granicus.if.org Git - linux-pam/blob - modules/pam_namespace/namespace.conf.5

   1 .\"Generated by db2man.xsl. Don't modify this, modify the source.
   2 .de Sh \" Subsection
   3 .br
   4 .if t .Sp
   5 .ne 5
   6 .PP
   7 \fB\\$1\fR
   8 .PP
   9 ..
  10 .de Sp \" Vertical space (when we can't use .PP)
  11 .if t .sp .5v
  12 .if n .sp
  13 ..
  14 .de Ip \" List item
  15 .br
  16 .ie \\n(.$>=3 .ne \\$3
  17 .el .ne 3
  18 .IP "\\$1" \\$2
  19 ..
  20 .TH "NAMESPACE.CONF" 5 "" "" ""
  21 .SH NAME
  22 namespace.conf \- the namespace configuration file
  23 .SH "DESCRIPTION"
  24
  25 .PP
  26 This module allows setup of private namespaces with polyinstantiated directories\&. Directories can be polyinstantiated based on user name or, in the case of SELinux, user name, security context or both\&. If an executable script \fI/etc/security/namespace\&.init\fR exists, it is used to initialize the namespace every time a new instance directory is setup\&. The script receives the polyinstantiated directory path and the instance directory path as its arguments\&.
  27
  28 .PP
  29 The \fI/etc/security/namespace\&.conf\fR file specifies which directories are polyinstantiated, how they are polyinstantiated, how instance directories would be named, and any users for whom polyinstantiation would not be performed\&.
  30
  31 .PP
  32 When someone logs in, the file \fInamespace\&.conf\fR is scanned where each non comment line represents one polyinstantiated directory with space separated fields as follows:
  33
  34 .PP
  35  \fIpolydir\fR  \fI instance_prefix\fR  \fI method\fR  \fI list_of_uids\fR
  36
  37 .PP
  38 The first field, \fIpolydir\fR, is the absolute pathname of the directory to polyinstantiate\&. Special entry $HOME is supported to designate user's home directory\&. This field cannot be blank\&.
  39
  40 .PP
  41 The second field, \fIinstance_prefix\fR is the string prefix used to build the pathname for the instantiation of <polydir>\&. The directory security context, or optionally its md5sum string (32 hex characters), is appended to the prefix to generate the final instance directory path\&. This directory is created if it did not exist already, and is then bind mounted on the <polydir> to provide an instance of <polydir> based on the <method> column\&. The special string $HOME is replaced with the user's home directory, and $USER with the username\&. This field cannot be blank\&. The directory where polyinstantiated instances are to be created, must exist and must have, by default, the mode of 000\&. The requirement that the instance parent be of mode 000 can be overridden with the command line option <ignore_instance_parent_mode>
  42
  43 .PP
  44 The third field, \fImethod\fR, is the method used for polyinstantiation\&. It can take 3 different values; "user" for polyinstantiation based on user name, "context" for polyinstantiation based on process security context, and "both" for polyinstantiation based on both user name and security context\&. Methods "context" and "both" are only available with SELinux\&. This field cannot be blank\&.
  45
  46 .PP
  47 The fourth field, \fIlist_of_uids\fR, is a comma separated list of user names for whom the polyinstantiation is not performed\&. If left blank, polyinstantiation will be performed for all users\&.
  48
  49 .SH "EXAMPLES"
  50
  51 .PP
  52 These are some example lines which might be specified in \fI/etc/security/namespace\&.conf\fR\&.
  53
  54 .nf
  55
  56       # The following three lines will polyinstantiate /tmp,
  57       # /var/tmp and user's home directories\&. /tmp and /var/tmp
  58       # will be polyinstantiated based on both security context
  59       # as well as user name, whereas home directory will be
  60       # polyinstantiated based on security context only\&.
  61       # Polyinstantiation will not be performed for user root
  62       # and adm for directories /tmp and /var/tmp, whereas home
  63       # directories will be polyinstantiated for all users\&.
  64       #
  65       # Note that instance directories do not have to reside inside
  66       # the polyinstantiated directory\&. In the examples below,
  67       # instances of /tmp will be created in /tmp\-inst directory,
  68       # where as instances of /var/tmp and users home directories
  69       # will reside within the directories that are being
  70       # polyinstantiated\&.
  71       #
  72       /tmp     /tmp\-inst/              both      root,adm
  73       /var/tmp /var/tmp/tmp\-inst/      both      root,adm
  74       $HOME    $HOME/$USER\&.inst/inst\- context
  75
  76 .fi
  77
  78 .PP
  79 For the <service>s you need polyinstantiation (login for example) put the following line in /etc/pam\&.d/<service> as the last line for session group:
  80
  81 .PP
  82 session required pam_namespace\&.so [arguments]
  83
  84 .PP
  85 This module also depends on pam_selinux\&.so setting the context\&.
  86
  87 .SH "SEE ALSO"
  88
  89 .PP
  90  \fBpam_namespace\fR(8), \fBpam\&.d\fR(5), \fBpam\fR(8)
  91
  92 .SH "AUTHORS"
  93
  94 .PP
  95 The namespace\&.conf manual page was written by Janak Desai <janak@us\&.ibm\&.com>\&.
  96