Linux capabilities

Linux capabilities — механизм ядра Linux, разделяющий широкие полномочия суперпользователя на отдельные возможности, например изменение сетевых настроек, загрузку модулей, смену UID или привязку к привилегированному порту. Каждая возможность предоставляет ограниченный набор действий. Для процесса ядро учитывает наборы capabilities, включая permitted, effective, inheritable, bounding и ambient. Возможности могут назначаться исполняемому файлу как файловые атрибуты либо передаваться процессу при управляемом запуске. Доступность конкретной возможности зависит также от пространств имён, ограничений контейнера и политики безопасности системы. Механизм применяется для запуска служб и контейнеров с меньшим объёмом привилегий, чем полный root. Например, процессу может быть предоставлена только capability, необходимая для сетевой операции, без права выполнять другие административные действия. Linux capabilities не являются обычными правами файлов Unix и не заменяют sudo: sudo управляет запуском команд от имени другой учётной записи, а capabilities определяют полномочия процесса в ядре. Они также не отменяют проверки SELinux, которые могут запретить действие даже при наличии нужной capability.