运行可以以非 root 用户身份分叉和克隆的单个进程

Question

我希望运行一个 docker 容器，该容器运行单个操作系统进程，通过调用“/proc/self/exe”来分叉自身的克隆。此过程将由容器的用户启动，该用户可以是系统用户或登录用户（以更安全者为准）。为此我相信我需要从设置了 CLONE_NEWUTS 位的文件运行进程，或者由超级用户启动该进程。

我不希望使用具有 sudo 功能的用户，也不希望在文件上设置 CAP_SYS_ADMIN 位，因为 CLONE_NEWUTS 位没有特定功能。

这是一些代码：

package main

import (
  "os"
  "os/exec"
  "syscall"
  "fmt"
)

func main() {
  // this would not be a main, it would be a process listening on a channel piped into from serveHTTP
  switch os.Args[1] {
  case "run":
    run()
  case "child":
    child()
  default:
    panic("Unknown command")
  }
}

func run() {
  // fork a _clone_ process off in the command (execute the self process)
  cmd := exec.Command("/proc/self/exe", append([]string{"child"}, os.Args[2:]...)...)
  cmd.Stdin = os.Stdin
  cmd.Stdout = os.Stdout
  cmd.Stderr = os.Stderr
  cmd.SysProcAttr = &syscall.SysProcAttr{
    Cloneflags:  syscall.CLONE_NEWUTS | syscall.CLONE_NEWPID,
  }

  if err := cmd.Run(); err != nil {
    panic(err)
  }
}

func child() {
  // this would be one of the action functions
  fmt.Printf("running %v as %v\n", os.Args[2:], os.Getpid())

  cmd := exec.Command(os.Args[2], os.Args[3:]...)
  cmd.Stdin = os.Stdin
  cmd.Stdout = os.Stdout
  cmd.Stderr = os.Stderr
  if err := cmd.Run(); err != nil {
    panic(err)
  }
}

它摘自一次精彩的演讲，但我现在找不到链接，它在另一台机器的历史记录中。

在这个措辞错误的问题中：允许非超级用户运行进程分叉和克隆自身（可能重复）@sourcejedi 部分地阐明了我计划中的上述问题。