环境中的权限模型涉及多个层面(用户NS、能力集、文件权限等)，需要全面考虑

3. 测试验证的重要性：通过对比测试可以快速发现行为差异，是保证兼容性的有效手段

此问题的解决提升了Youki在权限处理方面的可靠性，使其更符合用户预期和行业标准。对于容器运行时开发者而言，这也提醒我们需要特别关注权限模型这类核心功能的实现细节。