"Fossies" - the Fresh Open Source Software Archive

Member "lxc-4.0.10/doc/ja/lxc.container.conf.sgml.in" (16 Jul 2021, 229442 Bytes) of package /linux/misc/lxc-4.0.10.tar.gz:


As a special service "Fossies" has tried to format the requested text file into HTML format (style: standard) with prefixed line numbers. Alternatively you can here view or download the uninterpreted source code file. See also the latest Fossies "Diffs" side-by-side code changes report for "lxc.container.conf.sgml.in": 4.0.9_vs_4.0.10.

    1 <!--
    2 
    3 lxc: linux Container library
    4 
    5 (C) Copyright IBM Corp. 2007, 2008
    6 
    7 Authors:
    8 Daniel Lezcano <daniel.lezcano at free.fr>
    9 
   10 This library is free software; you can redistribute it and/or
   11 modify it under the terms of the GNU Lesser General Public
   12 License as published by the Free Software Foundation; either
   13 version 2.1 of the License, or (at your option) any later version.
   14 
   15 This library is distributed in the hope that it will be useful,
   16 but WITHOUT ANY WARRANTY; without even the implied warranty of
   17 MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU
   18 Lesser General Public License for more details.
   19 
   20 You should have received a copy of the GNU Lesser General Public
   21 License along with this library; if not, write to the Free Software
   22 Foundation, Inc., 51 Franklin Street, Fifth Floor, Boston, MA 02110-1301 USA
   23 
   24 Translated into Japanese
   25 by KATOH Yasufumi <karma at jazz.email.ne.jp>
   26 
   27 -->
   28 
   29 <!DOCTYPE refentry PUBLIC @docdtd@ [
   30 
   31 <!ENTITY seealso SYSTEM "@builddir@/see_also.sgml">
   32 ]>
   33 
   34 <refentry>
   35 
   36   <docinfo><date>@LXC_GENERATE_DATE@</date></docinfo>
   37 
   38   <refmeta>
   39     <refentrytitle>lxc.container.conf</refentrytitle>
   40     <manvolnum>5</manvolnum>
   41   </refmeta>
   42 
   43   <refnamediv>
   44     <refname>lxc.container.conf</refname>
   45 
   46     <refpurpose>
   47       <!--
   48       LXC container configuration file
   49       -->
   50       LXC コンテナ設定ファイル
   51     </refpurpose>
   52   </refnamediv>
   53 
   54   <refsect1>
   55     <title><!-- Description -->説明</title>
   56 
   57     <para>
   58       <!--
   59       LXC is the well-known and heavily tested low-level Linux container
   60       runtime. It is in active development since 2008 and has proven itself in
   61       critical production environments world-wide. Some of its core contributors
   62       are the same people that helped to implement various well-known
   63       containerization features inside the Linux kernel.
   64         -->
   65       LXC は良く知られた、多くのテストが行われた Linux コンテナのランタイムです。LXC は、2008 年以来アクティブに開発されており、世界中の重要な本番環境で実証されています。開発への貢献者の中には、Linux カーネル内の良く知られた様々なコンテナ機能の実装に貢献した人と同じ人もいます。
   66     </para>
   67 
   68     <para>
   69       <!--
   70       LXC's main focus is system containers. That is, containers which offer an
   71       environment as close as possible as the one you'd get from a VM but
   72       without the overhead that comes with running a separate kernel and
   73       simulating all the hardware.
   74         -->
   75       LXC は主にシステムコンテナにフォーカスを当てています。つまり、VM で得られる環境と可能な限り近い環境を提供を提供するにも関わらず、別々のカーネルを実行したり、ハードウェアをすべてシミュレートしたりすることによるオーバーヘッドがないコンテナのことです。
   76     </para>
   77 
   78     <para>
   79       <!--
   80       This is achieved through a combination of kernel security features such as
   81       namespaces, mandatory access control and control groups.
   82         -->
   83       このような環境は、名前空間 (namespace)、強制アクセスコントロール、cgroup といったカーネルのセキュリティ機能の組み合わせで実現しています。
   84     </para>
   85 
   86     <para>
   87       <!--
   88       LXC has supports unprivileged containers.  Unprivileged containers are
   89       containers that are run without any privilege.  This requires support for
   90       user namespaces in the kernel that the container is run on.  LXC was the
   91       first runtime to support unprivileged containers after user namespaces
   92       were merged into the mainline kernel.
   93         -->
   94       LXC は非特権コンテナをサポートしています。非特権コンテナは、いかなる特権も持たずに実行するコンテナです。非特権コンテナの実行には、コンテナを実行しているカーネルにユーザ名前空間 (user namespace) のサポートが必要です。LXC は、ユーザ名前空間がメインラインカーネルにマージされてから、初めて非特権コンテナをサポートしたランタイムです。
   95     </para>
   96 
   97     <para>
   98       <!--
   99       In essence, user namespaces isolate given sets of UIDs and GIDs. This is
  100       achieved by establishing a mapping between a range of UIDs and GIDs on the
  101       host to a different (unprivileged) range of UIDs and GIDs in the
  102       container. The kernel will translate this mapping in such a way that
  103       inside the container all UIDs and GIDs appear as you would expect from the
  104       host whereas on the host these UIDs and GIDs are in fact unprivileged. For
  105       example, a process running as UID and GID 0 inside the container might
  106       appear as UID and GID 100000 on the host.  The implementation and working
  107       details can be gathered from the corresponding user namespace man page.
  108       UID and GID mappings can be defined with the <option>lxc.idmap</option>
  109       key.
  110         -->
  111       本質的には、ユーザ名前空間は与えられた UID、GID の組を隔離します。ユーザ名前空間は、ホスト上の UID、GID のある範囲を、それとは異なるコンテナ上の UID、GID の範囲へマッピングすることで実現します。カーネルは、ホスト上では実際には UID、GID は特権を持たないにも関わらず、コンテナ内ではすべての UID、GID が期待されるように見えるように変換を行います。
  112       例えば、コンテナ内では UID、GID が 0 として実行中のプロセスは、ホスト上では UID、GID が 100000 として見えるでしょう。実装と動作の詳細は、ユーザ名前空間の man ページから得られます。UID と GID のマッピングは <option>lxc.idmap</option> を使って定義できます。
  113     </para>
  114 
  115     <para>
  116       <!--
  117       Linux containers are defined with a simple configuration file.  Each
  118       option in the configuration file has the form <command>key =
  119       value</command> fitting in one line. The "#" character means the line is a
  120       comment. List options, like capabilities and cgroups options, can be used
  121       with no value to clear any previously defined values of that option.
  122         -->
  123       Linux コンテナは、簡単な設定ファイルで定義します。設定ファイル中のオプションは <command>key = value</command> の形で一行で表します。'#' は、その行はコメントであることを示します。ケーパビリティや cgroup のオプションのような、リスト形式で指定するオプションでは、value がない形式で指定でき、そのように使うと、それ以前に定義した値をすべてクリアします。
  124     </para>
  125 
  126     <para>
  127       <!--
  128       LXC namespaces configuration keys by using single dots. This means complex
  129       configuration keys such as <option>lxc.net.0</option> expose various
  130       subkeys such as <option>lxc.net.0.type</option>,
  131       <option>lxc.net.0.link</option>, <option>lxc.net.0.ipv6.address</option>, and
  132       others for even more fine-grained configuration.
  133       -->
  134       LXC は、シングルドットを使って設定キーの名前空間を表します。<option>lxc.net.0</option> のような複雑な設定キーは、<option>lxc.net.0.type</option>、<option>lxc.net.0.link</option>、<option>lxc.net.0.ipv6.address</option> や、さらに細分化された設定向けの色々なサブキーを持つことを意味します。
  135     </para>
  136 
  137     <refsect2>
  138       <title><!-- Configuration -->設定</title>
  139       <para>
  140         <!--
  141         In order to ease administration of multiple related containers, it is
  142         possible to have a container configuration file cause another file to be
  143         loaded. For instance, network configuration can be defined in one common
  144         file which is included by multiple containers. Then, if the containers
  145         are moved to another host, only one file may need to be updated.
  146           -->
  147         複数の関係するコンテナの管理を容易にするために、コンテナの設定ファイルに別のファイルをロードすることが可能です。
  148         例えば、ネットワークの設定を、複数のコンテナから include させるように 1 つのファイルに定義することが可能です。
  149         その場合、コンテナが他のホストに移動すると、そのファイルだけを更新する必要があるかもしれません。
  150       </para>
  151 
  152       <variablelist>
  153         <varlistentry>
  154           <term>
  155             <option>lxc.include</option>
  156           </term>
  157           <listitem>
  158             <para>
  159               <!--
  160               Specify the file to be included.  The included file must be
  161               in the same valid lxc configuration file format.
  162               -->
  163               include させたいファイルを指定します。
  164               include するファイルは、lxc 設定ファイルのフォーマットとして有効でなければいけません。
  165             </para>
  166           </listitem>
  167         </varlistentry>
  168       </variablelist>
  169     </refsect2>
  170 
  171     <refsect2>
  172       <title><!-- Architecture -->アーキテクチャ</title>
  173       <para>
  174         <!--
  175         Allows one to set the architecture for the container. For example, set a
  176         32bits architecture for a container running 32bits binaries on a 64bits
  177         host. This fixes the container scripts which rely on the architecture to
  178         do some work like downloading the packages.
  179         -->
  180         コンテナに対してアーキテクチャを設定することが可能です。
  181         例えば、64 ビットのホスト上で 32 ビットのバイナリを動かすために 32 ビットアーキテクチャを設定することが可能です。
  182         この設定を行うことにより、パッケージのダウンロードを行うなどの作業のうち、アーキテクチャ名に依存するような作業を行うコンテナスクリプトの修正を行います。
  183       </para>
  184 
  185       <variablelist>
  186         <varlistentry>
  187           <term>
  188             <option>lxc.arch</option>
  189           </term>
  190           <listitem>
  191             <para>
  192               <!--
  193               Specify the architecture for the container.
  194               -->
  195               コンテナに設定するアーキテクチャを指定します。
  196             </para>
  197             <para>
  198               <!--
  199               Some valid options are
  200               <option>x86</option>,
  201               <option>i686</option>,
  202               <option>x86_64</option>,
  203               <option>amd64</option>
  204               -->
  205               有効なオプションには以下のようなものがあります。
  206               <option>x86</option>,
  207               <option>i686</option>,
  208               <option>x86_64</option>,
  209               <option>amd64</option>
  210             </para>
  211           </listitem>
  212         </varlistentry>
  213       </variablelist>
  214 
  215     </refsect2>
  216 
  217     <refsect2>
  218       <title><!-- Hostname -->ホスト名</title>
  219       <para>
  220         <!--
  221         The utsname section defines the hostname to be set for the container.
  222         That means the container can set its own hostname without changing the
  223         one from the system. That makes the hostname private for the container.
  224         -->
  225         utsname セクションは、コンテナに設定されるホスト名を定義します。
  226         コンテナは、システムのホスト名を変えることなく、自身のホスト名を持つ事が可能です。
  227         このことにより、ホスト名はコンテナ専用となります。
  228       </para>
  229       <variablelist>
  230         <varlistentry>
  231           <term>
  232             <option>lxc.uts.name</option>
  233           </term>
  234           <listitem>
  235             <para>
  236               <!--
  237               specify the hostname for the container
  238               -->
  239               コンテナのホスト名を指定します。
  240             </para>
  241           </listitem>
  242         </varlistentry>
  243       </variablelist>
  244     </refsect2>
  245 
  246     <refsect2>
  247       <title><!-- Halt signal -->クリーンなシャットダウン時のシグナル</title>
  248       <para>
  249         <!--
  250         Allows one to specify signal name or number sent to the container's
  251         init process to cleanly shutdown the container. Different init systems
  252         could use different signals to perform clean shutdown sequence. This
  253         option allows the signal to be specified in kill(1) fashion, e.g.
  254         SIGPWR, SIGRTMIN+14, SIGRTMAX-10 or plain number. The default signal is
  255         SIGPWR.
  256           -->
  257         コンテナをクリーンにシャットダウンするためにコンテナの init プロセスに送るシグナル名か番号を指定できます。init システムによって、クリーンなシャットダウンを行うために使うシグナルは異なります。このオプションではシグナルとして kill(1) で使う形式を指定できます。
  258         例えば SIGKILL, SIGRTMIN+14, SIGRTMAX-10 のような形式、もしくは数字を指定します。デフォルトのシグナルは SIGPWR です。
  259       </para>
  260       <variablelist>
  261         <varlistentry>
  262           <term>
  263             <option>lxc.signal.halt</option>
  264           </term>
  265           <listitem>
  266             <para>
  267               <!--
  268               specify the signal used to halt the container
  269               -->
  270               コンテナをシャットダウンするために使うシグナルを指定します。
  271             </para>
  272           </listitem>
  273         </varlistentry>
  274       </variablelist>
  275     </refsect2>
  276 
  277     <refsect2>
  278       <title>リブート時のシグナル <!-- Reboot signal --></title>
  279       <para>
  280         <!--
  281         Allows one to specify signal name or number to reboot the container.
  282         This option allows signal to be specified in kill(1) fashion, e.g.
  283         SIGTERM, SIGRTMIN+14, SIGRTMAX-10 or plain number. The default signal
  284         is SIGINT.
