sync: update from private repo (2336949a)

2026-09-17 11:29:31 +00:00
parent 28f74c4e37
commit 57702b4f34
2139 changed files with 321270 additions and 17494 deletions
@@ -58,7 +58,7 @@ Bash 実行の隔離方式を選ぶ。**2 つの設定は直交する**:

 | `bash_sandbox` | 挙動 |
 |----------------|------|
-| `auto`（既定） | bwrap があれば bwrap サンドボックス、無ければ hardened（whitelist + パススコープ + env スクラブ）にフォールバック |
+| `auto`（既定） | bwrap があれば bwrap サンドボックス、無ければ hardened（whitelist + パススコープ + env スクラブ）にフォールバック。ただし外向き通信の遮断（`bash_allow_network: false`、既定）を選んだままフォールバックする組み合わせは**起動失敗**——hardened には遮断する仕組みが無いため (#1235) |
 | `always` | bwrap を強制。bwrap 不在なら**起動失敗**（本番推奨） |
 | `off` | bwrap を使わず exec（**env スクラブと、unrestricted でなければ whitelist + パススコープは維持**）。デバッグ用・非推奨 |

@@ -84,4 +84,6 @@ Bash 実行の隔離方式を選ぶ。**2 つの設定は直交する**:

 - コンテナ/ホストで **user namespace** が有効であること (PVE: `features: nesting=1`)
 - `bwrap` バイナリがインストール済みであること
- `bash_sandbox: always`（または `bash_unrestricted: true`）では起動時に bwrap の動作確認を行い、失敗時はエラー終了する。`auto` では失敗時に警告ログを出し hardened へフォールバック
+- `bash_sandbox: always`（または `bash_unrestricted: true`）では起動時に bwrap の動作確認を行い、失敗時はエラー終了する。`auto` は失敗時の挙動が `bash_allow_network` で変わる (#1235):
+  - `false`（既定・遮断する） → **エラー終了**。設定は「遮断する」なのに hardened では遮断されない、という食い違いを抱えたまま走らせない
+  - `true`（遮断しない） → 警告ログを出して hardened へフォールバック