Bubblewrap とは？

Bubblewrapは、Linuxでプログラムを制限された環境に置くための低水準のツール。名前空間などを使い、見えるファイルや実行環境を構成します。完成済みの安全なポリシーを自動で用意する製品ではありません。

ひよこ

ペンギン先生、Bubblewrapは何を包むの？

ペンギン先生

Linux上のプログラムの実行環境だよ。例えば、見せるファイルを限り、読み取り専用で渡す、といった隔離環境を組み立てるんだ。

ひよこ

名前空間を使うと何が変わる？

ペンギン先生

プログラムから見えるファイルの構成やプロセスなどを分けられるよ。どの名前空間を使い、何を見せるかは設定する側が決める。別のOSを起動する方式ではないんだ。

ひよこ

入れるだけで何でも安全に実行できる？

ペンギン先生

そうではないよ。公式資料でも、Bubblewrapは特定の安全ポリシーが完成したサンドボックスではないと説明している。渡す引数や資源の設定によって保護の範囲が決まるんだ。

ひよこ

どんな場面で使われる？

ペンギン先生

Flatpakなどに利用され、MicrosoftのMXCでもLinuxのプロセス隔離方式に挙げられているよ。隔離の道具を組み込む側が、必要な境界を設計することが大切だね。

まとめ：ざっくりこれだけ覚えればOK！

「Bubblewrap」って出てきたら「Linuxでプログラムに見せる資源を絞る隔離環境の組み立て道具」と思えばだいたいOK！

誤り・わかりにくい説明を報告する