  285           -->
  286         コンテナをリブートするために送るシグナル名か番号を指定できます。このオプションではシグナルとして kill(1) で使う形式を指定できます。
  287         例えば SIGKILL, SIGRTMIN+14, SIGRTMAX-10 のような形式、もしくは数字を指定します。デフォルトのシグナルは SIGINT です。
  288           </para>
  289           <variablelist>
  290         <varlistentry>
  291           <term>
  292             <option>lxc.signal.reboot</option>
  293           </term>
  294           <listitem>
  295             <para>
  296               <!--
  297               specify the signal used to reboot the container
  298                 -->
  299               コンテナをリブートするために使うシグナルを指定します。
  300             </para>
  301           </listitem>
  302         </varlistentry>
  303       </variablelist>
  304     </refsect2>
  305 
  306     <refsect2>
  307       <title><!-- Stop signal -->強制停止時のシグナル</title>
  308       <para>
  309         <!--
  310         Allows one to specify signal name or number to forcibly shutdown the
  311         container. This option allows signal to be specified in kill(1) fashion,
  312         e.g. SIGKILL, SIGRTMIN+14, SIGRTMAX-10 or plain number.  The default
  313         signal is SIGKILL.
  314           -->
  315         コンテナを強制的にシャットダウンするために送るシグナル名か番号を指定できます。このオプションではシグナルとして kill(1) で使う形式を指定できます。
  316         例えば SIGKILL, SIGRTMIN+14, SIGRTMAX-10 のような形式、もしくは数字を指定します。デフォルトのシグナルは SIGKILL です。
  317       </para>
  318       <variablelist>
  319         <varlistentry>
  320           <term>
  321             <option>lxc.signal.stop</option>
  322           </term>
  323           <listitem>
  324             <para>
  325               <!--
  326                   specify the signal used to stop the container
  327                 -->
  328               コンテナを停止するのに使用するシグナルを指定します。
  329             </para>
  330           </listitem>
  331         </varlistentry>
  332       </variablelist>
  333     </refsect2>
  334 
  335     <refsect2>
  336       <title><!-- Init command -->Init コマンド</title>
  337       <para>
  338         <!--
  339         Sets the command to use as the init system for the containers.
  340           -->
  341         コンテナの init として使うコマンドを設定します。
  342       </para>
  343       <variablelist>
  344         <varlistentry>
  345           <term>
  346             <option>lxc.execute.cmd</option>
  347           </term>
  348           <listitem>
  349             <para>
  350               <!--
  351               Absolute path from container rootfs to the binary to run by default.  This
  352               mostly makes sense for lxc-execute.
  353               -->
  354               デフォルトで実行するバイナリのコンテナの root からの絶対パスを指定します。これは <command>lxc-execute</command> のための設定です。
  355             </para>
  356           </listitem>
  357         </varlistentry>
  358       </variablelist>
  359       <variablelist>
  360         <varlistentry>
  361           <term>
  362             <option>lxc.init.cmd</option>
  363           </term>
  364           <listitem>
  365             <para>
  366               <!--
  367                   Absolute path from container rootfs to the binary to use as init. This
  368                   mostly makes sense for lxc-start. Default is /sbin/init.
  369                 -->
  370               init として使うバイナリの、コンテナの root からの絶対パスを指定します。これは <command>lxc-start</command> のための設定です。デフォルトは <command>/sbin/init</command> です。
  371             </para>
  372           </listitem>
  373         </varlistentry>
  374       </variablelist>
  375     </refsect2>
  376 
  377     <refsect2>
  378       <title>Init のワーキングディレクトリ <!-- Init working directory --></title>
  379       <para>
  380         <!--
  381         Sets the absolute path inside the container as the working directory for the containers.
  382         LXC will switch to this directory before executing init.
  383           -->
  384         コンテナのワーキングディレクトリとして、コンテナ内の絶対パスを設定します。LXC は init を実行する前に、このディレクトリに移動します。
  385       </para>
  386       <variablelist>
  387         <varlistentry>
  388           <term>
  389             <option>lxc.init.cwd</option>
  390           </term>
  391           <listitem>
  392             <para>
  393               <!--
  394               Absolute path inside the container to use as the working directory.
  395                 -->
  396               ワーキングディレクトリとして使うコンテナ内の絶対パス
  397             </para>
  398           </listitem>
  399         </varlistentry>
  400       </variablelist>
  401     </refsect2>
  402 
  403     <refsect2>
  404       <title><!-- Init ID -->Init が使う ID</title>
  405       <para>
  406         <!--
  407         Sets the UID/GID to use for the init system, and subsequent commands.
  408         Note that using a non-root uid when booting a system container will
  409         likely not work due to missing privileges. Setting the UID/GID is mostly
  410         useful when running application container.
  411 
  412         Defaults to: UID(0), GID(0)
  413           -->
  414         init と後続のコマンドが使う UID/GID を設定します。システムコンテナを起動するのに非 root な UID を使うと、特権がないために動作しないでしょう。UID/GID の指定は、通常はアプリケーションコンテナの動作の際に役に立ちます。
  415 
  416         デフォルト値: UID(0)、GID(0)
  417       </para>
  418       <variablelist>
  419         <varlistentry>
  420           <term>
  421             <option>lxc.init.uid</option>
  422           </term>
  423           <listitem>
  424             <para>
  425               <!--
  426               UID to use for init.
  427               -->
  428               init が使う UID です。
  429             </para>
  430           </listitem>
  431         </varlistentry>
  432         <varlistentry>
  433           <term>
  434             <option>lxc.init.gid</option>
  435           </term>
  436           <listitem>
  437             <para>
  438               <!--
  439               GID to use for init.
  440                 -->
  441               init が使う GID です。
  442             </para>
  443           </listitem>
  444         </varlistentry>
  445       </variablelist>
  446     </refsect2>
  447 
  448     <refsect2>
  449       <title>Proc</title>
  450       <para>
  451         <!--
  452         Configure proc filesystem for the container.
  453           -->
  454         コンテナ内の proc ファイルシステムで設定できるパラメータを設定します。
  455       </para>
  456       <variablelist>
  457         <varlistentry>
  458           <term>
  459             <option>lxc.proc.[proc file name]</option>
  460           </term>
  461           <listitem>
  462             <para>
  463               <!--
  464               Specify the proc file name to be set. The file name available
  465               are those listed under /proc/PID/.
  466               Example:
  467                 -->
  468               設定したい proc ファイルシステムのファイル名を指定します。指定できるファイル名は /proc/PID/ 以下に存在するものです。
  469               例:
  470             </para>
  471             <programlisting>
  472               lxc.proc.oom_score_adj = 10
  473             </programlisting>
  474           </listitem>
  475         </varlistentry>
  476       </variablelist>
  477     </refsect2>
  478 
  479     <refsect2>
  480       <title><!-- Ephemeral -->一時的なコンテナ</title>
  481       <para>
  482         <!--
  483         Allows one to specify whether a container will be destroyed on shutdown.
  484           -->
  485         シャットダウン後にコンテナを削除するかどうかを指定できます。
  486       </para>
  487       <variablelist>
  488         <varlistentry>
  489           <term>
  490             <option>lxc.ephemeral</option>
  491           </term>
  492           <listitem>
  493             <para>
  494               <!--
  495               The only allowed values are 0 and 1. Set this to 1 to destroy a
  496               container on shutdown. 
  497                 -->
  498               指定できる値は 0 または 1 のみです。この値を 1 に設定すると、シャットダウン後にコンテナを削除します。
  499             </para>
  500           </listitem>
  501         </varlistentry>
  502       </variablelist>
  503     </refsect2>
  504 
  505     <refsect2>
  506       <title><!-- Network -->ネットワーク</title>
  507       <para>
  508         <!--
  509         The network section defines how the network is virtualized in
  510         the container. The network virtualization acts at layer
  511         two. In order to use the network virtualization, parameters
  512         must be specified to define the network interfaces of the
  513         container. Several virtual interfaces can be assigned and used
  514         in a container even if the system has only one physical
  515         network interface.
  516         -->
  517         ネットワークセクションは、コンテナ内でどのようにネットワークを仮想化するかを定義します。
  518         ネットワークの仮想化はレイヤー 2 で作動します。
  519         ネットワークの仮想化を使用するためには、コンテナのネットワークインターフェースを定義しなければなりません。
  520         いくつかの仮想インターフェースをアサインすることができます。
  521         そして、仮に物理ネットワークインターフェースが一つしかなくても、コンテナ内でいくつもの仮想インターフェースを使うことができます。
  522       </para>
  523       <variablelist>
  524         <varlistentry>
  525           <term>
  526             <option>lxc.net</option>
  527           </term>
  528           <listitem>
  529             <para>
  530               <!--
  531               may be used without a value to clear all previous network options.
  532               -->
  533               値を指定せずに使い、それ以前に定義されたすべてのネットワークオプションをクリアできます。
  534             </para>
  535           </listitem>
  536         </varlistentry>
  537         <varlistentry>
  538           <term>
  539             <option>lxc.net.[i].type</option>
  540           </term>
  541           <listitem>
  542             <para>
  543               <!--
  544               specify what kind of network virtualization to be used
  545               for the container.
  546               Must be specified before any other option(s) on the net device.
  547               Multiple networks can be specified by using an additional index
  548               <option>i</option>
  549               after all <option>lxc.net.*</option> keys. For example,
  550               <option>lxc.net.0.type = veth</option> and
  551               <option>lxc.net.1.type = veth</option> specify two different
  552               networks of the same type. All keys sharing the same index
  553               <option>i</option> will be treated as belonging to the same
  554               network. For example, <option>lxc.net.0.link = br0</option>
  555               will belong to <option>lxc.net.0.type</option>.
  556               Currently, the different virtualization types can be:
  557               -->
  558               コンテナがどの種類のネットワーク仮想化を使うかを指定します。ネットワークデバイスの他のオプションを設定する前に指定しなければいけません。
  559               すべての <option>lxc.net.*</option> キーに、追加のインデックス <option>i</option> を使うと、複数のネットワークを指定できます。例えば、<option>lxc.net.0.type = veth</option> と <option>lxc.net.1.type = veth</option> は、同じタイプの異なるネットワークを 2 つ指定します。
  560               同じインデックスを指定したキーはすべて同じネットワークの指定になります。例えば、<option>lxc.net.0.link = br0</option> は <option>lxc.net.0.type</option> と同じネットワークの設定になります。
  561               現時点では、以下のネットワーク仮想化のタイプが使えます:
  562             </para>
  563 
  564             <para>
  565               <!--
  566               <option>none:</option> will cause the container to share
  567               the host's network namespace.  This means the host
  568               network devices are usable in the container.  It also
  569               means that if both the container and host have upstart as
  570               init, 'halt' in a container (for instance) will shut down the
  571               host. Note that unprivileged containers do not work with this
  572               setting due to an inability to mount sysfs. An unsafe workaround
  573               would be to bind mount the host's sysfs.
  574               -->
  575               <option>none:</option> ホストのネットワーク名前空間を共有します。
  576               これにより、ホストのネットワークデバイスをコンテナ内で使うことが可能になります。
  577               もしコンテナもホストも init として upstart を使っている場合、(例えば) コンテナ内で 'halt' を実行すると、ホストがシャットダウンしてしまうことにもなります。
  578               非特権コンテナでは、sysfs をマウントできないので、この設定は動作しません。この問題に対する回避策は、ホストの sysfs を bind マウントすることです。ただしこの回避策は安全ではありません。
  579             </para>
  580 
  581             <para>
  582               <!--
  583               <option>empty:</option> will create only the loopback
  584               interface.
  585               -->
  586               <option>empty:</option> ループバックインターフェースだけを作成します。
  587             </para>
  588 
  589             <para>
  590               <!--
  591               <option>veth:</option> a virtual ethernet pair
  592               device is created with one side assigned to the container
  593               and the other side on the host.
  594               <option>lxc.net.[i].veth.mode</option> specifies the
  595               mode the veth parent will use on the host.
