Linux capabilities(7) описывает отдельные привилегии и их наборы. Это не синоним обычного права чтения файла и не обещание полного административного доступа у любого контейнера.

Capability не универсальное исправление Permission denied

Одинаковый текст ошибки может потребовать разных проверок. Сохраните операцию, пользователя, путь или ресурс и контекст запуска. Не назначайте привилегию до выяснения, какое действие отклонено и каким механизмом.

Учебный пример из справки: CAP_NET_BIND_SERVICE относится к привязке сокета к привилегированным Internet-портам с номерами меньше 1024. Он не разрешает автоматически чтение чужой базы, изменение firewall или вход в приложение. Это пояснение области привилегии, не команда добавить ее сервису.

Широкое разрешение расширяет риск

Руководство отмечает широкий набор операций CAP_SYS_ADMIN. Не считайте его аккуратным решением любой несовместимости. Для конкретного приложения нужно обоснование необходимой операции, границ среды и последствий доступа.

ВопросЧто получить до решения
Какая операция нужна?Точное действие, не «нужен root»
Какой ресурс затронут?Путь, интерфейс или объект без секретов
Какие права уже есть?Контекст процесса и среды
Кто согласует изменение?Ответственного за безопасность и возврат

Набор возможностей внутри namespace нужно читать в контексте среды. Не переносите видимое имя привилегии в утверждение о полномочиях над всем физическим узлом.

Слои проверки нельзя смешивать

Обычные права, capabilities, seccomp и настройки платформы отвечают на разные вопросы. Приложению может мешать правило вызовов, хотя доступ к файлу выглядит подходящим. И наоборот, наличие capability не создает отсутствующий файл или рабочую сеть.

Для подготовки Docker-проекта записывайте необходимые операции отдельно от желаемого режима запуска. Проверка на копии должна подтверждать их с согласованным набором прав. Не публикуйте учетные данные ради обсуждения полномочий.

Источник прочитан 7 октября 2026 года. Capabilities, файлы, владельцы и режим запуска не менялись, новые привилегии не выдавались. Перед любым расширением доступа нужна отдельная оценка; определения находятся в словаре.