Fix comments and add check in lxc_poll.

Add check whether handler->conf->console.path is 'none'

Signed-off-by: LiFeng <lifeng68@huawei.com>

 Adapt lxc_setup_console() to bind mount 'console'

Signed-off-by: LiFeng <lifeng68@huawei.com>

Create console when the rootfs is NULL

Signed-off-by: LiFeng <lifeng68@huawei.com>

Merge pull request #2089 from brauner/2018-01-17/restore_blocking_wait

lxccontainer: restore blocking wait()

commands: add LXC_CMD_SERVE_STATE_CLIENTS

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

freezer: non-functional changes

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

lxccontainer: restore blocking wait()

Closes #2027.
Closes lxc/go-lxc#98.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2061 from brauner/2017-12-23/attach_allocate_pty_in_api

attach: add LXC_ATTACH_ALLOCATE_PTY

utils: check suffix length

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

test: log error on failure

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

utils: do not rely on unitialized variable

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2086 from kunkku/alpine-ptrace

lxc-alpine: allow retaining sys_ptrace per container

lxc-alpine: allow retaining sys_ptrace per container

Signed-off-by: Kaarle Ritvanen <kaarle.ritvanen@datakunkku.fi>

Merge pull request #2085 from duguhaotian/master

[console] return wrong console logsize

[console] return wrong console logsize

get_config_console_logsize want console.buffer_size not c->autodev

Signed-off-by: duguhaotian <duguhaotian@gmail.com>

tests: do not call close() on invalid fd

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

console: set SFD_CLOEXEC on signal fd

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

start: non-functional changes

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

tools: honor --console and --console-log

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

attach: move pty allocation into api

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

attach_options: add log_fd argument

This will be used to log the output of attach to.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

attach: minor tweaks

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

console: add lxc_pty_map_ids()

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

console: adapt lxc_console_mainloop_add()

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

attach: cleanup attach_child_main()

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

console: add some pty helpers

- int lxc_make_controlling_pty()
- int lxc_login_pty()
- void lxc_pty_conf_free()
- void lxc_pty_info_init()
- void lxc_pty_init()

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

start: non-functional changes

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: move ringbuffer members to anonymous struct

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

console: move pty creation to separate function

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

confile: improve log messages

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2080 from tych0/add-idmap-parse-error-message

add some idmap parsing error messages

add some idmap parsing error messages

otherwise, we just get a return value of false from setting config failure,
with no indication as to what actually failed in the log.

Signed-off-by: Tycho Andersen <tycho@tycho.ws>

Merge pull request #2078 from tych0/usernsexec-exit-status

fix up lxc-usernsexec's exit status

fix up lxc-usernsexec's exit status

* exit(1) when there is an option parsing error
* exit(0) when the user explicitly asks for help
* exit(1) when the user specifies an invalid option

Signed-off-by: Tycho Andersen <tycho@tycho.ws>

Merge pull request #2077 from lifeng68/Fix_segment_fault

Add return check for 'lxc_cmd_get_name'

Add return check for 'lxc_cmd_get_name'

If 'lxc_cmd_get_name' failed and return with NULL, this would cause a segment fault.

Signed-off-by: LiFeng <lifeng68@huawei.com>

Merge pull request #2075 from stgraber/master

lxc_get_version() should show the "-devel" suffix

Include -devel suffix in version string

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

Fix broken indentation

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

Merge pull request #2067 from brauner/2018-01-03/allow_fully_unprivileged_containers

conf: write "deny" to /proc/[pid]/setgroups

Merge pull request #2068 from brauner/2018-01-03/cleanup_command_after_revert

commands: fully revert set_running_config_item()

cgfsng: only establish mapping once

When we deleted cgroups for unprivileged containers we used to allocate a new
mapping and clone a new user namespace each time we delete a cgroup. This of
course meant - on a cgroup v1 system - doing this >= 10 times when all
controllers were used. Let's not to do this and only allocate and establish a
mapping once.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: rework userns_exec_1()

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: non-functional changes

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: write "deny" to /proc/[pid]/setgroups

When fully unprivileged users run a container that only maps their own {g,u}id
and they do not have access to setuid new{g,u}idmap binaries we will write the
idmapping directly. This however requires us to write "deny" to
/proc/[pid]/setgroups otherwise any write to /proc/[pid]/gid_map will be
denied.

On a sidenote, this patch enables fully unprivileged containers. If you now set
lxc.net.[i].type = empty no privilege whatsoever is required to run a container.

