[論文レビュー] Apptainer Without Setuid

Dave Dykstra|arXiv (Cornell University)|Aug 25, 2022

Distributed and Parallel Computing Systems被引用数 7

ひとこと要約

本論文は、Apptainer（旧称：Singularity）のルートレスかつ setuid フリーなアーキテクチャを提示し、ユーザー名前空間、FUSE、および現代的な Linux ファイルシステム（例：squashfs や overlay）を活用して、非特権ユーザーがコンテナの作成・実行およびセキュアな暗号化を可能にする。主な貢献は、特権アクセスや /etc/subuid および /etc/subgid のシステム管理者による設定を必要とせず、非特権環境でネストされた実行および完全な SIF 暗号化をネイティブにサポートすることであり、特権方法と同等のパフォーマンスを維持している。

ABSTRACT

Apptainer (formerly known as Singularity) since its beginning implemented many of its container features with the assistance of a setuid-root program. It still supports that mode, but as of version 1.1.0 it no longer uses setuid by default. This is feasible because it now can mount squashfs filesystems, ext3 filesystems, and overlay filesystems using unprivileged user namespaces and FUSE. It also now enables unprivileged users to build containers, even without requiring system administrators to configure /etc/subuid and /etc/subgid unlike other "rootless" container systems. As a result, all the unprivileged functions can be used nested inside of another container, even if the container runtime prevents any elevated privileges. As of version 1.2.0 Apptainer also supports completely unprivileged encryption of Singularity Image Format (SIF) container files. Performance with a particularly challenging HEP benchmark using the FUSE-based mounts both with and without encryption is essentially identical to the previous methods that required elevated privileges to use the Linux kernel-based counterparts.

研究の動機と目的

• Apptainer における setuid-root プログラムへの依存を排除し、セキュリティと使いやすさを向上させること。
• システム管理者による /etc/subuid および /etc/subgid の設定を必要とせず、非特権ユーザーがコンテナをビルドおよび実行できるようにすること。
• 非特権環境で完全なコンテナ暗号化およびネストされたコンテナ実行をサポートすること。
• 特権コンテナ実行方法と同等の高いパフォーマンスを維持すること。

提案手法

• 特権が不要な非特権ユーザー名前空間を活用して、コンテナプロセスを隔離すること。
• FUSE を用いたマウントにより、squashfs、ext3、overlay ファイルシステムへのアクセスを、カーネルレベルの特権なしで可能にすること。
• カーネルベースの setuid メカニズムに代わるユーザースペースのファイルシステム操作を実装し、コンテナイメージのマウントを可能にすること。
• ユーザースペース暗号化を用いて非特権環境で SIF コンテナファイルの暗号化をネイティブに実装し、特権的な鍵管理の必要性を排除すること。
• ホストコンテナランタイムが特権をブロックする状況下でも、ネストされたコンテナ実行をサポートするランタイムアーキテクチャを設計すること。
• システムレベルのユーザーIDマッピング設定に依存しない、完全に非特権ユーザー名前空間内でのコンテナビルドプロセスを実現すること。

実験結果

リサーチクエスチョン

• RQ1 Apptainer は、setuid-root プログラムの必要性を排除しつつ、完全なコンテナ機能とセキュリティを維持できるか？
• RQ2 非特権ユーザーは /etc/subuid および /etc/subgid のシステム管理者による設定なしにコンテナをビルドおよび実行できるか？
• RQ3 FUSE を用いたファイルシステムマウントは、カーネルベースの特権マウントと同等のパフォーマンスを達成できるか？
• RQ4 完全なコンテナ暗号化は、特権が不要なユーザースペースの方法で実装可能か？
• RQ5 特権が許可されていない環境でも、コンテナ操作を安全にネストできるか？

主な発見

• Apptainer 1.2.0 は、setuid やシステムレベルのユーザーIDマッピング設定を必要とせず、非特権コンテナの作成・実行・暗号化を完全にサポートしている。
• FUSE を用いたマウントのパフォーマンス（暗号化あり・なしを含む）は、困難な HEP ベンチマークにおいて、従来の特権的カーネルベースの方法とほぼ同等である。
• 非特権ユーザーは、制限された環境であっても、システム管理者の介入なしにコンテナをビルドおよび実行できるようになった。
• ネストされたコンテナ実行は非特権モードでも完全にサポートされており、安全で隔離された実行チェーンを可能にしている。
• Singularity イメージフォーマット（SIF）ファイルの完全な暗号化は、非特権モードでもネイティブにサポートされており、特権コンponent に依存しない。
• setuid フリーなアーキテクチャへの移行は、セキュリティや機能に悪影響を及げず、使いやすさの向上と攻撃面の縮小を著しく実現している。