Leggi solo bind-mount?

Uso mount -o bind per montare le directory all'interno dei chroot, il che funziona davvero bene. Il problema è che vorrei che alcune di queste directory montate su bind venissero lette solo in chroot.

È possibile? In caso contrario, un altro modo per raggiungerlo?

Stavo pensando di utilizzare NFS per i montaggi localhost, ma sembra eccessivo.

Secondo questo articolo è possibile. Hai bisogno di un kernel recente.

mount --bind -o ro /vital_data /untrusted_container/vital_data

Risposta diretta dall'articolo LWN :

mount --bind /vital_writable_data /untrusted_container/vital_data
mount -o bind,remount,ro /untrusted_container/vital_data

Supportato da Linux 2.6.26.

In Squeeze funzionava solo con:

mount --bind /src /dst

poi

mount -o remount,ro /dst

Ora in Debian Wheezy devi fare:

mount -o remount,ro,bind /dst

per sbarazzarsi del messaggio: risorse occupate.

Modifica: Ora in Debian Jessie, mount cerca di essere intelligente e monta sub-dirs, che se già montato con bind, diventa ricorsivo e succedono cose brutte :)

C'è un'opzione speciale che forza util-linux a essere di nuovo 'stupido'. Le soluzioni sono queste:

mount --bind --make-rprivate /sbin/ $prefix/sbin/
mount -o remount,ro,bind $prefix/sbin/

Successivamente puoi montare --bind $ prefix / sbin in un'altra directory.

Dalla pagina man:

Le operazioni di sottostruttura condivise. Da Linux 2.6.15 è possibile contrassegnare un mount e i suoi submount come condivisi, privati, slave o non risolvibili. Un mount condiviso offre la possibilità di creare mirror di quel mount in modo tale che i mount e gli smontaggi all'interno di uno qualsiasi dei mirror si propagino all'altro mirror. Un mount slave riceve la propagazione dal suo master, ma non viceversa. Una cavalcatura privata non ha abilità di propagazione. Un mount non associabile è un mount privato che non può essere clonato tramite un'operazione di bind. La semantica dettagliata è documentata nel file Documentation / filesystems / sharedsubtree.txt nell'albero dei sorgenti del kernel. Le operazioni supportate sono:

     mount --make-shared mountpoint
     mount --make-slave mountpoint
     mount --make-private mountpoint
     mount --make-unbindable mountpoint

I seguenti comandi consentono di modificare in modo ricorsivo il tipo di tutti i mount in un dato mountpoint.

     mount --make-rshared mountpoint
     mount --make-rslave mountpoint
     mount --make-rprivate mountpoint
     mount --make-runbindable mountpoint

mount (8) non legge fstab (5) quando viene richiesta un'operazione --make- *. Tutte le informazioni necessarie devono essere specificate sulla riga di comando. Si noti che il kernel Linux non consente di modificare più flag di propagazione con un singolo syscall mount (2) e che i flag non possono essere mescolati con altre opzioni di mount.

Da util-linux 2.23 il comando mount consente di usare diversi flag di propagazione insieme e anche insieme ad altre operazioni di mount. Questa funzione è SPERIMENTALE. I flag di propagazione vengono applicati da ulteriori syscalls mount (2) quando le operazioni di mount precedenti hanno avuto esito positivo. Si noti che questo caso d'uso non è atomico. È possibile specificare i flag di propagazione in fstab (5) come opzioni di mount (private, slave, shared, unbindable, rprivate, rslave, rshared, runbindable).

mount --bind / vital_data / untrusted_container / vital_data

mount -o remount, ro, bind / untrusted_container / vital_data

nel secondo mount devi usare "remount, ro, bind" altrimenti anche tutte le altre istanze di / vital_data saranno di sola lettura.