Libvirt+LXC; uid mapping problem

[Daniel A. (daniel-a)]

Ich habe nun einen libvirt_lxc container erstellt, dazu habe ich 
folgendes gemacht:

echo LIBVIRT_DEFAULT_URI=lxc:/// >> /etc/environment
mkdir -p /vm/tor/
cd /vm/tor/
debootstrap --variant=minbase --arch=amd64 stretch . http://httpredir.debian.org/debian
virsh define /var/virt/tor-1.xml
virsh start tor
virsh console tor

Das hat erstmal funktioniert. Nun steht aber hier[1], das der root User 
im Container genauso mächtig ist wie der des Host und auch auf diselben 
Kernelfunktionen Zugriff hat. Es steht aber auch, das man die Lage mit 
dem id Mapping entschärfen kann. Also habe ich (nach langem googlen) die 
Config angepasst (Der block <idmap> ist dazugekommen), damit ab uid 0 
und gid 0 die nächsten 1000 ids im Container auf die ids ab uid 2000 und 
gid 2000 gemapt werden. Ich habe mir ein Shellscript geschrieben (ist im 
Anhang), welches mir die UIDs der Dateien meines Containers entsprechend 
abändert.

Dann habe ich den Container neu erstellt und gestartet.

moveperm.sh /vm/tor/ 2000 2000
virsh destroy tor
virsh undefine tor
virsh define /var/virt/tor-2.xml
virsh start tor
virsh console tor

Aber nun startet der Container nichtmehr, in der Console wird folgendes 
Angezeigt:

Connected to domain tor
Escape character is ^]
systemd 229 running in system mode. (+PAM +AUDIT +SELINUX +IMA +APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ -LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD -IDN)
Detected virtualization lxc-libvirt.
Detected architecture x86-64.

Welcome to Debian GNU/Linux stretch/sid!

Set hostname to <panther>.
Failed to read AF_UNIX datagram queue length, ignoring: No such file or directory
Failed to install release agent, ignoring: No such file or directory
Failed to create /system.slice/libvirtd.service/init.scope control group: Permission denied
Failed to allocate manager object: Permission denied
[!!!!!!] Failed to allocate manager object, freezing.
Freezing execution.

Also habe ich das zu startende Programm von /bin/systemd nach /bin/bash 
geändert und nachgesehen, was passiert ist: (Der Container hat den 
selben Hostnamen wie der Host bekommen, davon nicht verwirren lassen. 
Die folgenden Kommandos wurden im Container eingegeben.)

root@panther:/# ls -la /sys/fs/cgroup/systemd/system.slice/libvirtd.service/init.scope
total 0
drwxr-xr-x 2 nobody nogroup 0 Mar  6 16:58 .
drwxr-xr-x 4 nobody nogroup 0 Mar  6 16:58 ..
-rw-r--r-- 1 nobody nogroup 0 Mar  6 16:58 cgroup.clone_children
-rw-r--r-- 1 nobody nogroup 0 Mar  6 16:58 cgroup.procs
-rw-r--r-- 1 nobody nogroup 0 Mar  6 16:58 notify_on_release
-rw-r--r-- 1 nobody nogroup 0 Mar  6 16:58 tasks

root@panther:/# ls -la
total 80
drwxr-xr-x  22 root   root    4096 Mar  6 16:33 .
drwxr-xr-x  22 root   root    4096 Mar  6 16:33 ..
-rw-------   1 root   root    1493 Mar  6 19:28 .bash_history
drwxr-xr-x   2 root   root    4096 Mar  5 22:54 .oldroot
drwxr-xr-x   2 root   root    4096 Mar  5 21:09 bin
drwxr-xr-x   2 root   root    4096 Oct 28 22:29 boot
drwxr-xr-x   3 root   root     320 Mar  6 19:29 dev
drwxr-xr-x  40 root   root    4096 Mar  5 22:54 etc
drwxr-xr-x   2 root   root    4096 Oct 28 22:29 home
drwxr-xr-x   9 root   root    4096 Nov 27  2014 lib
drwxr-xr-x   2 root   root    4096 Mar  5 21:08 lib64
drwxr-xr-x   2 root   root    4096 Mar  5 21:07 media
drwxr-xr-x   2 root   root    4096 Mar  5 21:07 mnt
drwxr-xr-x   2 root   root    4096 Mar  5 21:07 opt
dr-xr-xr-x 128 nobody nogroup    0 Mar  6 19:29 proc
drwx------   2 root   root    4096 Mar  5 21:29 root
drwxr-xr-x   4 root   root    4096 Mar  5 21:07 run
drwxr-xr-x   2 root   root    4096 Mar  5 21:10 sbin
drwxr-xr-x   2 root   root    4096 Mar  5 21:07 srv
dr-xr-xr-x  13 nobody nogroup    0 Mar  6 17:06 sys
drwxrwxrwt   7 root   root    4096 Mar  6 18:32 tmp
drwxr-xr-x  10 root   root    4096 Mar  5 21:07 usr
drwxr-xr-x  11 root   root    4096 Mar  5 21:07 var


