Assista a este pequeno vídeo que explica cada um dos modelos de confinamento disponíveis em snaps, por que --classic
existe e seu caso de uso.
Fontes : A seguinte documentação foi retirada de snapcraft.io: políticas de confinamento .
estrito
Esta é a política de segurança padrão aplicada aos snaps. O snap tem direitos de leitura e / ou gravação apenas em seu próprio espaço de instalação e áreas selecionadas. Ele tem acesso às bibliotecas que agrupa e / ou fornecidas pelo snap do núcleo ou do ubuntu-core. Direitos estendidos podem ser concedidos com interfaces, que são conectadas no momento da instalação ou pelo usuário com o comando snap connect . Por exemplo, a interface inicial concederá direitos de leitura na casa do usuário.
O confinamento estrito oferece os seguintes caminhos legíveis e / ou graváveis:
- / snap / snapname / revision (somente leitura, caminho de instalação instantânea)
- / var / snap / snapname / revisão (leitura / gravação, dados por revisão)
- / var / snap / snapname / common (leitura / gravação, dados comuns)
- / home / $ USER / snap / snapname / revision (leitura / gravação, dados de usuário por revisão)
- / home / $ USER / snap / snapname / common (leitura / gravação, dados de usuário comuns)
Consulte a lista de variáveis de ambiente para obter mais detalhes sobre o que é visível para um snap estritamente confinado, bem como maneiras de acessar um shell dentro do espaço confinado de um snap.
devmode
O modo de desenvolvedor, também conhecido como devmode, usa as mesmas políticas de segurança do confinamento estrito, mas as negações de segurança são transformadas em avisos em /var/log/syslog
(consulte Depuração ). Isso é útil ao ajustar um aplicativo, para descobrir quais interfaces precisam ser declaradas. Snaps no modo de desenvolvedor não podem ser liberados nos canais de loja estáveis e candidatos .
clássico
Um snap em confinamento clássico se comporta como um aplicativo tradicionalmente embalado, com acesso total ao sistema. Ao contrário de strict e devmode, o que um snap clássico vê como "/" é o "/" do sistema host e não o "/" do snap do núcleo. Snaps usando esta política de segurança totalmente aberta são revisados manualmente na loja e só são permitidos em sistemas onde o snapd é instalado em cima de uma distribuição Linux tradicional , em oposição à inicialização do sistema a partir de uma imagem Ubuntu Core . Podem ser lançados em todos os canais da loja .