  596               The accepted  modes are <option>bridge</option> and <option>router</option>.
  597               The mode defaults to bridge if not specified.
  598               In <option>bridge</option> mode the host side is attached to a bridge specified by
  599               the <option>lxc.net.[i].link</option> option.
  600               If the bridge link is not specified, then the veth pair device
  601               will be created but not attached to any bridge.
  602               Otherwise, the bridge has to be created on the system
  603               before starting the container.
  604               <command>lxc</command> won't handle any
  605               configuration outside of the container.
  606               In <option>router</option> mode static routes are created on the host for the
  607               container's IP addresses pointing to the host side veth interface.
  608               Additionally Proxy ARP and Proxy NDP entries are added on the host side veth interface
  609               for the gateway IPs defined in the container to allow the container to reach the host.
  610               By default, <command>lxc</command> chooses a name for the
  611               network device belonging to the outside of the
  612               container, but if you wish to handle
  613               this name yourselves, you can tell <command>lxc</command>
  614               to set a specific name with
  615               the <option>lxc.net.[i].veth.pair</option> option (except for
  616               unprivileged containers where this option is ignored for security
  617               reasons).
  618 
  619               Static routes can be added on the host pointing to the container using the
  620               <option>lxc.net.[i].veth.ipv4.route</option> and
  621               <option>lxc.net.[i].veth.ipv6.route</option> options.
  622               Several lines specify several routes.
  623               The route is in format x.y.z.t/m, eg. 192.168.1.0/24.
  624               -->
  625               <option>veth:</option> 一方がコンテナに、もう一方がホストに接続されるペアの仮想イーサネットデバイスを作成します。
  626               <option>lxc.net.[i].veth.mode</option> は、veth の親(ホスト側)がホスト上で使うモードを指定します。
  627               指定できるモードは <option>bridge</option> と <option>router</option> です。
  628               指定しない場合のデフォルトのモードは bridge です。
  629               <option>bridge</option> モードでは、ホスト側は、<option>lxc.net.[i].link</option> オプションで指定したブリッジに接続されます。
  630               もし、ブリッジが指定されていない場合、veth ペアデバイスは作成されますが、ブリッジには接続されません。
  631               ブリッジはコンテナが開始する前にシステムで事前に設定しておく必要があります。
  632               <command>lxc</command> はコンテナ外の設定を扱うことはありません。
  633               <option>router</option> モードでは、ホスト側の veth インターフェースを指すコンテナの IP アドレスに対して、ホスト上でスタティックルートが作成されます。
  634               加えて、コンテナがホストに到達できるために、コンテナ内で定義されたゲートウェイの IP アドレスに対して、Proxy ARP と Proxy NDP エントリがホスト側の veth インターフェースに追加されます。
  635               デフォルトでは、<command>lxc</command> がコンテナの外部に属するネットワークデバイスに対する名前を決定します。
  636               しかし、もしこの名前を自分で指定したい場合、<option>lxc.net.[i].veth.pair</option> オプションを使って名前を設定し、lxc に対して指定をすることができます (非特権コンテナの場合をのぞきます。セキュリティ上の理由からこのオプションは無視されます)。
  637 
  638               <option>lxc.net.[i].veth.ipv4.route</option>、<option>lxc.net.[i].veth.ipv6.route</option> オプションを使って、静的ルーティングをコンテナを指し示すホスト上に追加できます。
  639               複数のルートがある場合は複数の設定を指定します。
  640               ルートは x.y.z.t/m の形式です。例: 192.168.1.0/24
  641             </para>
  642 
  643             <para>
  644               <!--
  645               <option>vlan:</option> a vlan interface is linked with
  646               the interface specified by
  647               the <option>lxc.net.[i].link</option> and assigned to
  648               the container. The vlan identifier is specified with the
  649               option <option>lxc.net.[i].vlan.id</option>.
  650               -->
  651               <option>vlan:</option> vlan インターフェースは <option>lxc.net.[i].link</option> で指定されたインターフェースとリンクし、コンテナに割り当てられます。
  652               vlan の指定は <option>lxc.net.[i].vlan.id</option> オプションで指定します。
  653             </para>
  654 
  655             <para>
  656               <!--
  657               <option>macvlan:</option> a macvlan interface is linked
  658               with the interface specified by
  659               the <option>lxc.net.[i].link</option> and assigned to
  660               the container.
  661               <option>lxc.net.[i].macvlan.mode</option> specifies the
  662               mode the macvlan will use to communicate between
  663               different macvlan on the same upper device. The accepted
  664               modes are <option>private</option>, <option>vepa</option>,
  665               <option>bridge</option> and <option>passthru</option>.
  666               In <option>private</option> mode, the device never
  667               communicates with any other device on the same upper_dev (default).
  668               In <option>vepa</option> mode, the new Virtual Ethernet Port
  669               Aggregator (VEPA) mode, it assumes that the adjacent
  670               bridge returns all frames where both source and
  671               destination are local to the macvlan port, i.e. the
  672               bridge is set up as a reflective relay.  Broadcast
  673               frames coming in from the upper_dev get flooded to all
  674               macvlan interfaces in VEPA mode, local frames are not
  675               delivered locally. In <option>bridge</option> mode, it
  676               provides the behavior of a simple bridge between
  677               different macvlan interfaces on the same port. Frames
  678               from one interface to another one get delivered directly
  679               and are not sent out externally. Broadcast frames get
  680               flooded to all other bridge ports and to the external
  681               interface, but when they come back from a reflective
  682               relay, we don't deliver them again.  Since we know all
  683               the MAC addresses, the macvlan bridge mode does not
  684               require learning or STP like the bridge module does. In
  685               <option>passthru</option> mode, all frames received by
  686               the physical interface are forwarded to the macvlan
  687               interface. Only one macvlan interface in <option>passthru</option>
  688               mode is possible for one physical interface.
  689               -->
  690               <option>macvlan:</option> macvlan インターフェースは <option>lxc.net.[i].link</option> により指定されるインターフェースとリンクし、コンテナに割り当てられます。
  691               <option>lxc.net.[i].macvlan.mode</option> でモードを指定すると、その macvlan の指定を、同じ上位デバイスで異なる macvlan 間の通信をする時に使います。
  692               指定できるモードは <option>private</option>、<option>vepa</option>、<option>bridge</option>、<option>passthru</option> のいずれかです。
  693               <option>private</option> モードの場合、デバイスは同じ上位デバイスの他のデバイスとの通信を行いません (デフォルト)。
  694               新しい仮想イーサネットポート集約モード (Virtual Ethernet Port Aggregator (VEPA)) である <option>vepa</option> モードの場合、隣接したポートが、ソースとデスティネーションの両方が macvlan ポートに対してローカルであるフレームを全て返すと仮定します。
  695               すなわち、ブリッジが reflective relay として設定されているということです。
  696               上位デバイスから入ってくるブロードキャストフレームは、VEPA モードである全ての macvlan インターフェースに送りつけられます。
  697               ローカルのフレームはローカルには配送されません。
  698               <option>bridge</option> モードの場合、同じポートの異なる macvlan インターフェースの間のシンプルなブリッジとして動作します。
  699               あるインターフェースから他のインターフェースへのフレームは、直接配送され、外部には送出されません。
  700               ブロードキャストフレームは、全ての他のブリッジと外部のインターフェースに対して送られます。
  701               しかし、reflective relay からフレームが返ってきたときは、再度それを配送することはしません。
  702               全ての MAC アドレスを知っているので、ブリッジモジュールのように、macvlan ブリッジモードは学習や STP の必要はありません。
  703               <option>passthru</option> モードの場合、物理インターフェースで受け取った全てのフレームは macvlan インターフェースに転送されます。<option>passthru</option> モードの場合、ひとつの macvlan インターフェースだけが、ひとつの物理インターフェースに対して設定できます。
  704             </para>
  705 
  706             <para>
  707               <!--
  708               <option>ipvlan:</option> an ipvlan interface is linked
  709               with the interface specified by
  710               the <option>lxc.net.[i].link</option> and assigned to
  711               the container.
  712               <option>lxc.net.[i].ipvlan.mode</option> specifies the
  713               mode the ipvlan will use to communicate between
  714               different ipvlan on the same upper device. The accepted
  715               modes are <option>l3</option>, <option>l3s</option> and
  716               <option>l2</option>. It defaults to <option>l3</option> mode.
  717               In <option>l3</option> mode TX processing up to L3 happens on the stack instance
  718               attached to the dependent device and packets are switched to the stack instance of the
  719               parent device for the L2 processing and routing from that instance will be
  720               used before packets are queued on the outbound device. In this mode the dependent devices
  721               will not receive nor can send multicast / broadcast traffic.
  722               In <option>l3s</option> mode TX processing is very similar to the L3 mode except that
  723               iptables (conn-tracking) works in this mode and hence it is L3-symmetric (L3s).
  724               This will have slightly less performance but that shouldn't matter since you are
  725               choosing this mode over plain-L3 mode to make conn-tracking work.
  726               In <option>l2</option> mode TX processing happens on the stack instance attached to
  727               the dependent device and packets are switched and queued to the parent device to send
  728               out. In this mode the dependent devices will RX/TX multicast and broadcast (if applicable) as well.
  729               <option>lxc.net.[i].ipvlan.isolation</option> specifies the isolation mode.
  730               The accepted isolation values are <option>bridge</option>,
  731               <option>private</option> and <option>vepa</option>.
  732               It defaults to <option>bridge</option>.
  733               In <option>bridge</option> isolation mode dependent devices can cross-talk among themselves
  734               apart from talking through the parent device.
  735               In <option>private</option> isolation mode the port is set in private mode.
  736               i.e. port won't allow cross communication between dependent devices.
  737               In <option>vepa</option> isolation mode the port is set in VEPA mode.
  738               i.e. port will offload switching functionality to the external entity as
  739               described in 802.1Qbg.
  740               -->
  741               <option>ipvlan:</option> ipvlan インターフェースは <option>lxc.net.[i].link</option> により指定されるインターフェースとリンクし、コンテナに割り当てられます。
  742               <option>lxc.net.[i].ipvlan.mode</option> でモードを指定すると、その ipvlan の指定を、同じ上位デバイスで異なる ipvlan 間の通信をする時に使います。
  743               指定できるモードは <option>l3</option>、<option>l3s</option>、<option>l2</option> で、デフォルトは <option>l3</option> モードです。
  744               <option>l3</option> モードでは、L3 までの TX (送信) 処理はスレーブデバイスにアタッチされたスタックインスタンス上で行われます。
  745               そしてパケットは、L2 処理のためにマスターデバイスのスタックインスタンスにスイッチされます。このインスタンスからのルーティングは、発信デバイス上でキューに入る前に使われます。
  746               このモードでは、スレーブはマルチキャスト・ブロードキャストのトラフィックを受信しませんし、送信もできません。
  747               <option>l3s</option> モードは、TX (送信) 処理は L3 モードと非常に似ていますが、iptables (conn-tracking) がこのモードで動作します。
  748               それゆえに L3対称 (symmetric) (L3s) です。このモードは若干パフォーマンスが低下しますが、conn-tracking (接続追跡) が動作するように、普通の L3 モードの代わりにこのモードを選んでいるので問題にはならないはずです。
  749               <option>l2</option> モードでは、TX (送信) 処理はスレーブデバイスにアタッチされたスタックインスンタンス上で行われます。
  750               パケットは送信のため、マスターデバイスにスイッチされ、マスターデバイス上でキューに入ります。このモードでは、スレーブはマルチキャストも(該当する場合)ブロードキャストも RX/TX (送受信) 処理します。
  751 
  752               <option>lxc.net.[i].ipvlan.isolation</option> は隔離モードを指定します。隔離モードには <option>bridge</option>、<option>private</option>、<option>vepa</option> が指定できます。デフォルトは <option>bridge</option> モードです。
  753               <option>bridge</option> 隔離モードでは、スレーブはマスターデバイス経由の通信とは別に、スレーブ同士で通信できます。
  754               <option>private</option> 隔離モードでは、ポートはプライベートに設定されます。つまり、スレーブ間の通信はできません。
  755               <option>vepa</option> 隔離モードでは、ポートは VEPA モードに設定されます。つまり、802.1Qbg で説明されているように、ポートはスイッチング機能を外部エンティティにオフロードします。
  756             </para>
  757 
  758             <para>
  759               <!--
  760               <option>phys:</option> an already existing interface
  761               specified by the <option>lxc.net.[i].link</option> is
  762               assigned to the container.
  763               -->
  764               <option>phys:</option> <option>lxc.net.[i].link</option> で指定された、すでに存在しているインターフェースがコンテナに割り当てられます。
  765             </para>
  766           </listitem>
  767           </varlistentry>
  768 
  769         <varlistentry>
  770           <term>
  771             <option>lxc.net.[i].flags</option>
  772           </term>
  773           <listitem>
  774             <para>
  775               <!--
  776               Specify an action to do for the network.
  777               -->
  778               ネットワークに対して行うアクションを指定します。
  779             </para>
  780 
  781             <para>
  782               <!--
  783               <option>up:</option> activates the interface.