Enhances #2033.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>
Cc: Felix Abecassis <fabecassis@nvidia.com>
Cc: Jonathan Calmels <jcalmels@nvidia.com>
Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2069 from stgraber/master

gentoo: Add support for .xz tarballs

Merge pull request #2070 from hallyn/2018-01-03/staticlibcap

configure.ac: fix the check for static libcap

configure.ac: fix the check for static libcap

The existing check doesn't work, because when you statically
link a program against libc, any functions not called are not
included.  So cap_init() which we check for is not there in
the built binary.

So instead just check whether a "gcc -lcap -static" works.
If libcap.a is not available it will fail, if it is it will
succeed.

Signed-off-by: Serge Hallyn <shallyn@cisco.com>

gentoo: Add support for .xz tarballs

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

commands: fully revert set_running_config_item()

The noop implementation is pointless.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2065 from brauner/2017-01-01/revert_set_running_config_item

lxccontainer: revert set_running_config_item()

Merge pull request #2066 from brauner/2017-01-02/support_no_root_mappings

Support configurations without root mapping

conf: detect if devpts can be mounted with gid=5

Closes #2033.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

cgfsng: use init {g,u}id

If no id mapping for the container's root id is defined try to us the id
mappings specified via lxc.init.{g,u}id.

Closes #2033.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf{ile}: detect ns{g,u}id mapping for root

Closes #2033.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: adapt userns_exec_1()

Closes #2033.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: adapt idmap helpers

- mapped_hostid_entry()
- idmap_add()

Closes #2033.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

lxccontainer: revert set_running_config_item()

- As discussed we will have a proper API extension that will allow updating
  various parts of a running container. The prior approach wasn't a good idea.

- Revert this is not a problem since we haven't released any version with the
  set_running_config_item() API extension.

- I'm not simply reverting so that master users can still call into new
  liblxc's without crashing the container. This is achieved by keeping the
  commands callback struct member number identical.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2062 from brauner/2017-12-25/capture_output_of_short_lived_init_process

mainloop: capture output of short-lived init procs

mainloop: use epoll_create1(EPOLL_CLOEXEC)

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

console: do not allow non-pty devices on open()

We don't allow non-pty devices anyway so don't let open() create unneeded
files.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

start: properly cleanup mainloop

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2063 from marcosps/lxcconfig_help

lxc_config: Add -h and --help flags handler

lxc_config: Add -h and --help flags handler

As the other tools already handle, show usage message when -h or --help
are used.

Signed-off-by: Marcos Paulo de Souza <marcos.souza.org@gmail.com>

mainloop: capture output of short-lived init procs

The handler for the signal fd will detect when the init process of a container
has exited and cause the mainloop to close. However, this can happen before the
console handlers - or any other events for that matter - are handled. So in the
case of init exiting we still need to allow for all buffered input to the
console to be handled before exiting. This allows us to capture output from
short-lived init processes.

This is conceptually equivalent to my implementation of ExecReaderToChannel()
https://github.com/lxc/lxd/blob/master/shared/util_linux.go#L527

Closes #1694.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

mainloop: add mainloop macros

This makes it clearer why handlers return what value.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2058 from brauner/2017-12-22/bugfixes

start: fix death signal

start: handle setting death signal smarter

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

start: fix death signal

On set{g,u}id() the kernel does:

  /* dumpability changes */
if (!uid_eq(old->euid, new->euid) ||
    !gid_eq(old->egid, new->egid) ||
    !uid_eq(old->fsuid, new->fsuid) ||
    !gid_eq(old->fsgid, new->fsgid) ||
    !cred_cap_issubset(old, new)) {
if (task->mm)
set_dumpable(task->mm, suid_dumpable);
task->pdeath_signal = 0;
smp_wmb();
}

which means we need to re-enable the deat signal after the set{g,u}id().

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2057 from brauner/2017-12-22/bugfixes

start: simplify cgroup namespace preservation

start: simplify cgroup namespace preservation

Since we are now dumpable we can open /proc/<child-pid>/ns/cgroup so let's
avoid the overhead of sending around fds.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

start: make us dumpable

When set set{u,g}id() the kernel will make us undumpable. This is unnecessary
since we can guarantee that whatever is running inside the child process at
this point this is fully trusted by the parent. Making us dumpable let's users
use debuggers on the child process before the exec as well and also allows us
to open /proc/<child-pid> files in lieu of the child.
Note, that we only need to perform the prctl(PR_SET_DUMPABLE, ...) if our
effective uid on the host is not 0. If our effective uid on the host is 0 then
we will keep all capabilities in the child user namespace across set{g,u}id().

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2042 from brauner/2017-12-15/bugfixes

start: tweaks + bugfixes

Merge pull request #2052 from brauner/2017-12-19/unprivileged_btrfs_regression

btrfs: fix unprivileged snapshot creation

start: log closing cmd socket and STOPPED state

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

start: use lxc_raw_clone_cb() where possible

This way we can rely on the kernel's copy-on-write support similar to fork().

