LPIC-3 仮想化・コンテナ化名前空間と資源制限の区別オリジナル・公式資料照合難易度
Linuxコンテナーのプロセスにno_new_privsを設定した。execによる権限獲得との関係として正しいものはどれか。
A
全ての既存capabilityを直ちに空集合へ変更する
execによる新たな権限獲得の抑止と、既存の全capabilityを剥奪する操作は別である。
B
setuidバイナリを実行すれば、その制約を必ず解除できる
setuid等を通じた新たな特権取得を抑えるための制約である。
C
許可するシステムコールを引数条件付きで列挙するフィルターそのものである
システムコールの許否を選別するseccomp等の機能とは異なる。
D
execによる新たな特権獲得を抑止する★ 正解
set-user-ID等によるexec時の権限獲得にも関係する。
解説
no_new_privsは、execを通じて以前は持っていなかった権限を得ないという制約を設ける。任意のシステムコールを個別に許可・拒否するフィルターそのものではない。
根拠資料・確認情報
対応範囲：LPIC-3 305-300 Version 3.0
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
PID namespace内のPID1としてアプリを直接動かしている。子プロセスを生成するが終了済み子を回収せず、ゾンビが増えている。対策として適切な考えはどれか。
問題 2
別々のnetwork namespaceにある二つのプロセスが、それぞれ自分の127.0.0.1:8080で待ち受けたい。ホスト側のポート公開は行わない。この構成の判断はどれか。
問題 3
mount namespaceでファイルシステムの見え方を分けたLinuxコンテナーを使う。この分離だけでは得られないものはどれか。
問題 4
cgroup v2でmemory.highを設定した。ハード上限memory.maxと取り違えない説明はどれか。