使用root wrapper可以让非特权用户以root身份尽可能安全地执行部分操作。nova曾经使用sudoers文件来列出允许执行的特权命令，使用sudo来运行这么命令，但是这样不容易维护，而且不能进行复杂的参数处理，rootwrap就是为了解决这些问题。
使用sudo nova-rootwrap config-file command，而不再是使用sudo command。只需要使用一个通用的sudoers使nova-rootwrap以root身份运行。nova-rootwrap查看配置文件，加载command filters，检查请求的命令是否匹配某个filter，如果匹配就以root身份运行，否则就拒绝请求。
Reference:
沒有留言:
張貼留言