サンドボックス化された API のスタートガイド

このページでは、Sandboxed API（SAPI）を使用して独自のサンドボックス化された C/C++ ライブラリを作成する方法について説明します。ヘッダー ファイルの例とコード ドキュメントとともに、ガイドとして使用してください。

ビルド依存関係

システムに次の依存関係をインストールする必要があります。

  • UTS、IPC、ユーザー、PID、ネットワーク名前空間をサポートする Linux カーネル
  • Linux ユーザー空間 API ヘッダー
  • コードをコンパイルする場合: GCC 6（バージョン 7 以降を推奨）または Clang 7（以降）
  • ヘッダー ファイルの自動生成: Clang Python バインディング
  • Python 3.5 以降
  • Bazel バージョン 2.2.0 または CMake バージョン 3.12 以降。
    • CMake のみ: GNU Make、または libcap ライブラリ ヘッダーのバージョンと、Ninja などのビルドツール（推奨）。

Bazel の使用

Bazel は推奨されるビルドシステムであり、最も簡単に統合できます。

このドキュメントでは Clang コンパイラを使用します。特定のツールチェーン（コンパイラ、リンカーなど）が必要な場合は、Bazel のドキュメントで、デフォルトのコンパイラ ツールチェーンを変更する方法をご覧ください。

Debian 10（Buster）

ビルドの依存関係をインストールするには:

echo "deb http://storage.googleapis.com/bazel-apt stable jdk1.8" | \
  sudo tee /etc/apt/sources.list.d/bazel.list
wget -qO - https://releases.bazel.build/bazel-release.pub.gpg | sudo apt-key add -
sudo apt-get update
sudo apt-get install -qy build-essential linux-libc-dev bazel python3 \
  python3-pip libclang-dev
pip3 install clang

Gentoo

必要なカーネル オプション:

General setup  --->
-*- Namespaces support
[*]   UTS namespace
[*]   IPC namespace
[*]   User namespace (EXPERIMENTAL)
[*]   PID Namespaces
[*]   Network namespace

ビルドの依存関係をインストールするには:

emerge dev-util/bazel dev-python/typing dev-python/clang-python

CMake を使用する

CMake は、Ninja や Make などのビルドツールのプロジェクト ファイルを生成する、一般的なオープンソースのメタビルドシステムです。

Debian 10（Buster）

ビルドの依存関係をインストールするには:

sudo apt-get install -qy build-essential linux-libc-dev cmake ninja-build \
  python3 python3-pip libclang-dev libcap-dev
pip3 install absl-py clang

Gentoo

必要なカーネル オプション:

General setup  --->
-*- Namespaces support
[*]   UTS namespace
[*]   IPC namespace
[*]   User namespace (EXPERIMENTAL)
[*]   PID Namespaces
[*]   Network namespace

ビルドの依存関係をインストールするには:

emerge sys-kernel/linux-headers dev-util/cmake dev-util/ninja \
dev-python/clang-python

開発プロセス

C/C++ ライブラリをサンドボックス化するには、プロジェクト用に次の 2 つのアイテムを準備する必要があります。

Sandbox2 の例の zlib をご存知の方もいらっしゃるかもしれませんが、ここではプログラム全体（zpipe.c）がサンドボックス化されています。次の手順では、SAPI を使用して zlib ライブラリをサンドボックス化し、サンドボックス化されたライブラリを使用する方法について説明します。

1. 必要な関数を決定する

zlib ホストコード（main_zlib.cc）を見ると、このツールの機能は、stdin からデータを読み取り、zlib の deflate() 関数を使用して、EOF マーカーが読み取られるまでデータを圧縮することです。このプログラムでは、zlib の 3 つの関数を使用しています。

  • deflateInit_(): 圧縮用に初期化する
  • deflate(): データチャンクに対して圧縮オペレーションを実行します。
  • deflateEnd(): 圧縮を終了し、動的に割り当てられたデータ構造を解放します。

実際の例では、C/C++ ライブラリを確認し、必要な関数を決定します。考えられる戦略は、ホストコードから始めて、サンドボックス化されていないライブラリを使用することです。次に、2 番目のステップで、サンドボックス化されたライブラリを生成し、サンドボックス化された関数呼び出しを使用するようにホストコードを適応させます。