  784               -->
  785               <option>up:</option> インターフェースを起動させます。
  786             </para>
  787           </listitem>
  788         </varlistentry>
  789 
  790         <varlistentry>
  791           <term>
  792             <option>lxc.net.[i].link</option>
  793           </term>
  794           <listitem>
  795             <para>
  796               <!--
  797               Specify the interface to be used for real network traffic.
  798               -->
  799               実際のネットワークトラフィックに使うインターフェースを指定します。
  800             </para>
  801           </listitem>
  802         </varlistentry>
  803 
  804         <varlistentry>
  805           <term>
  806             <option>lxc.net.[i].l2proxy</option>
  807           </term>
  808           <listitem>
  809             <para>
  810               <!--
  811               Controls whether layer 2 IP neighbour proxy entries will be added to the
  812               lxc.net.[i].link interface for the IP addresses of the container.
  813               Can be set to 0 or 1. Defaults to 0.
  814               When used with IPv4 addresses, the following sysctl values need to be set:
  815               net.ipv4.conf.[link].forwarding=1
  816               When used with IPv6 addresses, the following sysctl values need to be set:
  817               net.ipv6.conf.[link].proxy_ndp=1
  818               net.ipv6.conf.[link].forwarding=1
  819                 -->
  820               レイヤ 2 IP 近隣プロキシエントリを、コンテナの IP アドレスに対応する lxc.net.[i].link インターフェースに追加するかどうかを制御します。0 か 1 が設定でき、デフォルトは 0 です。
  821               IPv4 アドレスで使う場合は、次の sysctl 設定が必要です:
  822               net.ipv4.conf.[link].forwarding=1
  823               IPv6 アドレスで使う場合は、次の sysctl 設定が必要です:
  824               net.ipv6.conf.[link].proxy_ndp=1
  825               net.ipv6.conf.[link].forwarding=1
  826               </para>
  827           </listitem>
  828         </varlistentry>
  829 
  830         <varlistentry>
  831           <term>
  832             <option>lxc.net.[i].mtu</option>
  833           </term>
  834           <listitem>
  835             <para>
  836               <!--
  837               Specify the maximum transfer unit for this interface.
  838               -->
  839               インターフェースに対する MTU を指定します。
  840             </para>
  841           </listitem>
  842         </varlistentry>
  843 
  844         <varlistentry>
  845           <term>
  846             <option>lxc.net.[i].name</option>
  847           </term>
  848           <listitem>
  849             <para>
  850               <!--
  851               The interface name is dynamically allocated, but if another name
  852               is needed because the configuration files being used by the
  853               container use a generic name, eg. eth0, this option will rename
  854               the interface in the container.
  855               -->
  856               インターフェース名は動的に割り当てられます。しかし、もしコンテナが使用する設定ファイルが一般的な名前を使用するために、他の特定の名前が必要であれば (例えば eth0 など)、コンテナ内のインターフェースは、このオプションで指定した名前にリネームされます。
  857             </para>
  858           </listitem>
  859         </varlistentry>
  860 
  861         <varlistentry>
  862           <term>
  863             <option>lxc.net.[i].hwaddr</option>
  864           </term>
  865           <listitem>
  866             <para>
  867               <!--
  868               The interface mac address is dynamically allocated by default to
  869               the virtual interface, but in some cases, this is needed to
  870               resolve a mac address conflict or to always have the same
  871               link-local ipv6 address.  Any "x" in address will be replaced by
  872               random value, this allows setting hwaddr templates.
  873               -->
  874               仮想インターフェースの MAC アドレスは、デフォルトでは動的に割り当てられます。しかし、MAC アドレスの衝突や、リンクローカルIPv6 アドレスを常に同じにした場合などは、このオプションが必要です。アドレス中の "x" という文字は、ランダムな値に置き換えられます。これによりテンプレートに hwaddr を設定することが可能になります。
  875             </para>
  876           </listitem>
  877         </varlistentry>
  878 
  879         <varlistentry>
  880           <term>
  881             <option>lxc.net.[i].ipv4.address</option>
  882           </term>
  883           <listitem>
  884             <para>
  885               <!--
  886               Specify the ipv4 address to assign to the virtualized interface.
  887               Several lines specify several ipv4 addresses. The address is in
  888               format x.y.z.t/m, eg. 192.168.1.123/24.
  889               -->
  890               仮想インターフェースに割り当てる ipv4 アドレスを指定します。複数行により複数の ipv4 アドレスを指定します。このアドレスは x.y.z.t/m というフォーマットで指定します。例) 192.168.1.123/24
  891             </para>
  892           </listitem>
  893         </varlistentry>
  894 
  895         <varlistentry>
  896           <term>
  897             <option>lxc.net.[i].ipv4.gateway</option>
  898           </term>
  899           <listitem>
  900             <para>
  901               <!--
  902               specify the ipv4 address to use as the gateway inside the
  903               container. The address is in format x.y.z.t, eg. 192.168.1.123.
  904 
  905               Can also have the special value <option>auto</option>,
  906               which means to take the primary address from the bridge
  907               interface (as specified by the
  908               <option>lxc.net.[i].link</option> option) and use that as
  909               the gateway. <option>auto</option> is only available when
  910               using the <option>veth</option>,
  911               <option>macvlan</option> and <option>ipvlan</option> network types.
  912               Can also have the special value of <option>dev</option>,
  913               which means to set the default gateway as a device route.
  914               This is primarily for use with layer 3 network modes, such as IPVLAN.
  915               -->
  916               コンテナでゲートウェイとして使う IPv4 アドレスを指定します。アドレスは x.y.z.t というフォーマットです。例) 192.168.1.123
  917               <option>auto</option> という特別な値を指定できます。これは (<option>lxc.net.[i].link</option> で指定した) ブリッジインターフェースの最初のアドレスを使用し、それをゲートウェイに使うという意味になります。<option>auto</option> はネットワークタイプとして <option>veth</option>、<option>macvlan</option>、<option>ipvlan</option> を指定している時だけ有効となります。
  918               特別な値である <option>dev</option> も設定できます。これはデバイスのルートとしてデフォルトゲートウェイを設定するという意味です。これは主に、IPVLAN のようなレイヤ 3 のネットワークモードで使用します。
  919             </para>
  920           </listitem>
  921         </varlistentry>
  922 
  923 
  924         <varlistentry>
  925           <term>
  926             <option>lxc.net.[i].ipv6.address</option>
  927           </term>
  928           <listitem>
  929             <para>
  930               <!--
  931               Specify the ipv6 address to assign to the virtualized
  932               interface. Several lines specify several ipv6 addresses. The
  933               address is in format x::y/m, eg.
  934               2003:db8:1:0:214:1234:fe0b:3596/64
  935               -->
  936               仮想インターフェースに割り当てる ipv6 アドレスを指定します。複数行により複数の ipv6 アドレスを指定します。このアドレスは x::y/m というフォーマットで指定します。例) 2003:db8:1:0:214:1234:fe0b:3596/64
  937             </para>
  938           </listitem>
  939         </varlistentry>
  940 
  941         <varlistentry>
  942           <term>
  943             <option>lxc.net.[i].ipv6.gateway</option>
  944           </term>
  945           <listitem>
  946             <para>
  947               <!--
  948               Specify the ipv6 address to use as the gateway inside the
  949               container. The address is in format x::y, eg. 2003:db8:1:0::1
  950 
  951               Can also have the special value <option>auto</option>,
  952               which means to take the primary address from the bridge
  953               interface (as specified by the
  954               <option>lxc.net.[i].link</option> option) and use that as
  955               the gateway. <option>auto</option> is only available when
  956               using the <option>veth</option>,
  957               <option>macvlan</option> and <option>ipvlan</option> network types.
  958               Can also have the special value of <option>dev</option>,
  959               which means to set the default gateway as a device route.
  960               This is primarily for use with layer 3 network modes, such as IPVLAN.
  961               -->
  962               コンテナでゲートウェイとして使う IPv6 アドレスを指定します。アドレスは x::y というフォーマットです。例) 2003:db8:1:0::1
  963               <option>auto</option> という特別な値を記述する事も可能です。これは (<option>lxc.net.[i].link</option> で指定した) ブリッジインターフェースの最初のアドレスを使用し、それをゲートウェイに使うという意味になります。<option>auto</option> はネットワークタイプとして <option>veth</option>、<option>macvlan</option>、<option>ipvlan</option> を指定している時だけ有効となります。
  964               特別な値である <option>dev</option> も設定できます。これはデバイスのルートとしてデフォルトゲートウェイを設定するという意味です。これは主に、IPVLAN のようなレイヤ 3 のネットワークモードで使用します。
  965             </para>
  966           </listitem>
  967         </varlistentry>
  968 
  969         <varlistentry>
  970           <term>
  971             <option>lxc.net.[i].script.up</option>
  972           </term>
  973           <listitem>
  974             <para>
  975               <!--
  976               Add a configuration option to specify a script to be
  977               executed after creating and configuring the network used
  978               from the host side.
  979                 -->
  980               ホスト側から使われる、ネットワークの作成と設定が済んだ後に実行するスクリプトを指定します。
  981             </para>
  982 
  983             <para>
  984               <!--
  985               In addition to the information available to all hooks. The
  986               following information is provided to the script:
  987                 -->
  988               すべてのフックで追加の情報が使えます。以下の情報がスクリプトに提供されます:
  989               <itemizedlist>
  990                 <listitem>
  991                  <para>
  992                  LXC_HOOK_TYPE: フックタイプ。'up' か 'down' のいずれかです <!-- the hook type. This is either 'up' or 'down'. -->
  993                   </para>
  994                 </listitem>
  995 
  996                 <listitem>
  997                  <para>
  998                  LXC_HOOK_SECTION: セクションタイプとして 'net' が設定されます<!-- the section type 'net'. -->
  999                   </para>
 1000                 </listitem>
 1001 
 1002                 <listitem>
 1003                  <para>
 1004                  LXC_NET_TYPE: ネットワークタイプ。有効なネットワークタイプのうちのひとつです (例: 'vlan', 'macvlan', 'ipvlan', 'veth') <!-- the network type. This is one of the valid
 1005                  network types listed here (e.g. 'vlan', 'macvlan', 'ipvlan', 'veth'). -->
 1006                   </para>
 1007                 </listitem>
 1008 
 1009                 <listitem>
 1010                  <para>
 1011                  LXC_NET_PARENT: ホスト上の親デバイス名。これはネットワークタイプが 'macvlan'、'veth'、'phys' のどれかのときだけ設定されます <!-- the parent device on the host. This is only
 1012                  set for network types 'mavclan', 'veth', 'phys'. -->
 1013                   </para>
 1014                 </listitem>
 1015 
 1016                 <listitem>
 1017                  <para>
 1018                    LXC_NET_PEER: ホスト上のピアデバイス名。これはネットワークタイプが 'veth' の場合のみ設定されます。この情報は <option>lxc.hook.version</option> が 1 に設定されている場合のみ設定されます
 1019                    <!-- the name of the peer device on the host. This is
 1020                  only set for 'veth' network types. Note that this information
 1021                  is only available when <option>lxc.hook.version</option> is set
 1022                  to 1. -->
 1023                   </para>
 1024                 </listitem>
 1025               </itemizedlist>
 1026 
 1027               <!--
 1028               Whether this information is provided in the form of environment
 1029               variables or as arguments to the script depends on the value of
 1030               <option>lxc.hook.version</option>. If set to 1 then information is
 1031               provided in the form of environment variables. If set to 0
 1032               information is provided as arguments to the script.
 1033               -->
 1034               この情報が環境変数の形で提供されるか、スクリプトへの引数の形で提供されるかは <option>lxc.hook.version</option> の値によって決まります。もし <option>lxc.hook.version</option> が 1 に設定されている場合は、環境変数の形で提供されます。もし 0 が設定されている場合は、スクリプトへの引数として提供されます。
 1035             </para>
 1036 
 1037             <para>
 1038               <!--
 1039               Standard output from the script is logged at debug level.
 1040               Standard error is not logged, but can be captured by the
 1041               hook redirecting its standard error to standard output.
 1042               -->
 1043               スクリプトからの標準出力は debug レベルでロギングされます。標準エラー出力はロギングされません。しかし、フックの標準エラー出力を標準出力にリダイレクトすることにより保存することは可能です。
 1044             </para>
 1045           </listitem>
 1046         </varlistentry>
 1047 
 1048         <varlistentry>
 1049           <term>
 1050             <option>lxc.net.[i].script.down</option>
 1051           </term>
 1052           <listitem>
 1053             <para>
 1054               <!--
 1055               Add a configuration option to specify a script to be
 1056               executed before destroying the network used from the
 1057               host side.
