Die Variablen dafür, wie Plugins isoliert und begrenzt werden. Die
Standardwerte passen zu einem normalen Docker-Host. Welche Einrichtung zu
welchem Host passt, steht unter
Plugin-Sandbox einrichten, und wie die
Schichten funktionieren, unter
Plugin-Sandbox und Bedrohungsmodell.
auto, landlock, bubblewrap, strict oder basic. auto wählt die stärkste Stufe, die der Host unterstützt; ein ausdrücklich gesetztes landlock lehnt ein Plugin ab, das es nicht isolieren kann.
Plugins → Ressourcenlimits → Sandbox-Modus, gilt für danach gestartete Plugins
EVEY_PLUGINS_UID_SEPARATION
auto
auto, on oder off: startet Plugins unter einem eigenen Benutzer. auto tut das nur, wenn die Sandbox zu basic aufgelöst wird. Nicht vereinbar mit no_new_privs am Container.
off, warn oder enforce: was eine fehlgeschlagene Signaturprüfung bewirkt. enforce ohne Schlüssel verhindert den Start.
keine
EVEY_PLUGINS_COSIGN_PUBLIC_KEY
leer
Pfad zum öffentlichen PEM-Schlüssel, gegen den Signaturen geprüft werden. Mit warn und ohne Schlüssel wird nichts geprüft, und der Server warnt beim Start.