CentOS 7.4启用用户命名空间的安全性及操作方法，Brave沙箱报错解决

1. CentOS 7.4 启用用户命名空间是否安全？如何配置？ #

先来说说安全性：用户命名空间是Linux内核的权限隔离利器，在CentOS 7.4上正确配置启用的话，是相当安全的。它的核心逻辑是让普通用户在隔离的命名空间里拥有root权限，但这个root权限只在该空间内有效，对应到宿主机上还是普通用户身份——这就极大降低了应用或容器逃逸后拿到宿主机root权限的风险。

不过要提醒一句：CentOS 7.4默认内核是3.10版本，虽然已经支持用户命名空间，但如果你的系统没及时安装安全补丁，可能存在潜在的内核漏洞。所以启用前最好先把系统更到最新：sudo yum update -y。

接下来是具体配置步骤：

• 步骤1：确认内核支持
  先看看你的内核有没有开启用户命名空间支持：

  grep CONFIG_USER_NS /boot/config-$(uname -r)
  

  如果输出是CONFIG_USER_NS=y或CONFIG_USER_NS=m，说明没问题；要是显示# CONFIG_USER_NS is not set，那要么升级内核（更推荐），要么重新编译内核（不建议新手操作）。

• 步骤2：开启内核参数
  临时启用（重启后失效，适合测试）：

  sudo sysctl -w kernel.unprivileged_userns_clone=1
  

  永久启用（写入配置文件，重启也生效）：

  echo "kernel.unprivileged_userns_clone=1" | sudo tee /etc/sysctl.d/99-userns.conf
  sudo sysctl --system
  

• 步骤3：配置用户ID映射
  用户命名空间需要把宿主机的UID/GID映射到命名空间里。编辑/etc/subuid和/etc/subgid，给要用命名空间的用户分配一段ID范围：
  比如给用户your_username分配从100000开始的65536个ID：

  echo "your_username:100000:65536" | sudo tee -a /etc/subuid
  echo "your_username:100000:65536" | sudo tee -a /etc/subgid
  

• 步骤4：验证配置
  跑个简单命令试试：

  unshare -Urm /bin/bash
  

  如果能成功进入新shell，输入id显示uid=0(root)，说明用户命名空间已经正常工作了。

2. CentOS 运行 Brave Browser 出现 Sandbox 报错的解决方法 #

这个错误我见得多了——Brave基于Chromium内核，Chromium靠Linux sandbox隔离进程，防止恶意代码搞事情。CentOS 7.4的3.10内核对sandbox的支持不够完善，或者SUID sandbox没配置好，就会报这个错。

给你几个解决办法，按推荐程度排序：

方案1：启用用户命名空间（强烈推荐） #

Chromium支持用用户命名空间替代SUID sandbox，按照第一个问题的步骤配置好用户命名空间后，Brave会自动用上这个安全隔离机制，不用加任何额外参数就能正常启动。

方案2：升级内核 #

CentOS 7默认的3.10内核确实有点老，对sandbox的支持有限。可以通过ELRepo仓库升级到5.x以上的稳定内核，这样sandbox就能正常工作了：

1. 先装ELRepo仓库：

   sudo rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org
   sudo rpm -Uvh https://www.elrepo.org/elrepo-release-7.0-4.el7.elrepo.noarch.rpm
   

2. 安装最新稳定版内核：

   sudo yum --enablerepo=elrepo-kernel install kernel-ml
   

3. 设置新内核为默认启动项，重启系统就行。

方案3：配置SUID sandbox（备选） #

如果不想升级内核或启用用户命名空间，可以试试给Brave的sandbox二进制加SUID权限：

1. 找到brave_sandbox文件，一般和brave可执行文件在同一个目录。
2. 设置权限：

   sudo chown root:root ./brave_sandbox
   sudo chmod 4755 ./brave_sandbox
   

   然后重新运行Brave。不过这个方法在3.10内核上可能还是会失败，因为内核本身对SUID sandbox的支持不足。

临时应急办法（不推荐日常用） #

如果急着用Brave，暂时可以加--no-sandbox参数启动：

./brave --no-sandbox

但要注意，这样会完全禁用sandbox，浏览器的安全性会大打折扣，只能临时救急，别长期用。

内容的提问来源于stack exchange，提问作者Abdelrahman Said