Я думаю, что это была бы хорошая функция как для AppArmor, так и для SELinux. В моей ситуации я пытался использовать Ubuntu Snaps и не смог «ограничить» их в контейнере, поскольку AppArmor не удалось запустить. Когда я искал, как установить опцию LXC "security.nesting=true" для данного контейнера, мне не удалось найти способ сделать это в PVE. Таким образом, это фактически мешает мне запускать AppArmor или SELinux в «непривилегированных» контейнерах. Упомянутый профиль, удаляет ли он какие-либо защиты по сравнению с просто установкой 'security.nesting'? Есть ли планы добавить опцию в PVE для использования 'security.nesting'?

Даже с учетом вышесказанного, я получаю: root@server:~# snap install rocketchat-server ошибка: невозможно выполнить следующие задачи: - Настройка безопасных профилей.snap "core" (5328) (невозможно настроить apparmor для.snap "core": невозможно загрузить профиль apparmor "snap-update-ns.core": невозможно загрузить профиль apparmor: код возврата 243, вывод apparmor_parser: apparmor_parser: Невозможно заменить "snap-update-ns.core". Доступ запрещен; попытка загрузить профиль в условиях ограничения?) - Настройка безопасных профилей.snap "core" (5328) (невозможно загрузить профиль apparmor "snap-update-ns.core": невозможно загрузить профиль apparmor: код возврата 243, вывод apparmor_parser: apparmor_parser: Невозможно заменить "snap-update-ns.core". Доступ запрещен; попытка загрузить профиль в условиях ограничения?)

С pve-container >=2.0-28 вы можете начать тестировать настройку `features` в контейнерах. Удалите любые пользовательские строки `lxc.apparmor.profile` и используйте `features: nesting=1`, если хотите просто вложить lxc или lxd. Если хотите вложить docker в _непривилегированный_ контейнер, вам также нужно добавить 'keyctl' в список функций (это приведет к тому, что systemd-networkd откажется работать, кстати. - по всей видимости, systemd-networkd нормально относится к отсутствию keyctl(), а docker - нет, но если он существует, docker будет рад, а вот systemd-networkd абсолютно против непривилегированного доступа...). Правка: исправлен пример `features` (не хватало `=1`).

Да, именно так. Извините, должно быть `features: nesting=1`. (Также я обновил свой пост выше.) Дополнительно: вы можете посмотреть страницу man для `pct(1)`, чтобы немного больше узнать о строке `features`. Если прокрутить вниз до раздела `Configuration` и подраздела `Options`, там есть дополнительные детали об отдельных ключах в строке features.

@wbumiller Я только что попробовал ваше предложение добавить параметр nesting=1 в LXC контейнере на Ubuntu 18.04. Всё запускается нормально. Затем я устанавливаю snapd, но служба snapd.service не запускается. Я пробовал запускать контейнер как в непривилегированном, так и в привилегированном режиме, но это не дало результата. Мне немного неясно, нужно ли мне всё ещё добавлять /etc/apparmor.d/lxc/lxc-default-cgns-with-nesting или этот шаг сейчас не нужен? Я использую pve-manager/5.2-9/4b30e8f9 и pve-container=2.0-28.