 1058                 -->
 1059               ホスト側から使われる、ネットワークを破壊する前に実行するスクリプトを指定します。
 1060             </para>
 1061 
 1062             <para>
 1063               <!--
 1064               In addition to the information available to all hooks. The
 1065               following information is provided to the script:
 1066                 -->
 1067               すべてのフックで追加の情報が使えます。以下の情報がスクリプトに提供されます:
 1068               <itemizedlist>
 1069                 <listitem>
 1070                  <para>
 1071                  LXC_HOOK_TYPE: フックタイプ。'up' か 'down' のいずれかです <!-- the hook type. This is either 'up' or 'down'. -->
 1072                   </para>
 1073                 </listitem>
 1074 
 1075                 <listitem>
 1076                  <para>
 1077                  LXC_HOOK_SECTION: セクションタイプとして 'net' が設定されます<!-- the section type 'net'. -->
 1078                   </para>
 1079                 </listitem>
 1080 
 1081                 <listitem>
 1082                   <para>
 1083                  LXC_NET_TYPE: ネットワークタイプ。有効なネットワークタイプのうちのひとつです (例: 'vlan', 'macvlan', 'ipvlan', 'veth') <!-- the network type. This is one of the valid
 1084                  network types listed here (e.g. 'vlan', 'macvlan', 'ipvlan', 'veth'). -->
 1085                   </para>
 1086                 </listitem>
 1087 
 1088                 <listitem>
 1089                  <para>
 1090                  LXC_NET_PARENT: ホスト上の親デバイス名。これはネットワークタイプが 'macvlan'、'veth'、'phys' のどれかのときだけ設定されます <!-- the parent device on the host. This is only
 1091                  set for network types 'mavclan', 'veth', 'phys'. -->
 1092                   </para>
 1093                 </listitem>
 1094 
 1095                 <listitem>
 1096                  <para>
 1097                    LXC_NET_PEER: ホスト上のピアデバイス名。これはネットワークタイプが 'veth' の場合のみ設定されます。この情報は <option>lxc.hook.version</option> が 1 に設定されている場合のみ設定されます
 1098                    <!-- the name of the peer device on the host. This is
 1099                  only set for 'veth' network types. Note that this information
 1100                  is only available when <option>lxc.hook.version</option> is set
 1101                  to 1. -->
 1102                   </para>
 1103                 </listitem>
 1104               </itemizedlist>
 1105 
 1106               <!--
 1107               Whether this information is provided in the form of environment
 1108               variables or as arguments to the script depends on the value of
 1109               <option>lxc.hook.version</option>. If set to 1 then information is
 1110               provided in the form of environment variables. If set to 0
 1111               information is provided as arguments to the script.
 1112               -->
 1113               この情報が環境変数の形で提供されるか、スクリプトへの引数の形で提供されるかは <option>lxc.hook.version</option> の値によって決まります。もし <option>lxc.hook.version</option> が 1 に設定されている場合は、環境変数の形で提供されます。もし 0 が設定されている場合は、スクリプトへの引数として提供されます。
 1114             </para>
 1115 
 1116             <para>
 1117               <!--
 1118               Standard output from the script is logged at debug level.
 1119               Standard error is not logged, but can be captured by the
 1120               hook redirecting its standard error to standard output.
 1121               -->
 1122               スクリプトからの標準出力は debug レベルでロギングされます。標準エラー出力はロギングされません。しかし、フックの標準エラー出力を標準出力にリダイレクトすることにより保存することは可能です。
 1123             </para>
 1124           </listitem>
 1125         </varlistentry>
 1126       </variablelist>
 1127 
 1128     </refsect2>
 1129 
 1130     <refsect2>
 1131       <title><!-- New pseudo tty instance (devpts) -->新しい擬似端末のインスタンス (devpts)</title>
 1132       <para>
 1133         <!--
 1134         For stricter isolation the container can have its own private
 1135         instance of the pseudo tty.
 1136         -->
 1137         さらに厳しい隔離のために、コンテナは自身のプライベートな pseudo tty (擬似端末) を持つことが可能です。
 1138       </para>
 1139       <variablelist>
 1140         <varlistentry>
 1141           <term>
 1142             <option>lxc.pty.max</option>
 1143           </term>
 1144           <listitem>
 1145             <para>
 1146               <!--
 1147               If set, the container will have a new pseudo tty
 1148               instance, making this private to it. The value specifies
 1149               the maximum number of pseudo ttys allowed for a pty
 1150               instance (this limitation is not implemented yet).
 1151               -->
 1152               もし設定された場合、コンテナは新しい pseudo tty インスタンスを持ち、それを自身のプライベートとします。
 1153               この値は pty インスタンスに許可される pseudo tty の最大数を指定します (この制限はまだ実装されていません)。
 1154             </para>
 1155           </listitem>
 1156         </varlistentry>
 1157       </variablelist>
 1158     </refsect2>
 1159 
 1160     <refsect2>
 1161       <title><!-- Container system console -->コンテナのシステムコンソール</title>
 1162       <para>
 1163         <!--
 1164         If the container is configured with a root filesystem and the
 1165         inittab file is setup to use the console, you may want to specify
 1166         where the output of this console goes.
 1167         -->
 1168         コンテナでルートファイルシステムを持つように設定されており、inittab ファイルでコンソールの使用が設定されている場合、このコンソールの出力がどこになされるのかを指定したいと思うでしょう。
 1169       </para>
 1170       <variablelist>
 1171 
 1172         <varlistentry>
 1173           <term>
 1174             <option>lxc.console.buffer.size</option>
 1175           </term>
 1176           <listitem>
 1177             <para>
 1178               <!--
 1179             Setting this option instructs liblxc to allocate an in-memory
 1180             ringbuffer. The container's console output will be written to the
 1181             ringbuffer. Note that ringbuffer must be at least as big as a
 1182             standard page size. When passed a value smaller than a single page
 1183             size liblxc will allocate a ringbuffer of a single page size. A page
 1184             size is usually 4KB.
 1185                 -->
 1186               このオプションを設定すると、liblxc はインメモリのリングバッファを割り当てます。コンテナのコンソールはリングバッファに出力されます。リングバッファは少なくとも標準ページサイズの大きさでなければなりません。ページサイズより小さい値を与えた場合は、liblxc  はページサイズのリングバッファを割り当てます。ページサイズは通常は 4KB です。
 1187 
 1188               <!--
 1189             The keyword 'auto' will cause liblxc to allocate a ringbuffer of
 1190             128KB.
 1191                 -->
 1192               'auto' を指定すると、liblxc は 128KB のリングバッファを割り当てます。
 1193 
 1194               <!--
 1195             When manually specifying a size for the ringbuffer the value should
 1196             be a power of 2 when converted to bytes. Valid size prefixes are
 1197             'KB', 'MB', 'GB'. (Note that all conversions are based on multiples
 1198             of 1024. That means 'Kb' == 'KiB', 'MB' == 'MiB', 'GB' == 'GiB'.
 1199             Additionally, the case of the suffix is ignored, i.e. 'kB', 'KB' and
 1200             'Kb' are treated equally.)
 1201                 -->
 1202               リングバッファサイズを数値指定する場合、値がバイトに変換されるときに 2 の累乗になります。サイズ接頭辞付きの単位として 'KB'、'MB'、'GB' が使えます。(この場合の変換は 1024 の倍数に基づいています。つまり 'KB' == 'KiB'、'MB' == 'MiB'、'GB' == 'GiB' という意味です。加えて、単位の大文字小文字は無視されます。すなわち 'kB'、'KB'、'Kb' は同一に扱われます。)
 1203             </para>
 1204           </listitem>
 1205         </varlistentry>
 1206 
 1207         <varlistentry>
 1208           <term>
 1209             <option>lxc.console.size</option>
 1210           </term>
 1211           <listitem>
 1212             <para>
 1213               <!--
 1214             Setting this option instructs liblxc to place a limit on the size of
 1215             the console log file specified in
 1216             <option>lxc.console.logfile</option>. Note that size of the log file
 1217             must be at least as big as a standard page size. When passed a value
 1218             smaller than a single page size liblxc will set the size of log file
 1219             to a single page size. A page size is usually 4KB.
 1220             -->
 1221               liblxc は <option>lxc.console.logfile</option> で指定したコンソールログのサイズを、このオプションで設定した値に制限します。ログファイルのサイズは少なくとも標準ページサイズでなければなりません。ページサイズ以下の値を設定した場合は、liblxc はログファイルのサイズをページサイズに設定します。ページサイズは通常は 4KB です。
 1222 
 1223               <!--
 1224             The keyword 'auto' will cause liblxc to place a limit of 128KB on
 1225             the log file.
 1226                 -->
 1227               'auto' を指定すると、liblxc はログファイルのサイズを 128KB に制限します。
 1228 
 1229               <!--
 1230             When manually specifying a size for the log file the value should
 1231             be a power of 2 when converted to bytes. Valid size prefixes are
 1232             'KB', 'MB', 'GB'. (Note that all conversions are based on multiples
 1233             of 1024. That means 'KB' == 'KiB', 'MB' == 'MiB', 'GB' == 'GiB'.
 1234             Additionally, the case of the suffix is ignored, i.e. 'kB', 'KB' and
 1235             'Kb' are treated equally.)
 1236                 -->
 1237               ログファイルサイズの値を数値指定する場合、値がバイトに変換されるときに 2 の累乗になります。サイズ接頭辞付きの単位として 'kB'、'MB'、'GB' が使えます。(この場合の変換は 1024 の倍数に基づいています。つまり 'kB' == 'KiB'、'MB' == 'MiB'、'GB' == 'GiB' という意味です。加えて、単位の大文字小文字は無視されます。すなわち 'kB'、'KB'、'Kb' は同一に扱われます。)
 1238 
 1239               <!--
 1240             If users want to mirror the console ringbuffer on disk they should set
 1241             <option>lxc.console.size</option> equal to
 1242             <option>lxc.console.buffer.size</option>.
 1243             -->
 1244               ディスク上のコンソールリングバッファとミラーになるようにしたい場合は、<option>lxc.console.size</option> と <option>lxc.console.buffer.size</option> の値を同じ値に設定します。
 1245             </para>
 1246           </listitem>
 1247         </varlistentry>
 1248 
 1249         <varlistentry>
 1250           <term>
 1251             <option>lxc.console.logfile</option>
 1252           </term>
 1253           <listitem>
 1254             <para>
 1255               <!--
 1256               Specify a path to a file where the console output will be written.
 1257               Note that in contrast to the on-disk ringbuffer logfile this file
 1258               will keep growing potentially filling up the users disks if not
 1259               rotated and deleted. This problem can also be avoided by using the
 1260               in-memory ringbuffer options
 1261               <option>lxc.console.buffer.size</option> and
 1262               <option>lxc.console.buffer.logfile</option>.
 1263               -->
 1264               コンソール出力を書き込むファイルのパスを指定します。ディスクに保存されるリングバッファログと異なり、このファイルはサイズが大きくなり続けるので、ファイルがローテートや削除されない限りは、ユーザのディスクをいっぱいにしてしまう可能性があります。この問題は、インメモリのリングバッファオプションである、<option>lxc.console.buffer.size</option> と <option>lxc.console.buffer.logfile</option> を使うことでも回避できます。
 1265             </para>
 1266           </listitem>
 1267         </varlistentry>
 1268 
 1269         <varlistentry>
 1270           <term>
 1271             <option>lxc.console.rotate</option>
 1272           </term>
 1273           <listitem>
 1274             <para>
 1275               <!--
 1276               Whether to rotate the console logfile specified in
 1277               <option>lxc.console.logfile</option>. Users can send an API
 1278               request to rotate the logfile. Note that the old logfile will have
 1279               the same name as the original with the suffix ".1" appended.
 1280               -->
 1281               <option>lxc.console.logfile</option> で指定したコンソールログファイルをローテートするかどうかを指定します。ユーザはログファイルをローテートするように API リクエストを送ることができます。古いログファイルは、元のファイル名と同じ名前のファイルに ".1" というサフィックスが付け加わります。
 1282 
 1283               <!--
 1284               Users wishing to prevent the console log file from filling the
 1285               disk should rotate the logfile and delete it if unneeded. This
 1286               problem can also be avoided by using the in-memory ringbuffer
 1287               options <option>lxc.console.buffer.size</option> and
 1288               <option>lxc.console.buffer.logfile</option>.
