> http://www.freedesktop.org/software/systemd/man/systemd-nspa... А я не знаю - отаплейтили там на 220 версию или нет. С практической точки зрения - я --help читаю 0-м делом, если этого мало то ман - первым. Остальное - вторым. После чepтыханий на документацию.
И то что я смотрю на мир через призму своих юзкейсов - наверное, логично. Если не всегда совпадает с вашим view - ну извините.
> No manual entry for systemd-nspawn
Честно говоря, я не понимаю смысла читать мануал на программу которой у вас нет. Но если ман нужен - по приведенной ссылке можно взять тарбол. В коем есть мануал. Даже в HTML.
> Нет, я не поленился заранее сделать проверочный git grep NEWUSER. :)
Ну вот, получается что это еще и не аналог как таковой.
> Отчасти для общего образования,
Ок, я узнал... что у systemd название этой утилсы казалось мне дypным. "Но тут снизу постучали". Показав, что оказывается, можно называть тулзы еще менее очевидно. Да еще приписывать их хрензнаеткуда. Интерсная логика. По мнению альтов, эта утилса нужна только разработчикам/майнтайнерам? oO
> (UIDs and GIDs)" из описания --private-users= к "Чтобы только этот пользователь
> мог управлять этим сервисом перезагружать, запускать".
На самом деле это был вопрос немного в сторону - мне интересно как митрофанушка предлагает такое делать без поттера, раз уж он sudo размахивает. Поцтер может немного больше: он в отличие от sudo и прочих - в курсе что такое namespaces. Закончится все это тем что докеры-чпокеры пойдут курить бамбук, т.к. systemd и без них обойдется и в отличие от - есть по дефолту в куче дистров :)
Отделение в новый namespace-ов в этом плане - "не совсем то". В том плане что хост сохраняет возможности воздействовать на контейнер. Но в контейнере пользователи свои, и при должном маппинге, они на хосте - никто. Собственно один из самых контейнеристых флагов во всем clone() :)
> Тогда уж резонней выдать тому пользователю рута в ovz-шном контейнере...
По смыслу будет примерно то же самое. Собственно, без маппинга UIDов контейнеры получаются достаточно условными - абстракция получается не полной. Не совсем понимаю почему поцтер запилил это только сейчас, но "лучше поздно чем никогда".
И нет, я конечно если сильно надо, я и сам дерну clone(), но намного лучше если кто-нибудь (например, поцтер) это сделает за меня. Желательно чтобы это еще и по дефолту было. ИМХО довольно странно, когда ядро умеет фичу, а юзермод отстает и не дает ей воспользоваться.
