pam_namespace는 다형화 디렉터리로 세션을 위한 비공개 네임스페이스를 구성해 주는 PAM 모듈이다. 다형화 디렉터리란 사용자 이름에 따라서, 또는 SELinux를 쓰는 경우 사용자 이름이나 보안 문맥, 또는 둘 모두에 따라서 다른 인스턴스를 제공하는 디렉터리다. 인스턴스 디렉터리를 준비해서 다형화 디렉터리에 마운트한 다음에 실행 가능 스크립트 /etc/security/namespace.init이 존재하면 그 스크립트를 사용해 디렉터리를 초기화한다. 그 스크립트는 인자로 다형화 디렉터리 경로, 인스턴스 디렉터리 경로, 인스턴스 디렉터리가 새로 만들어진 것인지 여부를 나타내는 플래그(0은 아님, 1은 맞음), 사용자 이름을 받는다.

pam_namespace 모듈은 세션 네임스페이스를 부모 네임스페이스와 분리한다. 부모 네임스페이스에서 장치 마운트 같은 마운트/언마운트를 수행해도 세션 네임스페이스에 반영되지 않는다. 부모 네임스페이스의 마운트/언마운트 동작 일부를 분리된 세션 네임스페이스로도 전파시키고 싶다면 특수 공유 서브트리 기능을 이용할 수 있다. 공유 서브트리 기능에 대한 자세한 내용은 mount(8) 맨페이지, 그리고 http://lwn.net/Articles/159077 및 http://lwn.net/Articles/159092 에 있는 공유 서브트리 설명을 참고할 수 있다.

pam_namespace.so 모듈을 통해 다형화 디렉터리로 비공개 네임스페이스를 구성할 수 있다. 사용자 이름에 따라서, 또는 SELinux 사용 시 사용자 이름이나 민감도 단계, 또는 전체 보안 문맥에 따라서 여러 디렉터리 인스턴스가 생성될 수 있다. 실행 가능 스크립트 /etc/security/namespace.init이 존재하면 인스턴스 디렉터리를 준비해서 마운트할 때마다 그 스크립트를 사용해 네임스페이스를 초기화한다. 그 스크립트는 인자로 다형화 디렉터리 경로와 인스턴스 디렉터리 경로를 받는다.

어느 디렉터리를 어떻게 다형화할 것인지, 인스턴스 디렉터리 이름을 어떻게 붙일 것인지, 다형화를 수행하지 않을 사용자가 있는지 등을 /etc/security/namespace.conf 파일에 지정한다.

누군가 로그인을 하면 namespace.conf 파일을 탐색한다. # 문자는 주석을 나타낸다. 주석 아닌 행 각각이 다형화 디렉터리 한 개를 나타낸다. 공백으로 필드를 구분하며 " 문자로 필드를 감쌀 수 있고 이스케이프 열 \b, \n, \t도 인식한다. 필드는 다음과 같다.

polydir instance_prefix method list_of_uids

첫 번째 필드 polydir은 다형화할 디렉터리의 절대 경로명이다. 특수 문자열 $HOME이 사용자 홈 디렉터리로 바뀌고 $USER가 사용자 이름으로 바뀐다. 이 필드는 비어 있을 수 없다.

두 번째 필드 instance_prefix는 <polydir>의 인스턴스의 경로명을 만들 때 쓰는 선두 문자열이다. 다형화 method에 따라 그 뒤에 "인스턴스 구별 문자열"이 붙어서 인스턴스 디렉터리 최종 경로가 된다. 그 디렉터리가 이미 존재하지 않으면 생성한 다음 <method> 열에 따라서 <polydir>에 바인드 마운트해서 <polydir> 인스턴스를 제공한다. 특수 문자열 $HOME이 사용자 홈 디렉터리로 바뀌고 $USER가 사용자 이름으로 바뀐다. 이 필드는 비어 있을 수 없다.

