Chroot

chroot (Change root) (zu deutsch etwa: wechsel [das] Wurzel[verzeichnis]) ist ein Unix-Dienstprogramm, mit dem das scheinbare Root-Verzeichnis gewechselt werden kann. Damit wird eine neue Umgebung geschaffen, die logisch vom Root-Verzeichnis des Hauptsystems getrennt ist. Diese neue Umgebung wird als "chroot jail" (zu deutsch etwa: chroot-Gefängnis) bezeichnet. Innerhalb des "chroot jails" Eingesperrte, können Dateien, die sich außerhalb dieser Umgebung befinden, weder sehen noch auf diese zugreifen.

Einer der Einsatzschwerpunkte von chroot ist das Erstellen eines separaten Linux-Systems innerhalb des bestehenden Systems zum Zwecke des Testens oder zur Erlangung von Software-Kompatibilität. Chroot wird oft als eine leichtgewichtige Alternative zur Virtualisierung gesehen, weil es ohne den Ballast eines Hypervisors auskommt.

Voraussetzungen

Die Umgebung aufsetzen

Damit ein neues chroot-Setup erstellt werden kann, wird zunächst ein Verzeichnis benötigt, in dem sich das chroot befinden kann. Beispielsweise könnte ein chroot in /mnt/mychroot erstellt werden:

Um eine existierende Installation von einer Partition zu mounten, kann der folgende Befehl ausgeführt werden. Im folgenden Beispiel muss die <DEVICE> Zeichenkette durch das Laufwerk und die Partition der existierenden Installation ersetzt werden:

Wenn zuvor bereits eine Installation in einem Unterverzeichnis des aktuellen Root-Dateisystems erzeugt wurde, können die obigen Schritte übersprungen werden.

Entpacken der Systemdateien

Bei einer Neuinstallation besteht der nächste Schritt darin, den stage3-Tarball herunterzuladen und in der Chroot-Umgebung zu entpacken. Weiterführende Informationen sind unter Stage-Tarball herunterladen und Stage-Tarball entpacken im Gentoo Handbuch zu finden.

Bitte beachten, dass das Entpacken als root durchgeführt werden muss. Andernfalls wird bei der System Aktualisierung der Fehler /proc: mount failed auftreten.

Konfiguration

Vor dem Wechseln in die chroot Umgebung müssen einige Verzeichnisse gemountet werden:

Einige grundlegende Konfigurationsdateien müssen vom Host kopiert werden. Bei der Verwendung einer bestehenden Installation, die Datei /etc/portage/make.conf nicht kopieren:

Bedienung

Ist dieser Schritt erfolgt, kann die Chroot-Umgebung durch die Ausführung der folgenden Befehle betreten werden:

Um sie persistent zu machen, können diese Befehle der .bashrc hinzugefügt werden:

. /etc/profile
export PS1="(chroot) $PS1"

Falls der Fehler Error opening terminal: xterm-kitty auftritt, kann Folgendes zur .bashrc hinzugefügt werden:

export TERM=xterm

Falls eine neue Installation erstellt wird, sollte Portage synchronisiert werden um sicherzustellen, dass alles aktuell ist.

Das System ist jetzt bereit. In diesem kann nun Software installiert, mit Einstellungen herumgespielt, Experimentelle Pakete und Konfigurationen getestet werden, ohne negative Effekte auf das Haupt-System fürchten zu müssen. Um die chroot Umgebung zu verlassen genügt es exit einzugeben, oder Ctrl+d zu drücken. Hierdurch wird die Konsole in die normale Umgebung zurückgesetzt. Die Verzeichnisse, die zuvor gemountet wurden, sollten nun wieder ausgehängt (unmount) werden.

systemd-nspawn

Init-Skripte

Wenn das Aufsetzen von chroots eine Aufgabe ist, die oft durchgeführt werden muss, ist es möglich, das Mounten der Verzeichnisse durch das Verwenden eines Init-Skripts zu beschleunigen. Das Skript kann zum Standard-Runlevel hinzugefügt und somit automatisch beim Systemstart eingerichtet werden:

#!/sbin/openrc-run
 
depend() {
   need localmount
   need bootmisc
}
 
start() {
     ebegin "Mounte chroot-Verzeichnisse"
     mount -o rbind /dev /mnt/mychroot/dev > /dev/null &
     mount -t proc none /mnt/mychroot/proc > /dev/null &
     mount -o bind /sys /mnt/mychroot/sys > /dev/null &
     mount -o bind /tmp /mnt/mychroot/tmp > /dev/null &
     eend $? "Beim Mounten der chroot-Verzeichnisse ist ein Fehler aufgetreten"
}
 
stop() {
     ebegin "Unmounte chroot-Verzeichnisse"
     umount -f /mnt/mychroot/dev > /dev/null &
     umount -f /mnt/mychroot/proc > /dev/null &
     umount -f /mnt/mychroot/sys > /dev/null &
     umount -f /mnt/mychroot/tmp > /dev/null &
     eend $? "Beim Unmounten der chroot-Verzeichnisse ist ein Fehler aufgetreten"
}