root@panther:/# mount
/dev/sda2 on / type ext4 (rw,relatime,errors=remount-ro,data=ordered)
proc on /proc type proc (rw,nosuid,nodev,noexec,relatime)
proc on /proc/sys type proc (ro,nosuid,nodev,noexec,relatime)
proc on /proc/sys/net/ipv4 type proc (rw,nosuid,nodev,noexec,relatime)
proc on /proc/sys/net/ipv6 type proc (rw,nosuid,nodev,noexec,relatime)
sysfs on /sys type sysfs (ro,nosuid,nodev,noexec,relatime)
libvirt on /proc/meminfo type fuse (rw,nosuid,nodev,relatime,user_id=0,group_id=0,allow_other)
tmpfs on /sys/fs/cgroup type tmpfs (rw,nosuid,nodev,noexec,relatime,size=64k,mode=755,uid=2000,gid=2000)
cgroup on /sys/fs/cgroup/cpu,cpuacct type cgroup (rw,nosuid,nodev,noexec,relatime,cpu,cpuacct)
cgroup on /sys/fs/cgroup/cpuset type cgroup (rw,nosuid,nodev,noexec,relatime,cpuset)
cgroup on /sys/fs/cgroup/memory type cgroup (rw,nosuid,nodev,noexec,relatime,memory)
cgroup on /sys/fs/cgroup/devices type cgroup (rw,nosuid,nodev,noexec,relatime,devices)
cgroup on /sys/fs/cgroup/freezer type cgroup (rw,nosuid,nodev,noexec,relatime,freezer)
cgroup on /sys/fs/cgroup/blkio type cgroup (rw,nosuid,nodev,noexec,relatime,blkio)
cgroup on /sys/fs/cgroup/net_cls,net_prio type cgroup (rw,nosuid,nodev,noexec,relatime,net_cls,net_prio)
cgroup on /sys/fs/cgroup/perf_event type cgroup (rw,nosuid,nodev,noexec,relatime,perf_event)
cgroup on /sys/fs/cgroup/systemd type cgroup (rw,nosuid,nodev,noexec,relatime,xattr,release_agent=/lib/systemd/systemd-cgroups-agent,name=systemd)
devfs on /dev type tmpfs (rw,nosuid,relatime,size=64k,mode=755)
devpts on /dev/pts type devpts (rw,nosuid,relatime,gid=2005,mode=620,ptmxmode=666)
devpts on /dev/ptmx type devpts (rw,nosuid,relatime,gid=2005,mode=620,ptmxmode=666)
devpts on /dev/tty1 type devpts (rw,nosuid,relatime,gid=2005,mode=620,ptmxmode=666)
devpts on /dev/console type devpts (rw,nosuid,relatime,gid=2005,mode=620,ptmxmode=666)

Ich interpretiere dass so, das systemd innerhalb von 
/sys/fs/cgroup/systemd/system.slice/libvirtd.service/init.scope 
schreibberechtigungen benötigt, aber nicht hat. Interessant finde ich 
die Zeile:

tmpfs on /sys/fs/cgroup type tmpfs (rw,nosuid,nodev,noexec,relatime,size=64k,mode=755,uid=2000,gid=2000)

Dieser mount wird von libvirt durchgeführt und existiert nur im 
Container. /vm/tor/sys beim Host ist leer. Anscheinend versucht libvirt 
das cgroup ns Subsystem für den korrekten User zu mounten, aber dabei 
geht wohl etwas schief?


Hier komme ich nichtmehr weiter; Habe ich etwas vergessen einzustellen, 
oder ist das ein Bug in libvirt? Wie soll ich nun weiter Vorgehen?


PS: Gibt es zu dem ID mapping in libvirt irgendwo eine Doku? Zu diesem 
Thema finde ich nur sehr wenig bei Google oder in Foren, das meiste 
musste ich mir aus Mailinglisten zusammensuchen.


----------
1) https://libvirt.org/drvlxc.html#secureusers