 1289               -->
 1290               ユーザがコンソールログでディスクがいっぱいになるのを防ぐには、ログファイルをローテートし、不要なログファイルを削除してください。この問題はインメモリのリングバッファオプションである <option>lxc.console.buffer.size</option> と <option>lxc.console.buffer.logfile</option> を使うことでも防げます。
 1291             </para>
 1292           </listitem>
 1293         </varlistentry>
 1294 
 1295         <varlistentry>
 1296           <term>
 1297             <option>lxc.console.path</option>
 1298           </term>
 1299           <listitem>
 1300             <para>
 1301               <!--
 1302               Specify a path to a device to which the console will be
 1303               attached. The keyword 'none' will simply disable the
 1304               console. Note, when specifying 'none' and creating a device node
 1305               for the console in the container at /dev/console or bind-mounting
 1306               the hosts's /dev/console into the container at /dev/console the
 1307               container will have direct access to the hosts's /dev/console.
 1308               This is dangerous when the container has write access to the
 1309               device and should thus be used with caution.
 1310                 -->
 1311               コンソールを割り当てるデバイスのパスを指定します。'none' というキーワードは、単純にコンソールを無効にします。
 1312               'none' を指定し、コンテナ内のコンソールに対するデバイスノードを /dev/console に作成するか、もしくはホストの /dev/console をコンテナ内の /dev/console に bind mount する場合、そのコンテナはホストの /dev/console へ直接アクセスを行うことに注意が必要です。
 1313               そのコンテナがデバイスへの書き込み権を持っている場合は危険ですので、注意してこの指定を使用する必要があります。
 1314             </para>
 1315           </listitem>
 1316         </varlistentry>
 1317       </variablelist>
 1318     </refsect2>
 1319 
 1320     <refsect2>
 1321       <title><!-- Console through the ttys -->tty を通したコンソール</title>
 1322       <para>
 1323         <!--
 1324         This option is useful if the container is configured with a root
 1325         filesystem and the inittab file is setup to launch a getty on the
 1326         ttys. The option specifies the number of ttys to be available for
 1327         the container. The number of gettys in the inittab file of the
 1328         container should not be greater than the number of ttys         specified
 1329         in this option, otherwise the excess getty sessions will die and
 1330         respawn indefinitely giving annoying messages on the console or in
 1331         <filename>/var/log/messages</filename>.
 1332         -->
 1333         このオプションはコンテナが root ファイルシステムを持つように設定されており、inittab ファイルで tty 上に getty の起動が設定されている場合に役に立ちます。
 1334         このオプションはコンテナで利用できる tty の数を指定します。
 1335         inittab ファイルに設定する getty の数は、このオプションの指定する tty の数より大きくしてはいけません。
 1336         さもなければ、超過した分の getty セッションはコンソールか /var/log/messages にうっとうしいメッセージを生死を表示しながら、永久に生死を繰り返すでしょう。
 1337       </para>
 1338       <variablelist>
 1339         <varlistentry>
 1340           <term>
 1341             <option>lxc.tty.max</option>
 1342           </term>
 1343           <listitem>
 1344             <para>
 1345               <!--
 1346               Specify the number of tty to make available to the
 1347               container.
 1348               -->
 1349               コンテナに作成出来る tty の数を指定します。
 1350             </para>
 1351           </listitem>
 1352         </varlistentry>
 1353       </variablelist>
 1354     </refsect2>
 1355 
 1356     <refsect2>
 1357       <title><!-- Console devices location -->コンソールデバイスの位置</title>
 1358       <para>
 1359         <!--
 1360         LXC consoles are provided through Unix98 PTYs created on the
 1361         host and bind-mounted over the expected devices in the container.
 1362         By default, they are bind-mounted over <filename>/dev/console</filename>
 1363         and <filename>/dev/ttyN</filename>.  This can prevent package upgrades
 1364         in the guest.  Therefore you can specify a directory location (under
 1365         <filename>/dev</filename> under which LXC will create the files and
 1366         bind-mount over them.  These will then be symbolically linked to
 1367         <filename>/dev/console</filename> and <filename>/dev/ttyN</filename>.
 1368         A package upgrade can then succeed as it is able to remove and replace
 1369         the symbolic links.
 1370         -->
 1371         LXC のコンソールはホストによって作られ、コンテナ内で要求されたデバイスに bind マウントされた Unix98 PTY 経由で提供されます。
 1372         デフォルトでは <filename>/dev/console</filename> と <filename>/dev/ttyN</filename> に bind マウントされます。
 1373         これはゲスト内でのパッケージのアップグレードを妨げる可能性があります。
 1374         なので <filename>/dev</filename> 以下のディレクトリを指定することができます。
 1375         LXC はこのディレクトリ以下にファイルを作成し、これらのファイルを bind マウントします。
 1376         そして、これらの (作成された) ファイルは <filename>/dev/console</filename> と <filename>/dev/ttyN</filename> にシンボリックリンクされます。
 1377         シンボリックリンクを消去したり置き換えたりすることは可能ですから、パッケージのアップグレードは成功します。
 1378       </para>
 1379       <variablelist>
 1380         <varlistentry>
 1381           <term>
 1382             <option>lxc.tty.dir</option>
 1383           </term>
 1384           <listitem>
 1385             <para>
 1386               <!--
 1387               Specify a directory under <filename>/dev</filename>
 1388               under which to create the container console devices. Note that LXC
 1389               will move any bind-mounts or device nodes for /dev/console into
 1390               this directory.
 1391                 -->
 1392               コンテナのコンソールデバイスを作成するための <filename>/dev</filename> 以下のディレクトリを指定します。
 1393               LXC は /dev/console に対する bind mount や /dev/console デバイスノードをこのディレクトリ以下に移動することに注意が必要です。
 1394             </para>
 1395           </listitem>
 1396         </varlistentry>
 1397       </variablelist>
 1398     </refsect2>
 1399 
 1400     <refsect2>
 1401       <title><!-- /dev directory -->/dev ディレクトリ</title>
 1402       <para>
 1403         <!--
 1404         By default, lxc creates a few symbolic links (fd,stdin,stdout,stderr)
 1405         in the container's <filename>/dev</filename> directory but does not
 1406         automatically create device node entries. This allows the container's
 1407         <filename>/dev</filename> to be set up as needed in the container
 1408         rootfs.  If lxc.autodev is set to 1, then after mounting the container's
 1409         rootfs LXC will mount a fresh tmpfs under <filename>/dev</filename>
 1410         (limited to 500K by default, unless defined in lxc.autodev.tmpfs.size)
 1411         and fill in a minimal set of initial devices.
 1412         This is generally required when starting a container containing
 1413         a "systemd" based "init" but may be optional at other times.  Additional
 1414         devices in the containers /dev directory may be created through the
 1415         use of the <option>lxc.hook.autodev</option> hook.
 1416         -->
 1417         デフォルトでは、lxc はコンテナの <filename>/dev</filename> 以下に fd, stdin, stdout, stderr のシンボリックリンクを作成しますが、自動的にはデバイスノードのエントリは作成しません。
 1418         これは、コンテナの rootfs で必要な設定を行えるようにするものです。
 1419         lxc.autodev が 1 に設定されている場合、コンテナの rootfs をマウントした後、LXC は新しい tmpfs を <filename>/dev</filename> 以下にマウントします (デフォルトでは 500k 制限でマウント、lxc.autodev.tmpfs.size で指定可能)。
 1420         そして初期デバイスの最小限のセットを作成します。
 1421         これは、"systemd" ベースの "init" 環境のコンテナを起動する時に通常必要ですが、他の環境の場合はオプショナルなものです。
 1422         コンテナの /dev ディレクトリ内の追加デバイスは <option>lxc.hook.autodev</option> フックを使用して作成されます。
 1423       </para>
 1424       <variablelist>
 1425         <varlistentry>
 1426           <term>
 1427             <option>lxc.autodev</option>
 1428           </term>
 1429           <listitem>
 1430             <para>
 1431               <!--
 1432               Set this to 0 to stop LXC from mounting and populating a minimal
 1433               <filename>/dev</filename> when starting the container.
 1434               -->
 1435               コンテナの起動時に LXC が /dev をマウントして最小限の /dev を作成するのを止めるには、この値を 0 に設定してください。
 1436             </para>
 1437           </listitem>
 1438         </varlistentry>
 1439 
 1440         <varlistentry>
 1441           <term>
 1442             <option>lxc.autodev.tmpfs.size</option>
 1443           </term>
 1444           <listitem>
 1445             <para>
 1446 	      <!--
 1447               Set this to define the size of the /dev tmpfs.
 1448               The default value is 500000 (500K). If the parameter is used
 1449               but without value, the default value is used.
 1450 		-->
 1451 	      この設定で /dev tmpfs のサイズを指定します。
 1452 	      デフォルト値は 500000 (500K) です。このパラメータを値なしで使うと、デフォルト値が使われます。
 1453             </para>
 1454           </listitem>
 1455         </varlistentry>
 1456       </variablelist>
 1457     </refsect2>
 1458 
 1459     <refsect2>
 1460       <title><!-- Mount points -->マウントポイント</title>
 1461       <para>
 1462         <!--
 1463         The mount points section specifies the different places to be
 1464         mounted. These mount points will be private to the container
 1465         and won't be visible by the processes running outside of the
 1466         container. This is useful to mount /etc, /var or /home for
 1467         examples.
 1468         -->
 1469         マウントポイントセクションは、マウントするための区別された場所を指定します。
 1470         これらのマウントポイントは、コンテナだけに見え、コンテナ外で実行されるプロセスから見えることはありません。
 1471         例えば、/etc や /var や /home をマウントするときに役に立つでしょう。
 1472       </para>
 1473       <para>
 1474         <!--
 1475         NOTE - LXC will generally ensure that mount targets and relative
 1476         bind-mount sources are properly confined under the container
 1477         root, to avoid attacks involving over-mounting host directories
 1478         and files.  (Symbolic links in absolute mount sources are ignored)
 1479         However, if the container configuration first mounts a directory which
 1480         is under the control of the container user, such as /home/joe, into
 1481         the container at some <filename>path</filename>, and then mounts
 1482         under <filename>path</filename>, then a TOCTTOU attack would be
 1483         possible where the container user modifies a symbolic link under
 1484         their home directory at just the right time.
 1485           -->
 1486         注意: 通常 LXC は、マウント対象と相対パス指定のバインドマウントを、適切にコンテナルート以下に閉じ込めます。
 1487         これは、ホストのディレクトリやファイルに対して重ね合わせを行うようなマウントによる攻撃を防ぎます。(絶対パス指定のマウントソース中の各パスがシンボリックリンクである場合は無視されます。)
 1488         しかし、もしコンテナの設定が最初に、/home/joe のようなコンテナユーザのコントロール配下にあるディレクトリを、コンテナ中のある <filename>path</filename> にマウントし、その後 <filename>path</filename> 以下でマウントが行われるような場合、コンテナユーザがタイミングを見計らって自身のホームディレクトリ以下でシンボリックリンクを操作するような TOCTTOU 攻撃が成立する可能性があります。
 1489       </para>
 1490       <variablelist>
 1491         <varlistentry>
 1492           <term>
 1493             <option>lxc.mount.fstab</option>
 1494           </term>
 1495           <listitem>
 1496             <para>
 1497               <!--
 1498               specify a file location in
 1499               the <filename>fstab</filename> format, containing the
 1500               mount information.  The mount target location can and in
 1501               most cases should be a relative path, which will become
 1502               relative to the mounted container root.  For instance,
 1503               -->
 1504               マウント情報の書かれた <filename>fstab</filename> フォーマットで書かれたファイルの場所を指定します。
 1505               マウントする場所は相対バスで書くことができます。そして、ほとんどの場合にコンテナの root からの相対パスとなるはずです。例えば、以下のように書きます。
 1506              </para>
 1507              <programlisting>
 1508              proc proc proc nodev,noexec,nosuid 0 0
 1509              </programlisting>
 1510              <para>
 1511                <!--
 1512               Will mount a proc filesystem under the container's /proc,
 1513               regardless of where the root filesystem comes from.  This
 1514               is resilient to block device backed filesystems as well as
 1515               container cloning.
 1516               -->
 1517                この例は、root ファイルシステムがどこにあっても、コンテナの /proc 以下に proc ファイルシステムをマウントします。これは、ブロックデバイスがバックエンドのファイルシステムだけでなく、コンテナのクローンにも柔軟に対応できます。
 1518              </para>
 1519              <para>
 1520               <!--
 1521               Note that when mounting a filesystem from an
 1522               image file or block device the third field (fs_vfstype)
 1523               cannot be auto as with
 1524               <citerefentry>
 1525                 <refentrytitle>mount</refentrytitle>
 1526                 <manvolnum>8</manvolnum>
 1527               </citerefentry>
 1528               but must be explicitly specified.
