[PATCH 10/10] docs/zh_CN: add LSM/landlock Chinese translation

Patch content 1 changed file

Translate Documentation/admin-guide/LSM/landlock.rst into Chinese. Update the translation through commit de4b09abf088("landlock: Document audit blocker field format") Assisted-by: Claude:deepseek-4-proSigned-off-by: Yan Zhu <zhuyan2015@qq.com>--- .../zh_CN/admin-guide/LSM/landlock.rst        | 169 ++++++++++++++++++ 1 file changed, 169 insertions(+) create mode 100644 Documentation/translations/zh_CN/admin-guide/LSM/landlock.rst diff --git a/Documentation/translations/zh_CN/admin-guide/LSM/landlock.rst b/Documentation/translations/zh_CN/admin-guide/LSM/landlock.rstnew file mode 100644index 000000000000..7c465ce1c774--- /dev/null+++ b/Documentation/translations/zh_CN/admin-guide/LSM/landlock.rst@@ -0,0 +1,169 @@+.. SPDX-License-Identifier: GPL-2.0+.. Copyright © 2025 Microsoft Corporation+.. include:: ../../disclaimer-zh_CN.rst++:Original: Documentation/admin-guide/LSM/landlock.rst+:翻译:+ 朱岩 Yan Zhu <zhuyan2015@qq.com>+++========================+Landlock：系统范围的管理+========================++:Author: Mickaël Salaün+:Date: 2026年1月++Landlock 可以利用审计框架记录事件。++用户空间文档位于：Documentation/userspace-api/landlock.rst。++审计+====++默认情况下，若启用了 ``audit``，沙箱程序的被拒访问请求会被记录。此默认行为可+通过 ``sys_landlock_restrict_self()`` 标志更改（参见+Documentation/userspace-api/landlock.rst）。审计规则也可以屏蔽 Landlock 日志。+Landlock 能生成两种审计记录类型。++记录类型+--------++AUDIT_LANDLOCK_ACCESS+    此记录标识对内核资源的拒绝访问请求。``domain`` 字段指示阻止该请求的+    域 ID。``blockers`` 字段列出导致拒绝的原因（逗号分隔），随后字段标识+    内核对象（类似 SELinux）。一次审计事件可能出现多个此类记录。++    示例：同一事件中两条文件链接请求记录::++        domain=195ba459b blockers=fs.refer path="/usr/bin" dev="vda2" ino=351+        domain=195ba459b blockers=fs.make_reg,fs.refer path="/usr/local" dev="vda2" ino=365++    ``blockers`` 字段使用点分前缀标识限制类型：++    **fs.*** – 文件系统访问权（ABI 1+）:+        - fs.execute, fs.write_file, fs.read_file, fs.read_dir+        - fs.remove_dir, fs.remove_file+        - fs.make_char, fs.make_dir, fs.make_reg, fs.make_sock+        - fs.make_fifo, fs.make_block, fs.make_sym+        - fs.refer (ABI 2+)+        - fs.truncate (ABI 3+)+        - fs.ioctl_dev (ABI 5+)++    **net.*** – 网络访问权（ABI 4+）:+        - net.bind_tcp – TCP 端口绑定被拒绝+        - net.connect_tcp – TCP 连接被拒绝++    **scope.*** – IPC 范围限制（ABI 6+）:+        - scope.abstract_unix_socket – 抽象 UNIX 套接字连接被拒绝+        - scope.signal – 信号发送被拒绝++    当多个访问权缺失时，可出现多个 ``blockers``（逗号分隔），例如缺少+    ``make_reg`` 与 ``refer`` 权限时会显示 ``blockers=fs.make_reg,fs.refer``。++    对象标识字段（路径、设备、inode 等）根据被阻止的访问类型提供上下文信息。++AUDIT_LANDLOCK_DOMAIN+    此记录描述 Landlock 域的状态。``status`` 字段为 ``allocated`` 或+    ``deallocated``。++    ``allocated`` 状态随同首条 ``AUDIT_LANDLOCK_ACCESS`` 记录出现，+    提供以下信息：++    - 域 ID（``domain``）+    - 强制模式（``mode``）+    - 创建域的 PID（``pid``）+    - 创建域的 UID（``uid``）+    - 创建域的可执行路径（``exe``）+    - 创建域的命令行（``comm``）++    示例::++        domain=195ba459b status=allocated mode=enforcing pid=300 uid=0 ...++    ``deallocated`` 为单独事件，表示域释放。此后该域 ID 不会在系统生命周期中+    再次使用。``deallocated`` 记录包含域 ID 与 ``denials`` 字段，后者统计该+    域被拒绝的请求数。++    示例::++        domain=195ba459b status=deallocated denials=3++事件示例+--------++以下为两组审计日志示例（含序列号）。