Непривилегированный режим работы ЕдиногоАгента в Linux

По умолчанию ЕдиныйАгент устанавливается в непривилегированном режиме, в котором привилегии суперпользователя используются один раз для запуска процесса установки.

Затем ЕдиныйАгент запускается под непривилегированным пользователем, сохраняя при этом полный набор функций.

Системные Требования

Чтобы установить ЕдиныйАгент в непривилегированном режиме, ваша система должна соответствовать следующим требованиям:

Файловая система должна поддерживать расширенные атрибуты.
В системе должен быть установлен libcap2. Например, установка Red Hat Enterprise Linux 5 по умолчанию не содержит libcap2.
Файловая система не должна быть смонтирована как noexec или nosuid.
Linux Filesystem Capabilities должны быть включены. Например, в SUSE Linux Enterprise Server 11 Linux Filesystem Capabilities отключены по умолчанию. Дополнительные сведения см. в разделе «Непривилегированный режим и Linux Filesystem Capabilities» ниже.

См. Безопасность ЕдиногоАгента в Linux, чтобы узнать о действиях по отслеживанию, выполняемых ЕдинымАгентом, для которых требуется привилегированный доступ.

Привилегии во время установки

При запуске в непривилегированном режиме программе установки ЕдиногоАгента требуются права суперпользователя, чтобы:
Установите возможности файлов для двоичных файлов ЕдиногоАгента, расположенных в /opt/{server-name}/oneagent/agent/lib[64]/*.
Вызовите сценарий службы oneagent, чтобы запустить oneagentwatchdog.
В системах с systemd свяжитесь с демоном systemd через d-bus, чтобы выполнить следующие команды:
- systemctl <start|stop|enable|disable> oneagent.service
- systemctl демон-перезагрузка
В системах с SysV выполните /sbin/chkconfig, чтобы добавить сценарий службы oneagent в автозапуск или удалить его.
Напишите в /proc/sys/kernel/core_pattern.

Привилегии суперпользователя сбрасываются при выполнении скрипта службы АппОптима ЕдиныйАгент:

В системах с systemd непривилегированный пользователь включается в определение службы (файл модуля). Таким образом, демон systemd запускает сценарий службы ЕдиныйАгент в непривилегированном режиме.
В системах с SysV привилегии сбрасываются в сценарии при запуске процесса ЕдиныйАгент Watchdog.

Linux Filesystem Capabilities

АппОптима ЕдиныйАгент Watchdog создаёт и запускает все остальные процессы под непривилегированным пользователем без прав суперпользователя. Двоичные файлы ЕдиногоАгента используют следующие системные возможности Linux.

Возможности двоичной системы Linux

Binary	Linux System Capabilities
oneagentwatchdog	`cap_sys_resource`¹- for setting system resource limits when starting OneAgent processes
oneagentos	`cap_dac_override`² - for filesystem access `cap_chown`² ³ - for setting ownership of files replaced in the filesystem (e.g., `runc` binary) `cap_fowner`² - for setting ownership of files replaced in the filesystem `cap_sys_ptrace` - for reading data from `/proc` pseudo-filesystem and tracing processes `cap_sys_resource`³ - for reading processes resource limits `cap_setuid`⁴ - for temporary elevation of privileges to execute certain operations; for details, see Automatic updates and operation `cap_kill`³ ⁵ ⁶ `cap_setfcap`³ ⁵ ⁶ `cap_fsetid`³ ⁵ ⁶
oneagentnettracer	`cap_bpf` (kernel >=5.8)⁷ `cap_perfmon` (kernel >=5.8)⁷ `cap_sys_admin` (kernel <5.8)⁷ `cap_dac_override` `cap_sys_ptrace` `cap_sys_resource`
oneagentnetwork	`cap_net_raw` - for opening raw sockets `cap_net_admin`⁸- for reading network interface information
oneagentloganalytics	`cap_dac_read_search` - for access to all logs stored on host `cap_sys_ptrace` - for reading data from `/proc` pseudo-filesystem
oneagentplugin	`cap_set_gid`¹- for adding docker to the process supplementary groups list, which allows for the container data to be retrieved
oneagenthelper9	`cap_sys_admin` - for `mount()` syscall `cap_dac_override` - for inspection and modification of filesystems of the running containers `cap_sys_ptrace` - for tracing the `Docker` daemon `cap_sys_chroot` - for `chroot()` syscall `cap_fowner` - for changing ownership and permissions of files within container filesystem `cap_fsetid` - for changing ownership and permissions of files within container filesystem
OneAgent Installer executed during auto-update	`cap_dac_override` - for filesystem access `cap_chown` - for filesystem access `cap_fowner` - for filesystem access `cap_fsetid` - for filesystem access `cap_kill` - to be able to signal all the running processes, e.g. stopped orphaned OneAgent processes `cap_setfcap` - for setting Linux Filesystem capabilities file capabilities on agent binaries during the installation
oneagentosconfig	`cap_setuid` ⁶- for execution of privileged operations during the installation process
oneagenteventstracer	`cap_sys_admin` - for `perf_event_open()` syscall `cap_dac_override` - for access to `/sys/kernel/debug/tracing`
oneagentdmidecode	`cap_dac_override` - for filesystem access
oneagentmntconstat	`cap_dac_read_search` - for retrieving disk occupation stats with `statvfs64()` `cap_sys_chroot` - for `setns()` syscall `cap_sys_admin` - for `setns()` syscall `cap_sys_ptrace` - for accessing `/proc/1/ns`
¹ Required only during initialization phase and is unconditionally dropped afterwards. ² Not used if auto-updates and automatic injection are disabled. ³ Kept in permitted set only and raised to the effective set when needed. ⁴ Only if ambient capabilities aren't supported. ⁵ Not used if auto-updates are disabled. ⁶ Only if ambient capabilities are supported. ⁷ Only for kernels 5.8 and newer. For older kernel versions, `cap_sys_admin` is enabled instead. ⁸ Only on kernels older than 2.6.33. ⁹ Not started if automatic injection is disabled.