2. sapi_library ビルドルールを作成する

サンドボックス化された zlib ライブラリから必要な 3 つの zlib 関数を特定したら、BUILD ファイルでビルドルールを定義できます。sapi_library ビルドルールのドキュメントについては、ビルドルールのページをご覧ください。

次のコード スニペットは、zlib SAPI の例の sapi_library 定義を示しています。lib 属性を使用すると、Bazel は WORKSPACE ファイルで zlib ライブラリを探すように指示されます。

sapi_library(
    name = "zlib-sapi",
    srcs = [],
    hdrs = [],
    functions = [
        "deflateInit_",
        "deflate",
        "deflateEnd",
    ],
    lib = "@net_zlib//:zlib",
    lib_name = "Zlib",
    namespace = "sapi::zlib",
)

その結果、サンドボックス化された zlib ライブラリが生成されます。出力は SAPI オブジェクトです。これはホストコードに含めることができ、RPC 呼び出しを使用してサンドボックス化されたライブラリと通信するために使用できます。

この例では、DefaultConfig（sapi::SandboxConfig::DefaultConfig()）で提供されるデフォルトのサンドボックス構成を使用しています。

3. ホストコードを書き込む、または変更する

次に、生成された SAPI ライブラリをホストコードに組み込みます。

サンドボックスを作成する

sapi::zlib::ZlibSandbox sandbox; を使用してサンドボックス オブジェクトを作成します。

sapi::zlib::ZlibApi api(&sandbox); を使用して SAPI オブジェクトをインスタンス化し、サンドボックス化された関数を使用できるようにします。

サンドボックス ポリシー、フラグ、環境変数、上限をカスタマイズするには、sapi::SandboxConfig::DefaultConfig() から開始し、関連するフィールドを変更して（sapi::Sandbox2Config::DefaultPolicyBuilder()、sapi::SandboxConfig::DefaultFlags()、sapi::SandboxConfig::DefaultEnvironmentVariables() を使用してベースライン設定が保持されるようにします）、sapi::SandboxConfig をサンドボックス コンストラクタに渡します。

sapi::SandboxConfig config = sapi::SandboxConfig::DefaultConfig();
config.sandbox2.policy = sapi::Sandbox2Config::DefaultPolicyBuilder()
                             .AddFile("/path/to/file")
                             .BuildOrDie();
auto flags = sapi::SandboxConfig::DefaultFlags();
flags["my_flag"] = "value";
config.command_line_flags = std::move(flags);

sapi::zlib::ZlibSandbox sandbox(std::move(config));

SAPI タイプを使用する

SAPI 型は、SAPI が提供する C++ クラスの形式の特殊な型です。これは、通常の C 型が機能しない場合があるためです。

SAPI 型の最初の使用は、strm の宣言で確認できます。ここでは、SAPI 構造体 sapi::v::Struct<sapi::zlib::z_stream> strm; が使用されています。

テンプレート タイプ（sapi::zlib::z_stream）は、ビルドルールによって自動的に生成されるコードの好例です。

詳細については、変数のページをご覧ください。

API 呼び出しを行う

defalteInit_、deflate、deflateEnd のいずれかを呼び出すには、SAPI オブジェクトを使用します。「変更」アプローチを使用する場合は、関数のパラメータが想定される値と一致していることを確認する必要があります。

zlib の例の各呼び出しの例:

  • api.deflateInit_(strm.PtrBoth(), Z_DEFAULT_COMPRESSION,
    version.PtrBefore(), sizeof(sapi::zlib::z_stream));
  • api.deflate(strm.PtrBoth(), flush);
  • api.deflateEnd(strm.PtrBoth()).IgnoreError();

SAPI トランザクションの使用

SAPI は、ホストコードをサンドボックス化されたライブラリから分離し、問題のあるデータ処理リクエストを再起動または中止する機能を呼び出し元に提供します。SAPI トランザクションは、さらに一歩進んで、失敗したプロセスを自動的に繰り返します。

詳しくは、SAPI トランザクション ページをご覧ください。

例

[Examples] には、SAPI チームがすでに用意しているライブラリがいくつかあります。