++示例 1：沙箱程序 ``kill`` 试图向 init 进程发送信号，+被 ``scope.signal`` 限制拒绝::++  $ LL_FS_RO=/ LL_FS_RW=/ LL_SCOPED=s LL_FORCE_LOG=1 ./sandboxer kill 1++此命令生成两个事件，每个事件都由一个时间戳后跟一个唯一的序列号标识+（``msg=audit(1729738800.268:30)``）。第一个事件（序列号为“30”）包含 4 条记+录。第一条记录（``type=LANDLOCK_ACCESS``）显示域 `1a6fdc66f` 拒绝了访问。拒+绝的原因是信号范围限制（``blockers=scope.signal``）。本应接收此信号的进程是+init 进程（``opid=1 ocomm="systemd"``）。++第二个记录（``type=LANDLOCK_DOMAIN``） 描述了（``status=allocated``）域+`1a6fdc66f`。此域由进程 ``286`` 创建，该进程执行了由 root 用户启动的+`/root/sandboxer` 程序。++第三个记录（``type=SYSCALL``）描述了系统调用、其提供的参数、其结果+``success=no exit=-1`` 以及调用它的进程。++第四个记录（``type=PROCTITLE``）以十六进制值的形式显示命令名称。这可以通过执+行 ``python -c 'print(bytes.fromhex("6B696C6C0031"))'`` 进行转换。++最后一条记录（``type=LANDLOCK_DOMAIN``）也是第二个事件（序列号“31”）中的唯一+一条记录。它并非与直接的用户空间操作相关，而是异步操作以释放与 Landlock 域相+关的资源（``status=deallocated``）。这有助于了解后续的日志将不再涉及域+`1a6fdc66f`。此记录还总结了该域拒绝的请求数量（``denials=1``），以及这些请求+是否被记录。+++.. code-block::++  type=LANDLOCK_ACCESS msg=audit(1729738800.268:30): domain=1a6fdc66f blockers=scope.signal opid=1 ocomm="systemd"+  type=LANDLOCK_DOMAIN msg=audit(1729738800.268:30): domain=1a6fdc66f status=allocated mode=enforcing pid=286 uid=0 exe="/root/sandboxer" comm="sandboxer"+  type=SYSCALL msg=audit(1729738800.268:30): arch=c000003e syscall=62 success=no exit=-1 [..] ppid=272 pid=286 auid=0 uid=0 gid=0 [...] comm="kill" [...]+  type=PROCTITLE msg=audit(1729738800.268:30): proctitle=6B696C6C0031+  type=LANDLOCK_DOMAIN msg=audit(1729738800.324:31): domain=1a6fdc66f status=deallocated denials=1+++示例 2：文件系统访问控制示例::++    $ LL_FS_RO=/ LL_FS_RW=/tmp LL_FORCE_LOG=1 ./sandboxer sh -c "echo > /etc/passwd"++相关的审计日志包含由同一个域 `1a6fdc679` 创建的 3 个不同事件（序列号 33、34+和 35）的 8 条记录::++  type=LANDLOCK_ACCESS msg=audit(1729738800.221:33): domain=1a6fdc679 blockers=fs.write_file path="/dev/tty" dev="devtmpfs" ino=9+  type=LANDLOCK_DOMAIN msg=audit(1729738800.221:33): domain=1a6fdc679 status=allocated mode=enforcing pid=289 uid=0 exe="/root/sandboxer" comm="sandboxer"+  type=SYSCALL msg=audit(1729738800.221:33): arch=c000003e syscall=257 success=no exit=-13 [...] ppid=272 pid=289 auid=0 uid=0 gid=0 [...] comm="sh" [...]+  type=PROCTITLE msg=audit(1729738800.221:33): proctitle=7368002D63006563686F203E202F6574632F706173737764+  type=LANDLOCK_ACCESS msg=audit(1729738800.221:34): domain=1a6fdc679 blockers=fs.write_file path="/etc/passwd" dev="vda2" ino=143821+  type=SYSCALL msg=audit(1729738800.221:34): arch=c000003e syscall=257 success=no exit=-13 [...] ppid=272 pid=289 auid=0 uid=0 gid=0 [...] comm="sh" [...]+  type=PROCTITLE msg=audit(1729738800.221:34): proctitle=7368002D63006563686F203E202F6574632F706173737764+  type=LANDLOCK_DOMAIN msg=audit(1729738800.261:35): domain=1a6fdc679 status=deallocated denials=2+++过滤审计日志+------------++如果审计日志数量过多，可通过以下两种方式过滤噪声：++- 使用 ``sys_landlock_restrict_self()`` 的标志对沙箱程序进行配置；+- 或使用审计规则（参见 :manpage:`auditctl(8)`）过滤。++补充文档+--------++* `Linux Audit Documentation`_+* Documentation/userspace-api/landlock.rst+* Documentation/security/landlock.rst+* https://landlock.io++.. 链接+.. _Linux Audit Documentation:+   https://github.com/linux-audit/audit-documentation/wiki-- 2.43.0