setcap・getcapコマンドでLinuxのケーパビリティを設定する方法｜root不要で特権ポートとrawソケットを安全に実現する

この記事のポイント

・setcapでCAP_NET_BIND_SERVICEを付与すれば、root不要で80/443番ポートへのバインドができる
・getcapで現在のファイルケーパビリティを確認し、setcap -r でいつでも取り消せる
・systemdのAmbientCapabilitiesを使うとパッケージ更新後もケーパビリティ設定が維持される
・CAP_SYS_ADMINのような広大なcapabilityは最終手段──他のcapabilityで代替できないか先に検討する

# RHEL 9 / Rocky Linux 9 でインストール確認
[user@server01 ~]$ rpm -q libcap
libcap-2.48-9.el9_2.x86_64

# 入っていない場合はインストールする
[root@server01 ~]# dnf install -y libcap

# Ubuntu 24.04 LTS でインストール確認
user@ubuntu:~$ dpkg -l libcap2-bin
ii  libcap2-bin  1:2.66-5ubuntu2  amd64  POSIX 1003.1e capabilities (utilities)

# Ubuntu でインストールする場合
sudo apt install libcap2-bin

# ping のケーパビリティを確認する（Rocky Linux 9）
[user@server01 ~]$ getcap /usr/bin/ping
/usr/bin/ping cap_net_admin,cap_net_raw=p

# Python 3 にケーパビリティが設定されていない状態
[user@server01 ~]$ getcap /usr/bin/python3
（出力なし = ケーパビリティ未設定）

# システム全体でケーパビリティが設定されているファイルを一括検索
[user@server01 ~]$ sudo getcap -r / 2>/dev/null
/usr/bin/ping cap_net_admin,cap_net_raw=p
/usr/bin/python3.12 cap_net_bind_service=ep

# Python 3 インタープリターにCAP_NET_BIND_SERVICEを付与する
[root@server01 ~]# setcap cap_net_bind_service=ep /usr/bin/python3.12

# 設定を確認する
[root@server01 ~]# getcap /usr/bin/python3.12
/usr/bin/python3.12 cap_net_bind_service=ep

# 一般ユーザーで80番ポートに起動できるか確認する
[user@server01 ~]$ python3 -m http.server 80
Serving HTTP on 0.0.0.0 port 80 (http://0.0.0.0:80/) ...

# 別ターミナルでポートの確認
[user@server01 ~]$ ss -tlnp | grep ':80'
LISTEN 0      5            0.0.0.0:80        0.0.0.0:*    users:(("python3",pid=12345,fd=3))

# 現在のpingのケーパビリティを確認する
[user@server01 ~]$ getcap /usr/bin/ping
/usr/bin/ping cap_net_admin,cap_net_raw=p

# ケーパビリティが外れていて非rootでは実行できない場合に付与する
[root@server01 ~]# setcap cap_net_raw+ep /usr/bin/ping
[root@server01 ~]# getcap /usr/bin/ping
/usr/bin/ping cap_net_raw=ep

# 一般ユーザーでpingが打てることを確認する
[user@server01 ~]$ ping -c 3 192.168.1.1
PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=0.412 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=64 time=0.398 ms
64 bytes from 192.168.1.1: icmp_seq=3 ttl=64 time=0.411 ms

--- 192.168.1.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2051ms

# ケーパビリティを削除する（-r オプション）
[root@server01 ~]# setcap -r /usr/bin/python3.12

# 削除後の確認（出力がなければ削除済み）
[root@server01 ~]# getcap /usr/bin/python3.12
（出力なし）

# /etc/systemd/system/mywebserver.service

[Unit]
Description=My Web Server on Port 80
After=network.target

[Service]
Type=simple
User=webuser
Group=webuser

# 80番ポートバインドに必要なcapabilityだけを付与する
AmbientCapabilities=CAP_NET_BIND_SERVICE

# プロセスがexecで新たに特権を取得できないようにする
NoNewPrivileges=true

# AmbientCapabilitiesが有効になるよう上限セットも明示する
CapabilityBoundingSet=CAP_NET_BIND_SERVICE

ExecStart=/usr/bin/python3 -m http.server 80

[Install]
WantedBy=multi-user.target

# unit fileを読み込んで起動する
[root@server01 ~]# systemctl daemon-reload
[root@server01 ~]# systemctl enable --now mywebserver

# プロセスのcapabilityを /proc で確認する
[root@server01 ~]# PID=$(systemctl show mywebserver --property=MainPID --value)
[root@server01 ~]# grep -i cap /proc/${PID}/status
CapInh:    0000000000000400
CapPrm:    0000000000000400
CapEff:    0000000000000400
CapBnd:    0000000000000400
CapAmb:    0000000000000400

# シンボリックリンクか実体かを確認する
[root@server01 ~]# ls -la /usr/bin/python3
lrwxrwxrwx 1 root root 9  1月  9 10:23 /usr/bin/python3 -> python3.12

# シンボリックリンク先の実体ファイルに対してsetcapを実行する
[root@server01 ~]# setcap cap_net_bind_service=ep /usr/bin/python3.12
[root@server01 ~]# getcap /usr/bin/python3.12
/usr/bin/python3.12 cap_net_bind_service=ep

[root@server01 ~]# setcap cap_net_bind_service=ep /usr/local/bin/myscript.sh
Failed to set capabilities on file '/usr/local/bin/myscript.sh' (Invalid argument)