サンドボックスはどのように必要ですか？

Question

私は、ユーザネームスペースをカーネル内で無効にしたり、他のメカニズムを使用して、サンドボックスを誤って無効にしないようにしたいと思います。ビルド結果を信頼できるようにしたい。どのようにフラグを介してサンドボックスを強制するのですか？

Answer 1

あなたが代わりに頼るの明示的なスポーン戦略を指定することができます（私はこれをテストするために見つけた最も簡単な方法は、/ binに/真のどこか別の場所に一時的に移動し、Bazelが何かを構築することを拒否していることを確認することです）アルゴリズム「利用可能な最善の選択」：これができるようになる

bazel build --spawn_strategy=linux-sandbox

すると、ユーザーの名前空間は利用できない場合は、エラーで失敗構築します。 macOSでは、戦略の名前は "darwin-sandbox"です。

Javaコードを作成する場合は、Workerサンドボックス（--worker_sandboxing）を有効にするか、永続的なワーカー機能を無効にして、厳しいサンドボックス内でJavaをコンパイルする（--strategy=Javac=linux-sandbox）こともできます。