Что именно меняет chroot

После вызова процесс разрешает пути, начинающиеся с /, относительно нового корня. Это может ограничить видимые файлы для непривилегированной службы, но только если администратор подготовил отдельное дерево каталогов и необходимые библиотеки.

В Linux выполнить chroot может процесс с CAP_SYS_CHROOT. Вызов не меняет текущий рабочий каталог, не закрывает уже открытые file descriptors и сам по себе не ограничивает сетевые операции. Поэтому его нельзя считать полной изоляцией недоверенной программы.

Подготовьте только те файлы, библиотеки и устройства, которые нужны сервису. Само изменение корня не блокирует доступ через уже открытые дескрипторы.

Почему это не полноценный контейнер

Документация Linux предупреждает: chroot не предназначен для security sandbox. Суперпользователь может выйти за пределы корня при определенных условиях; открытый дескриптор или неправильно подготовленные каталоги также меняют границу доступа.

Проверяйте границу.

Дерево chroot нужно комплектовать программой, библиотеками и устройствами, к которым должен иметь доступ сервис. Чем больше содержимого оставлено внутри, тем больше компонентов следует обновлять и контролировать.

Контейнерная изоляция может дополнительно использовать namespaces, cgroups и ограничения системных вызовов. Эти механизмы решают разные задачи и требуют правильной конфигурации. Один chroot не создает отдельную сеть, PID namespace или лимит CPU.

Например, вызов не меняет текущий working directory и не закрывает открытые file descriptors. Привилегированный процесс может использовать эти особенности, поэтому один chroot не подходит как защита для враждебного кода.

Для недоверенного кода сочетайте ограничение путей с namespaces, правами процесса и фильтрами системных вызовов. Проверьте, какие bind mounts и дескрипторы остаются доступны.

Одного вызова мало.

Что проверить перед использованием

Сначала определите цель: совместимость путей, изоляция файлов или защита от недоверенного кода. Для сервиса проверьте права каталога, пользователя процесса, mounts и открытые дескрипторы. Не запускайте эксперименты с root на рабочем сервере без консольного доступа и резервной копии конфигурации.

Смотрите namespaces, cgroups и Linux VPS. Использованы Linux man-pages, проверенные 8 октября 2026 года; процессы и файловые системы не менялись.