Falls ein anderes Verzeichnis oder eine andere Partition verwenden werden, müssen lediglich die notwendigen Mount-Befehle in der Funktion start() hinzugefügt und /mnt/chroot auf den passenden Namen geändert werden.

Ton und Grafik

Software die innerhalb des chroot läuft, hat standardmäßig keinen Zugriff auf Sound- oder Display-Dienste des Systems. Dies kann behoben werden, indem entweder ein Socket geteilt wird oder indem die Kommunikation per TCP über localhost läuft.

Wayland

Wayland verwendet einen Socket, um Clients mit dem Compositor zu verbinden. Dieser Socket muss mit der chroot Umgebung geteilt werden, um grafische Anwendungen laufen lassen zu können. Das allgemeine Verfahren, um diesen Socket zu finden ist: ^[1]

1. Wenn WAYLAND_SOCKET gesetzt ist, interpretiere es als Dateideskriptor Nummer unter welcher die Verbindung bereits aufgebaut ist und gehe davon aus, dass der Elternprozess die Verbindung für uns konfiguriert hat.
2. Wenn WAYLAND_DISPLAY gesetzt ist, hänge es an XDG_RUNTIME_DIR an, um den Pfad zum Unix Socket zu bilden.
3. Nehme an, dass der Socket Name wayland-0 ist und hänge diesen an XDG_RUNTIME_DIR an, um den Pfad zum Unix Socket zu bilden.

oder indem /run einfach rekursiv mit --bind eingehängt wird:

Die Wayland Bibliothek dev-libs/wayland verwendet das selbe Verfahren wie oben, um den Socket zu finden. Daher genügt es XDG_RUNTIME_DIR und WAYLAND_DISPLAY zu definieren, um den Socket mit der chroot Umgebung zu teilen. Hier wird davon ausgegangen, dass der Wayland Socket Name WAYLAND_DISPLAY wayland-0 lautet.

Es werden Berechtigungsfehler auftreten, wenn die Nutzer:in in der chroot Umgebung keine Rechte hat, auf den Wayland Socket zuzugreifen. Dies kann durch Zuordnung des User Namespace oder ACLs gelöst werden. Am einfachsten ist es sicherzustellen, dass die User IDs übereinstimmen. Die Option useradd -u, --uid UID kann verwendet werden, wenn eine Nutzer:in erstellt wird.

PipeWire

Wie Wayland verwendet PipeWire einen Socket, um Clients mit dem PipeWire Dienst zu verbinden.

Anwendungen gehen davon aus, dass der PipeWire Socket sich unter ${XDG_RUNTIME_DIR}/pipewire-0 befindet. Daher ist alles was zu tun ist, um PipeWire Clients mit dem Host-Dienst zu verbinden, XDG_RUNTIME_DIR in der chroot Umgebung bekannt zu machen. Das Vorgehen ist identisch zu dem in Wayland beschriebenen. Um XDG_RUNTIME_DIR bekannt zu machen, welches meistens auf /run/user/$(uid) gesetzt ist, werden die folgenden Befehle verwendet:

XDG_RUNTIME_DIR wird beim Einloggen in die chroot Umgebung nicht gesetzt, daher muss XDG_RUNTIME_DIR exportiert werden, damit der PipeWire Client den Socket findet:

Xorg

Standardmäßig lauscht Xorg auf einem Socket der sich an /tmp/.X11-unix/X${DISPLAY} befindet, sowie auf dem localhost TCP Port 6000 + ${DISPLAY}. ^[2] lauschen. Die Anweisungen in Konfiguration binden /tmp mit --bind ein, daher ist keine weitere Konfiguration nötig, außer dem Setzen der DISPLAY Variable, um eine grafische Anwendung laufen zu lassen:

Wenn die uid der Nutzer:in innerhalb der chroot Umgebung nicht mit der der uid außerhalb der chroot Umgebung übereinstimmt, ist es erforderlich die Berechtigungen mit xhost zu setzen. Um alle lokalen Verbindungen zu erlauben, muss das Folgende außerhalb von chroot ausgeführt werden:

Siehe auch

Externe Quellen

• chroot im Archlinux Wiki

Einzelnachweise