 1529               -->
 1530               ファイルシステムがイメージファイルやブロックデバイスからマウントされている場合、3 つ目のフィールド (fs_vfstype) は
 1531               <citerefentry>
 1532                 <refentrytitle>mount</refentrytitle>
 1533                 <manvolnum>8</manvolnum>
 1534               </citerefentry>
 1535               のように auto を指定することはできず、明確に指定しなければいけません。
 1536             </para>
 1537           </listitem>
 1538         </varlistentry>
 1539 
 1540         <varlistentry>
 1541           <term>
 1542             <option>lxc.mount.entry</option>
 1543           </term>
 1544           <listitem>
 1545             <para>
 1546               <!--
 1547               Specify a mount point corresponding to a line in the
 1548               fstab format.
 1549               -->
 1550               fstab フォーマットの一行と同じフォーマットのマウントポイントの指定をします。
 1551 
 1552               <!--
 1553               Moreover lxc supports mount propagation, such as rshared or
 1554               rprivate, and adds three additional mount options.
 1555               <option>optional</option> don't fail if mount does not work.
 1556               <option>create=dir</option> or <option>create=file</option>
 1557               to create dir (or file) when the point will be mounted.
 1558               <option>relative</option> source path is taken to be relative to
 1559               the mounted container root. For instance,
 1560               -->
 1561               加えて、LXC では rshared や rprivate といったマウント・プロパゲーションオプションと、独自の 3 つのマウントオプションが使えます。
 1562               <option>optional</option> は、マウントが失敗しても失敗を返さずに無視します。
 1563               <option>create=dir</option> と <option>create=file</option> は、マウントポイントをマウントする際にディレクトリもしくはファイルを作成します。
 1564               <option>relative</option> を指定すると、マウントされたコンテナルートからの相対パスとして取得されます。
 1565             </para>
 1566             <programlisting>
 1567               dev/null proc/kcore none bind,relative 0 0
 1568             </programlisting>
 1569             <para>
 1570               <!--
 1571               Will expand dev/null to ${<option>LXC_ROOTFS_MOUNT</option>}/dev/null,
 1572               and mount it to proc/kcore inside the container.
 1573                 -->
 1574               は dev/null を ${<option>LXC_ROOTFS_MOUNT</option>}/dev/null と展開し、コンテナ内の proc/kcore にマウントします。
 1575              </para>
 1576           </listitem>
 1577         </varlistentry>
 1578 
 1579         <varlistentry>
 1580           <term>
 1581             <option>lxc.mount.auto</option>
 1582           </term>
 1583           <listitem>
 1584             <para>
 1585               <!--
 1586               specify which standard kernel file systems should be
 1587               automatically mounted. This may dramatically simplify
 1588               the configuration. The file systems are:
 1589               -->
 1590               標準のカーネルファイルシステムで自動的にマウントするものを指定します。
 1591               これは劇的に設定を容易にする可能性があります。
 1592             </para>
 1593             <itemizedlist>
 1594               <listitem>
 1595                 <para>
 1596                   <option>proc:mixed</option> (or <option>proc</option>):
 1597                 <!--
 1598                   mount <filename>/proc</filename> as read-write, but
 1599                   remount <filename>/proc/sys</filename> and
 1600                   <filename>/proc/sysrq-trigger</filename> read-only
 1601                   for security / container isolation purposes.
 1602                 -->
 1603                   <filename>/proc</filename> を読み書き可能でマウントします。
 1604                   ただし、<filename>/proc/sys</filename> と <filename>/proc/sysrq-trigger</filename> は、セキュリティとコンテナの隔離の目的でリードオンリーで再マウントされます。
 1605                 </para>
 1606               </listitem>
 1607               <listitem>
 1608                 <para>
 1609                   <option>proc:rw</option>:
 1610                 <!--
 1611                   <filename>/proc</filename> as read-write
 1612                 -->
 1613                   <filename>/proc</filename> を読み書き可能でマウントします。
 1614                 </para>
 1615               </listitem>
 1616               <listitem>
 1617                 <para>
 1618                   <option>sys:mixed</option> (or <option>sys</option>):
 1619                 <!--
 1620                   mount <filename>/sys</filename> as read-only but with
 1621                   /sys/devices/virtual/net writable.
 1622                 -->
 1623                   /sys/devices/virtual/net のみ書き込み可能で、その他の <filename>/sys</filename> はリードオンリーでマウントします。
 1624                 </para>
 1625               </listitem>
 1626               <listitem>
 1627                 <para>
 1628                   <option>sys:ro</option>:
 1629                 <!--
 1630                   mount <filename>/sys</filename> as read-only
 1631                   for security / container isolation purposes.
 1632                 -->
 1633                   <filename>/sys</filename> を、セキュリティとコンテナの隔離の目的でリードオンリーでマウントします。
 1634                 </para>
 1635               </listitem>
 1636               <listitem>
 1637                 <para>
 1638                   <option>sys:rw</option>:
 1639                 <!--
 1640                   <filename>/sys</filename> as read-write
 1641                 -->
 1642                   <filename>/sys</filename> を読み書き可能でマウントします。
 1643                 </para>
 1644               </listitem>
 1645               <listitem>
 1646                 <para>
 1647                   <option>cgroup:mixed</option>:
 1648                   <!--
 1649                   Mount a tmpfs to <filename>/sys/fs/cgroup</filename>,
 1650                   create directories for all hierarchies to which the container
 1651                   is added, create subdirectories in those hierarchies with the
 1652                   name of the cgroup, and bind-mount the container's own cgroup
 1653                   into that directory. The container will be able to write to
 1654                   its own cgroup directory, but not the parents, since they will
 1655                   be remounted read-only.
 1656                     -->
 1657                   <filename>/sys/fs/cgroup</filename> を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層に対するディレクトリを作成し、それらの階層内に cgroup 名でサブディレクトリを作成し、そのコンテナ自身の cgroup をそのディレクトリにバインドマウントします。コンテナは自身の cgroup ディレクトリに書き込みが可能ですが、親ディレクトリはリードオンリーで再マウントされているため書き込めません。
 1658                 </para>
 1659               </listitem>
 1660 
 1661               <listitem>
 1662                 <para>
 1663                   <option>cgroup:mixed:force</option>:
 1664                   <!--
 1665                   The <option>force</option> option will cause LXC to perform
 1666                   the cgroup mounts for the container under all circumstances.
 1667                   Otherwise it is similar to <option>cgroup:mixed</option>.
 1668                   This is mainly useful when the cgroup namespaces are enabled
 1669                   where LXC will normally leave mounting cgroups to the init
 1670                   binary of the container since it is perfectly safe to do so.
 1671                     -->
 1672                   <option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup:mixed</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。
 1673                 </para>
 1674               </listitem>
 1675 
 1676               <listitem>
 1677                 <para>
 1678                   <option>cgroup:ro</option>:
 1679                 <!--
 1680                   <option>cgroup:mixed</option>, but everything will
 1681                 be mounted read-only.
 1682                 -->
 1683                   <option>cgroup:mixed</option> と同様にマウントされますが、全てリードオンリーでマウントされます。
 1684                 </para>
 1685               </listitem>
 1686 
 1687               <listitem>
 1688                 <para>
 1689                   <option>cgroup:ro:force</option>:
 1690                   <!--
 1691                   The <option>force</option> option will cause LXC to perform
 1692                   the cgroup mounts for the container under all circumstances.
 1693                   Otherwise it is similar to <option>cgroup:ro</option>.
 1694                   This is mainly useful when the cgroup namespaces are enabled
 1695                   where LXC will normally leave mounting cgroups to the init
 1696                   binary of the container since it is perfectly safe to do so.
 1697                     -->
 1698                   <option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup:ro</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。
 1699                 </para>
 1700               </listitem>
 1701 
 1702               <listitem>
 1703                 <para>
 1704                   <option>cgroup:rw</option>:
 1705                 <!--
 1706                   <option>cgroup:mixed</option>, but everything will be mounted
 1707                   read-write. Note that the paths leading up to the container's
 1708                   own cgroup will be writable, but will not be a cgroup
 1709                   filesystem but just part of the tmpfs of
 1710                   <filename>/sys/fs/cgroup</filename>
 1711                 -->
 1712                   <option>cgroup:mixed</option> と同様にマウントされますが、全て読み書き可能でマウントされます。
 1713                   コンテナ自身の cgroup に至るまでのパスも書き込み可能になることに注意が必要ですが、cgroup ファイルシステムにはならず、
 1714                   <filename>/sys/fs/cgroup</filename> の tmpfs の一部分になるでしょう。
 1715                 </para>
 1716               </listitem>
 1717 
 1718               <listitem>
 1719                 <para>
 1720                   <option>cgroup:rw:force</option>:
 1721                   <!--
 1722                   The <option>force</option> option will cause LXC to perform
 1723                   the cgroup mounts for the container under all circumstances.
 1724                   Otherwise it is similar to <option>cgroup:rw</option>.
 1725                   This is mainly useful when the cgroup namespaces are enabled
 1726                   where LXC will normally leave mounting cgroups to the init
 1727                   binary of the container since it is perfectly safe to do so.
 1728                     -->
 1729                   <option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup:rw</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。
 1730                 </para>
 1731               </listitem>
 1732 
 1733               <listitem>
 1734                 <para>
 1735                   <option>cgroup</option> (マウントオプションなしの場合):
 1736                   <!--
 1737                   defaults to <option>cgroup:rw</option> if the
 1738                   container retains the CAP_SYS_ADMIN capability,
 1739                   <option>cgroup:mixed</option> otherwise.
 1740                   -->
 1741                   コンテナが CAP_SYS_ADMIN ケーパビリティを保持している場合、<option>cgroup:rw</option> となります。保持していない場合、<option>cgroup:mixed</option> となります。
 1742                 </para>
 1743               </listitem>
 1744 	      
 1745               <listitem>
 1746                 <para>
 1747                   <option>cgroup-full:mixed</option>:
 1748                 <!--
 1749                   mount a tmpfs to <filename>/sys/fs/cgroup</filename>,
 1750                   create directories for all hierarchies to which
 1751                   the container is added, bind-mount the hierarchies
 1752                   from the host to the container and make everything
 1753                   read-only except the container's own cgroup. Note
 1754                   that compared to <option>cgroup</option>, where
 1755                   all paths leading up to the container's own cgroup
 1756                   are just simple directories in the underlying
 1757                   tmpfs, here
 1758                   <filename>/sys/fs/cgroup/$hierarchy</filename>
 1759                   will contain the host's full cgroup hierarchy,
 1760                   albeit read-only outside the container's own cgroup.
 1761                   This may leak quite a bit of information into the
 1762                   container.
 1763                 -->
 1764                   <filename>/sys/fs/cgroup</filename> を tmpfs でマウントし、そのコンテナの追加が行われた全ての階層構造に対するディレクトリを作製し、ホストからコンテナまでの階層構造を全てバインドマウントし、コンテナ自身の cgroup を除いてリードオンリーにします。
 1765                   <option>cgroup</option> と比べると、コンテナ自身の cgroup に至るまでの全てのパスが tmpfs の下層のシンプルなディレクトリとなり、コンテナ自身の cgroup の外ではリードオンリーになりますが、<filename>/sys/fs/cgroup/$hierarchy</filename> はホストの全ての cgroup 階層構造を含みます。
 1766                   これにより、コンテナにはかなりの情報が漏洩します。
 1767                 </para>
 1768               </listitem>
 1769 
 1770 	      <listitem>
 1771                 <para>
 1772                   <option>cgroup-full:mixed:force</option>:
 1773 		  <!--
 1774                   The <option>force</option> option will cause LXC to perform
 1775                   the cgroup mounts for the container under all circumstances.
 1776                   Otherwise it is similar to <option>cgroup-full:mixed</option>.
 1777                   This is mainly useful when the cgroup namespaces are enabled
 1778                   where LXC will normally leave mounting cgroups to the init
 1779                   binary of the container since it is perfectly safe to do so.
 1780 		  -->
 1781                   <option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup-full:mixed</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。
 1782                 </para>
 1783               </listitem>
 1784 
 1785               <listitem>
 1786                 <para>
 1787                   <option>cgroup-full:ro</option>:
 1788                 <!--
 1789                   similar to
 1790                   <option>cgroup-full:mixed</option>, but everything
 1791                   will be mounted read-only.
 1792                 -->
 1793                   <option>cgroup-full:mixed</option> と同様にマウントされますが、全てリードオンリーでマウントされます。
 1794                 </para>
 1795               </listitem>
 1796 
 1797               <listitem>
 1798                 <para>
 1799                   <option>cgroup-full:ro:force</option>:
 1800 		  <!--
 1801                   The <option>force</option> option will cause LXC to perform
 1802                   the cgroup mounts for the container under all circumstances.