Включение Linux Filesystem Capabilities

Linux Filesystem Capabilities необходимы для установки ЕдиногоАгента в непривилегированном режиме. В SUSE Linux Enterprise Server 11 Linux Filesystem Capabilities отключены по умолчанию. Эти возможности также могут быть отключены в других поддерживаемых дистрибутивах Linux или в результате пользовательской конфигурации. Программа установки ЕдиногоАгента выводит следующее сообщение, если возможности файловой системы Linux отключены:

Warning: Failed to enable non-privileged mode, kernel does not support file capabilities.

Вы также можете проверить параметры загрузки ядра, чтобы увидеть, включены ли Linux Filesystem Capabilities. Выполните следующую команду, чтобы проверить параметры загрузки ядра.

cat /proc/cmdline

Если вы обнаружите, что file_caps=1 в выводе, ваша установка в порядке.

Чтобы включить возможности файловой системы Linux, добавьте file_caps=1 в параметры загрузки ядра. Например, в SUSE Linux Enterprise Server 11 используйте YaST, отредактируйте параметры загрузки ядра, добавьте file_caps=1 и перезагрузите машину.

Привилегии при автоматических обновлениях и работе

Объем привилегий, требуемых ЕдиномуАгенту, зависит от того, поддерживает ли ядро Linux ambient capabilities. Как правило, ядро версии 4.3+ поддерживает Linux ambient capabilities. Однако в случае с Red Hat Enterprise Linux они могут поддерживаться в более старых версиях ядра из-за политики Red Hat по резервному переносу исправлений. Это означает, что Linux ambient capabilities поддерживается версиями ядра, начиная с 3.10.x.

Ядра с поддержкой Linux ambient capabilities (версия 4.3+)

Во время автоматического обновления установщик запускается под непривилегированным пользователем dtuser с установленными надлежащими возможностями окружения. ЕдиныйАгент не требует корневого доступа для выполнения автоматического обновления.

Red Hat Enterprise Linux 7 имеет слишком низкий systemd (v219 вместо необходимого v221), и чтобы иметь возможность запускать автоматические обновления в непривилегированном режиме, мы временно повышаем привилегии для запуска systemctl <start|stop|enable|disable> oneagent.service.

Ядра без внешних возможностей (версии с 2.6.26 по 4.3)

В большинстве случаев ЕдиныйАгент будет работать под непривилегированным dtuser. Когда ядро не предоставляет ambient capabilities, оно автоматически повышает свои привилегии до уровня суперпользователя, используя setuid(0) в следующих случаях:

Автоматические обновления ЕдиногоАгента
Генерация идентификатора OSI узла на узлах Azure
Определение свойств контейнеров Docker
Самодиагностика

Если вы не хотите предоставлять ЕдиномуАгенту уровень разрешений суперпользователя, вы можете отключить его, добавив параметр DISABLE_ROOT_FALLBACK=1 в команду установки ЕдиногоАгента. Например:

sudo /bin/sh OneAgent-Linux-1.0.0.sh NON_ROOT_MODE=1 DISABLE_ROOT_FALLBACK=1

В таких случаях вы должны выполнять обновления вручную на отдельных хостах. Мы не рекомендуем использовать параметр DISABLE_ROOT_FALLBACK=1 для ЕдиногоАгента в контейнерах Azure или Docker.

Как узнать, работает ли ЕдиныйАгент в непривилегированном режиме?

Программа установки распечатывает сообщение в конце установки OneAgent. В зависимости от версии ядра и его поддержки внешних возможностей вы увидите одно из следующих сообщений:

Non-privileged mode is enabled

Ядро поддерживает ambient capabilities, нет необходимости использовать доступ суперпользователя для обновлений или операций.

Enabled non-privileged mode, but ambient capabilities are not supported by kernel

Ядро находится в пределах минимальной поддерживаемой версии, но из-за неподдерживаемых ambient capabilities, ЕдиномуАгенту необходимо повышать привилегии в некоторых случаях, см. выше.

Failed to enable non-privileged mode

Ядро не соответствует минимальным требованиям к версии для включения непривилегированного режима.