세 번째 필드 method는 다형화를 하는 방식이다. "user"는 사용자 이름에 따른 다형화, "level"은 프로세스 MLS 단계 및 사용자 이름에 따른 다형화, "context"는 프로세스 보안 문맥과 사용자 이름에 따른 다형화, "tmpfs"는 tmpfs 파일 시스템을 인스턴스 디렉터리로 마운트하기, "tmpdir"은 임시 디렉터리를 만들어서 인스턴스 디렉터리로 쓰고 사용자 세션이 닫힐 때 제거하는 방식이다. "context" 및 "level" 방식은 SELinux를 쓸 때만 사용 가능하다. 이 필드는 비어 있을 수 없다.

네 번째 필드 list_of_uids는 다형화를 수행하지 않을 사용자 이름의 쉼표 구분 목록이다. 비어 있으면 모든 사용자에 대해 다형화를 수행하게 된다. 목록 앞에 "~" 문자 하나가 붙어 있으면 그 목록의 사용자에게만 다형화를 수행한다.

method 필드에 선택적으로 다음 플래그들을 : 문자로 구분해서 붙일 수 있다.

create=mode,owner,group - 다형화 디렉터리를 만든다. 매개변수 mode, owner, group은 선택적이다. 모든 기본값은 umask로 정해지며, 기본 소유자는 세션을 여는 사용자이며, 기본 그룹은 사용자의 주 그룹이다.

iscript=path - 인스턴스 디렉터리 초기화 스크립트 경로. 상대 경로의 기준 디렉터리는 /etc/security/namespace.d다.

noinit - 인스턴스 디렉터리 초기화 스크립트를 실행하지 않는다.

shared - "context" 및 "level" 방식의 인스턴스 디렉터리에 사용자 이름을 포함시키지 않아서 모든 사용자가 공유하게 된다.

mntopts=value - tmpfs 마운트를 할 때 이 플래그 값을 mount 호출로 전달한다. 그래서 예를 들어 mount 호출로 만드는 tmpfs 인스턴스의 최대 크기를 지정할 수 있다. tmpfs(5) 매뉴얼에 있는 옵션들 외에도 nosuid, noexec, nodev 플래그를 사용해 마운트할 tmpfs 파일 시스템에서 setuid 비트 효과를 끄거나, 실행 파일을 실행하지 못하게 하거나, 장치 파일들이 해석되지 않게 할 수 있다.

다형화 인스턴스가 만들어질 디렉터리가 존재해야 하고 기본적으로는 모드가 0000이어야 한다. 인스턴스 부모의 모드가 0000이어야 한다는 요건을 명령행 옵션 ignore_instance_parent_mode로 무시할 수 있다.

context 내지 level 다형화인 경우 다형화에 쓰는 SELinux 문맥은 getexeccon으로 얻은 새 프로세스 실행을 위한 문맥이다. 호출 프로세스에서 또는 pam_selinux.so로 그 문맥을 설정해 둬야 한다. 그 문맥이 설정돼 있지 않으면 사용자 이름만 가지고 다형화가 이뤄지게 된다.

"인스턴스 구별 문자열"이 "user" 방식에서는 <사용자 이름>이고 "context" 및 "level" 방식에서는 <사용자 이름>_<디렉터리 문맥 값>이다. 전체 문자열이 너무 길면 끝부분을 그 문자열의 md5sum으로 바꾼다. 그리고 명령행 옵션 gen_hash를 쓰면 전체 문자열을 md5sum으로 바꾼다.

session 모듈 타입만 제공한다. 멀티스레드 프로세스에서 이 모듈을 호출해선 안 된다.

다음은 /etc/security/namespace.conf에 지정할 수 있는 예시 설정이다.

다형화가 필요한 <service>가 있으면 (예를 들어 login) 다음 행을 /etc/pam.d/<service>의 세션 관련 내용 마지막 행으로 넣어 주면 된다.

session required pam_namespace.so [arguments]

이 모듈을 위해 pam_selinux.so로 문맥을 설정해 줘야 한다.

Stephen Smalley, Janak Desai, Chad Sellers가 네임스페이스 구성 체계를 설계했다. Janak Desai <janak@us.ibm.com>, Chad Sellers <csellers@tresys.com>, Steve Grubb <sgrubb@redhat.com>이 PAM 모듈 pam_namespace를 개발했다. Xavier Toth <txtoth@gmail.com>, Tomas Mraz <tmraz@redhat.com>가 추가 개선을 했다.