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

namespace: add lxc_raw_clone_cb()

This is a copy-on-write (no stack passed) variant of lxc_clone().

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

namespace: comment lxc_{raw_}clone()

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

tree-wide: s/getpid()/lxc_raw_getpid()/g

This is to avoid bad surprises caused by older glibc's pid cache (up to 2.25)
when using clone().

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

namespace: add lxc_raw_getpid()

Because of older glibc's pid cache (up to 2.25) whenever clone() is called the
child must must retrieve it's own pid via lxc_raw_getpid().

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

tests: expand lxc_raw_clone() tests

- test CLONE_VFORK
- test CLONE_FILES

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2047 from brauner/2017-12-18/attach_lsm_confinement

attach: simplify significantly

attach: handle /proc with hidepid={1,2} property

Receive fd for LSM security module before we set{g,u}id(). The reason is that
on set{g,u}id() the kernel will a) make us undumpable and b) we will change our
effective uid. This means our effective uid will be different from the
effective uid of the process that created us which means that this processs no
longer has capabilities in our namespace including CAP_SYS_PTRACE. This means
we will not be able to read and /proc/<pid> files for the process anymore when
/proc is mounted with hidepid={1,2}. So let's get the lsm label fd before the
set{g,u}id().

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

attach: use lxc_raw_clone()

This let's us simplify the whole file a lot and makes things way clearer. It
also let's us avoid the infamous pid cache.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

attach: simplify significantly

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #2055 from marcosps/cgfsng_debug

cgfsng: Add new macro to print errors

Merge pull request #2013 from 3XX0/oci-dhcp-improvements

Improve the dhclient hook for OCI compat

cgfsng: Add new macro to print errors

At this point, macros such DEBUG or ERROR does not take effect because
this code is called from cgroup_ops_init(cgroup.c), which runs with
__attribute__((constructor)), before any log level is set form any tool
like lxc-start, so these messages are lost.

For now on, use the same LXC_DEBUG_CGFSNG environment variable to
control these messages.

Signed-off-by: Marcos Paulo de Souza <marcos.souza.org@gmail.com>

lxc-oci: add DHCP option leveraging dhclient hooks

Signed-off-by: Jonathan Calmels <jcalmels@nvidia.com>

lxc-oci: read configuration from oci.common.conf if available

Signed-off-by: Jonathan Calmels <jcalmels@nvidia.com>

lxc-net: add LXC_DHCP_PING boolean option

Excerpt from dnsmasq(8):
By default, the DHCP server will attempt to ensure that an address in not
in use before allocating it to a host. It does this by sending an ICMP echo
request (aka "ping") to the address in question. If it gets a reply, then the
address must already be in use, and another is tried. This flag disables this check.

This is useful if one expects all the containers to get an IP address
from the LXC authoritative DHCP server and wants to speed up the process
of getting a lease.

Signed-off-by: Jonathan Calmels <jcalmels@nvidia.com>

hooks: dhclient hook improvements

- Merge dhclient-start and dhclient-stop into a single hook.
- Wait for a lease before returning from the hook.
- Generate a logfile when LXC log level is either DEBUG or TRACE.
- Rely on namespace file descriptors for the stop hook.
- Use settings from /<sysconf>/lxc/dhclient.conf if available.
- Attempt to cleanup if dhclient fails to shutdown properly.

Signed-off-by: Jonathan Calmels <jcalmels@nvidia.com>

Merge pull request #2048 from duguhaotian/master

[monitor] wrong statement of break

Merge pull request #2015 from flx42/nvidia-mount-hook

hooks: add mount hook to configure access to NVIDIA GPUs

Merge pull request #2050 from tanyifeng/small_fix

conf.c: small fix for args of mount_entry

Merge pull request #2053 from tenforward/japanese

Update Japanese lxc.container.conf(5)

doc: Add relative option for lxc.mount.entry to Japanese lxc.container.conf(5)

and:
* remove empty paragraph in English man
* untabify in Japanese man

Signed-off-by: KATOH Yasufumi <karma@jazz.email.ne.jp>

doc: Translate the hook of network into Japanese in lxc.container.conf(5)

Update for commit 14a7b0f

Signed-off-by: KATOH Yasufumi <karma@jazz.email.ne.jp>

doc: Add the description of new style hook to Japanese lxc.containers.conf(5)

Signed-off-by: KATOH Yasufumi <karma@jazz.email.ne.jp>

doc: Add proc section to Japanese lxc.container.conf(5)

Update for commit 61d7a73

Signed-off-by: KATOH Yasufumi <karma@jazz.email.ne.jp>