Distribution EOLE

Sur AmonEcole 2.10, la valeur kernel.yama.ptrace_scope=3, définie dans /etc/sysctl.conf, empêche LXCFS d’accéder aux informations du processus appelant nécessaires à la génération des fichiers virtualisés /proc/meminfo, /proc/cpuinfo et /proc/stat.

Ces fichiers deviennent alors vides dans le conteneur addc, ce qui fait échouer free, psutil et ensuite Salt avec KeyError: b'MemTotal:'.

Le retour à kernel.yama.ptrace_scope=1, suivi d’un redémarrage de l’hôte, restaure le fonctionnement normal de LXCFS et des tests clients Linux.

proposition =>
Deja géré par eole-common => /usr/share/eole/creole/distrib/sysctl.conf
Dans eole-common modifier la dernière ligne du fichier eole-common/tmpl/sysctl.conf pour remplacer 3 par 1

-------
méthode
-------

1. démarrage d'un amonecole etb3, connexion ssh addc, et lancement meminfo
2. logs amonecole : ptrace attach of "head -n 5 /proc/meminfo" was attempted by "/usr/bin/lxcfs /var/lib/lxcfs"
en cherchant on voit des limitation a YAMA => https://docs.kernel.org/admin-guide/LSM/Yama.html
or l'amonecole utilise justement : kernel.yama.ptrace_scope = 3, cas ou => citation "no processes may use ptrace with PTRACE_ATTACH nor via PTRACE_TRACEME. Once set, this sysctl value cannot be changed."

pour voir ce paramètre : sysctl -n kernel.yama.ptrace_scope

3. des incohérences dans le code ?

/etc/sysctl.conf:56:kernel.yama.ptrace_scope=3
/etc/sysctl.d/99-sysctl.conf:56:kernel.yama.ptrace_scope=3
/etc/sysctl.d/10-ptrace.conf:22:kernel.yama.ptrace_scope = 1

Le fichier chargé le plus tard l’emporte : la valeur 3 écrase donc la valeur Ubuntu 1.

lrwxrwxrwx 1 root root   14 juin   5 17:36 /etc/sysctl.d/99-sysctl.conf -> ../sysctl.conf

4. garder pour trace :

root@amonecole:~# /usr/lib/systemd/systemd-sysctl --cat-config |
grep -nE '(^# /|kernel\.yama\.ptrace_scope)'
1:# /usr/lib/sysctl.d/10-apparmor.conf
17:# /etc/sysctl.d/10-bufferbloat.conf
27:# /etc/sysctl.d/10-console-messages.conf
31:# /etc/sysctl.d/10-ipv6-privacy.conf
45:# /etc/sysctl.d/10-kernel-hardening.conf
57:# /proc/modules, etc), and this setting can censor the addresses. A value
72:# /etc/sysctl.d/10-magic-sysrq.conf
100:# /etc/sysctl.d/10-map-count.conf
105:# /etc/sysctl.d/10-network-security.conf
113:# /etc/sysctl.d/10-ptrace.conf
135:kernel.yama.ptrace_scope = 1
137:# /etc/sysctl.d/10-zeropage.conf
148:# /etc/sysctl.d/30-lxc-inotify.conf
159:# /usr/lib/sysctl.d/50-bubblewrap.conf
164:# /etc/sysctl.d/50-bubblewrap.conf and change the value of this parameter
168:# /usr/share/doc/bubblewrap/README.Debian
171:# /usr/lib/sysctl.d/50-pid-max.conf
189:# /etc/sysctl.d/99-eole-dirtyfrag.conf
192:# /usr/lib/sysctl.d/99-protect-links.conf
204:# /etc/sysctl.d/99-sysctl.conf
260:kernel.yama.ptrace_scope=3

5. test :

on change le 3 en 1 dans /usr/share/eole/creole/distrib/sysctl.conf, reconfigure et on validation :

grep -n 'kernel.yama.ptrace_scope' \
    /etc/sysctl.conf \
    /etc/sysctl.d/99-sysctl.conf \
    /etc/sysctl.d/10-ptrace.conf

Application des modif, il faut obligatoirement redémarrer le serveur pour un changement de valeur de kernel.yama.ptrace_scope :

reboot

contrôle des modif :

sysctl kernel.yama.ptrace_scope

résultat attendus : kernel.yama.ptrace_scope = 1

deux terminaux, un pour amonecole, un pour addc

sur amonecole :
journalctl -u lxcfs -f

ssh addc après l'affichage continue des logs :

wc -c /proc/meminfo /proc/cpuinfo /proc/stat
head -n 5 /proc/meminfo
free -m

résultat :

amonecole :
pas de retour dans les logs : dpkg -S /etc/sysctl.d/10-ptrace.conf

addc :

root@addc:~# wc -c /proc/meminfo /proc/cpuinfo /proc/stat
1531 /proc/meminfo
5896 /proc/cpuinfo
1276 /proc/stat
8703 total
root@addc:~# head -n 5 /proc/meminfo
MemTotal:        8127308 kB
MemFree:         7310976 kB
MemAvailable:    7512800 kB
Buffers:               0 kB
Cached:           201824 kB
root@addc:~# free -m
               total       utilisé      libre     partagé tamp/cache   disponible
Mem:            7936         600        7139           3         197        7336
Échange:           0           0           0