 1803                   Otherwise it is similar to <option>cgroup-full:ro</option>.
 1804                   This is mainly useful when the cgroup namespaces are enabled
 1805                   where LXC will normally leave mounting cgroups to the init
 1806                   binary of the container since it is perfectly safe to do so.
 1807 		    -->
 1808                   <option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup-full:ro</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。
 1809                 </para>
 1810               </listitem>
 1811 
 1812               <listitem>
 1813                 <para>
 1814                   <option>cgroup-full:rw</option>:
 1815                 <!--
 1816                   similar to
 1817                   <option>cgroup-full:mixed</option>, but everything
 1818                   will be mounted read-write. Note that in this case,
 1819                   the container may escape its own cgroup. (Note also
 1820                   that if the container has CAP_SYS_ADMIN support
 1821                   and can mount the cgroup filesystem itself, it may
 1822                   do so anyway.)
 1823                 -->
 1824                   <option>cgroup-full:mixed</option>と同様にマウントされますが、全て読み書き可能でマウントされます。
 1825                   この場合、コンテナは自身の cgroup から脱出する可能性があることに注意してください (コンテナが CAP_SYS_ADMIN を持ち、自身で cgroup ファイルシステムをマウント可能なら、いずれにせよそのようにするかもしれないことにも注意してください)。
 1826                 </para>
 1827               </listitem>
 1828 
 1829               <listitem>
 1830                 <para>
 1831                   <option>cgroup-full:rw:force</option>:
 1832 		  <!--
 1833                   The <option>force</option> option will cause LXC to perform
 1834                   the cgroup mounts for the container under all circumstances.
 1835                   Otherwise it is similar to <option>cgroup-full:rw</option>.
 1836                   This is mainly useful when the cgroup namespaces are enabled
 1837                   where LXC will normally leave mounting cgroups to the init
 1838                   binary of the container since it is perfectly safe to do so.
 1839 		    -->
 1840                   <option>force</option> を指定すると、LXC はあらゆる状況でコンテナのための cgroup マウントを実行します。それ以外は <option>cgroup-full:rw</option> と同様です。これは主に cgroup 名前空間が有効な場合に便利です。この場合は完全に安全ですので、LXC は通常コンテナの init バイナリが cgroup をマウントしたままの状態にしておきます。
 1841                 </para>
 1842               </listitem>
 1843 
 1844               <listitem>
 1845                 <para>
 1846                   <!--
 1847                   <option>cgroup-full</option> (without specifier):
 1848                   defaults to <option>cgroup-full:rw</option> if the
 1849                   container retains the CAP_SYS_ADMIN capability,
 1850                   <option>cgroup-full:mixed</option> otherwise.
 1851                   -->
 1852                   <option>cgroup-full</option> (マウントオプションなしの場合):
 1853                   コンテナが CAP_SYS_ADMIN ケーパビリティを保持している場合、<option>cgroup-full:rw</option> となります。保持していない場合、<option>cgroup-full:mixed</option> となります。
 1854                 </para>
 1855               </listitem>
 1856 
 1857             </itemizedlist>
 1858             <para>
 1859               <!--
 1860               If cgroup namespaces are enabled, then any <option>cgroup</option>
 1861               auto-mounting request will be ignored, since the container can
 1862               mount the filesystems itself, and automounting can confuse the
 1863               container init.
 1864                 -->
 1865               cgroup 名前空間が有効の場合、<option>cgroup</option> の自動マウントの指定はどれも無視されます。これは、コンテナが自身でファイルシステムをマウントするため、自動マウントがコンテナの init を混乱させる可能性があるためです。
 1866             </para>
 1867             <para>
 1868               <!--
 1869               Note that if automatic mounting of the cgroup filesystem
 1870               is enabled, the tmpfs under
 1871               <filename>/sys/fs/cgroup</filename> will always be
 1872               mounted read-write (but for the <option>:mixed</option>
 1873               and <option>:ro</option> cases, the individual
 1874               hierarchies,
 1875               <filename>/sys/fs/cgroup/$hierarchy</filename>, will be
 1876               read-only). This is in order to work around a quirk in
 1877               Ubuntu's
 1878               <citerefentry>
 1879                 <refentrytitle>mountall</refentrytitle>
 1880                 <manvolnum>8</manvolnum>
 1881               </citerefentry>
 1882               command that will cause containers to wait for user
 1883               input at boot if
 1884               <filename>/sys/fs/cgroup</filename> is mounted read-only
 1885               and the container can't remount it read-write due to a
 1886               lack of CAP_SYS_ADMIN.
 1887               -->
 1888               cgroup ファイルシステムの自動マウントが有効の場合、<filename>/sys/fs/cgroup</filename> 以下の tmpfs は常に読み書き可能でマウントされることに注意が必要です (しかし <option>:mixed</option> と <option>:ro</option> の場合は、個々の階層の <filename>/sys/fs/cgroup/$hierarchy</filename> は読み込み専用となるでしょう)。これは Ubuntu の
 1889               <citerefentry>
 1890                 <refentrytitle>mountall</refentrytitle>
 1891                 <manvolnum>8</manvolnum>
 1892               </citerefentry>
 1893               コマンドの特異な動きに対処するためのものです。特異な動きとは、<filename>/sys/fs/cgroup</filename> が読み込み専用でマウントされた状態で、コンテナが CAP_SYS_ADMIN を持たない場合、/sys/fs/cgroup を読み書き可能で再マウントしようとしてできないため、コンテナのブート時にユーザからの入力を待ってしまうというものです。
 1894             </para>
 1895             <para>
 1896               <!--
 1897               Examples:
 1898               -->
 1899               例:
 1900             </para>
 1901             <programlisting>
 1902               lxc.mount.auto = proc sys cgroup
 1903               lxc.mount.auto = proc:rw sys:rw cgroup-full:rw
 1904             </programlisting>
 1905           </listitem>
 1906         </varlistentry>
 1907 
 1908       </variablelist>
 1909     </refsect2>
 1910 
 1911     <refsect2>
 1912       <title><!-- Root file system -->ルートファイルシステム</title>
 1913       <para>
 1914         <!--
 1915         The root file system of the container can be different than that
 1916         of the host system.
 1917         -->
 1918         コンテナのルートファイルシステムは、ホストのルートファイルシステムと異なるようにすることも可能です。
 1919       </para>
 1920       <variablelist>
 1921         <varlistentry>
 1922           <term>
 1923             <option>lxc.rootfs.path</option>
 1924           </term>
 1925           <listitem>
 1926             <para>
 1927               <!--
 1928               specify the root file system for the container. It can
 1929               be an image file, a directory or a block device. If not
 1930               specified, the container shares its root file system
 1931               with the host.
 1932               -->
 1933               コンテナのルートファイルシステムを指定します。
 1934               この値はイメージファイル、ディレクトリ、ブロックデバイスのどれかを取ることができます。
 1935               もし指定されない場合、コンテナはホストとルートファイルシステムを共有します。
 1936             </para>
 1937             <para>
 1938               <!--
 1939           For directory or simple block-device backed containers,
 1940           a pathname can be used.  If the rootfs is backed by a nbd
 1941           device, then <filename>nbd:file:1</filename> specifies that
 1942           <filename>file</filename> should be attached to a nbd device,
 1943           and partition 1 should be mounted as the rootfs.
 1944           <filename>nbd:file</filename> specifies that the nbd device
 1945           itself should be mounted.  <filename>overlayfs:/lower:/upper</filename>
 1946           specifies that the rootfs should be an overlay with <filename>/upper</filename>
 1947           being mounted read-write over a read-only mount of <filename>/lower</filename>.
 1948           For <filename>overlayfs</filename> multiple <filename>/lower</filename>
 1949           directories can be specified. <filename>loop:/file</filename> tells lxc to attach
 1950           <filename>/file</filename> to a loop device and mount the loop device.
 1951           -->
 1952               ディレクトリ、単純なブロックデバイスのバックエンドを持つコンテナの場合、パス名を使うことができます。
 1953               もし rootfs が nbd デバイスの場合、<filename>nbd:file:1</filename> という指定は <filename>file</filename> を nbd デバイスとして使用し、その 1 番目のパーティションが rootfs としてマウントされます。
 1954               <filename>nbd:file</filename> という指定は、nbd デバイス自身をマウントします。
 1955               <filename>overlayfs:/lower:/upper</filename> という指定は、rootfs は <filename>/lower</filename> という読み込み専用でマウントされるディレクトリの上に、<filename>/upper</filename> というディレクトリを読み書き可能で重ね合わせてマウントします。
 1956               <filename>overlayfs</filename> は、複数の <filename>/lower</filename> ディレクトリを指定できます。
 1957               <filename>loop:/file</filename> は <filename>/file</filename> を loop デバイスとして使用し、loop デバイスをマウントします。
 1958             </para>
 1959           </listitem>
 1960         </varlistentry>
 1961 
 1962         <varlistentry>
 1963           <term>
 1964             <option>lxc.rootfs.mount</option>
 1965           </term>
 1966           <listitem>
 1967             <para>
 1968               <!--
 1969               where to recursively bind <option>lxc.rootfs.path</option>
 1970               before pivoting.  This is to ensure success of the
 1971               <citerefentry>
 1972                 <refentrytitle><command>pivot_root</command></refentrytitle>
 1973                 <manvolnum>8</manvolnum>
 1974               </citerefentry>
 1975               syscall.  Any directory suffices, the default should
 1976               generally work.
 1977               -->
 1978               root ファイルシステムの変更の前に、<option>lxc.rootfs.path</option> を再帰的にどこにバインドするのかを指定します。これは
 1979               <citerefentry>
 1980                 <refentrytitle><command>pivot_root</command></refentrytitle>
 1981                 <manvolnum>8</manvolnum>
 1982               </citerefentry>
 1983               システムコールが確実に成功する事を保証します。
 1984               どんなディレクトリでも良く、デフォルトでも通常は動くはずです。
 1985             </para>
 1986           </listitem>
 1987         </varlistentry>
 1988 
 1989         <varlistentry>
 1990           <term>
 1991             <option>lxc.rootfs.options</option>
 1992           </term>
 1993           <listitem>
 1994             <para>
 1995               <!--
 1996               Specify extra mount options to use when mounting the rootfs.
 1997                 The format of the mount options corresponds to the
 1998                 format used in fstab. In addition, LXC supports the custom
 1999                 <option>idmap=</option> mount option. This option can be used
 2000                 to tell LXC to create an idmapped mount for the container's
 2001                 rootfs. This is useful when the user doesn't want to recursively
 2002                 chown the rootfs of the container to match the idmapping of the
 2003                 user namespace the container is going to use. Instead an
 2004                 idmapped mount can be used to handle this.
 2005                 The argument for
 2006                 <option>idmap=</option>
 2007                 can either be a path pointing to a user namespace file that
 2008                 LXC will open and use to idmap the rootfs or the special value
 2009                 "container" which will instruct LXC to use
 2010                 the container's user namespace to idmap the rootfs.
 2011                 -->
 2012                 rootfs をマウントするときに使うマウントオプション。マウントオプションのフォーマットは fstab で使うフォーマットと同じです。
 2013                 加えて、LXC では独自の <option>idmap=</option> マウントオプションが使えます。このオプションを使うと、LXC に対してコンテナの rootfs を idmapped マウントするように指示できます。
 2014                 これは、コンテナが使うユーザー名前空間の ID マッピングと一致させるために、コンテナの rootfs を再帰的に chown したくない場合に役に立ちます。代わりに idmapped マウントが使えます。
 2015                 <option>idmap=</option> の引数は、LXC が開いて rootfs を idmap するのに使うユーザー名前空間ファイルを指すパス、もしくは "container" という特別な値のどちらかです。"container" という値は、コンテナのユーザー名前空間を使って rootfs を idmap するように LXC に指示します。
 2016             </para>
 2017           </listitem>
 2018         </varlistentry>
 2019 
 2020         <varlistentry>
 2021           <term>
 2022             <option>lxc.rootfs.managed</option>
 2023           </term>
 2024           <listitem>
 2025             <para>
 2026               <!--
 2027               Set this to 0 to indicate that LXC is not managing the
 2028               container storage, then LXC will not modify the
 2029               container storage. The default is 1.
 2030                 -->
 2031               LXC がコンテナのストレージを管理していない場合は、この値を 0 に設定します。
 2032               0 に設定すると、LXC はコンテナのストレージを変更しません。デフォルト値は 1 です。
 2033             </para>
 2034           </listitem>
 2035         </varlistentry>
 2036 
 2037       </variablelist>
 2038     </refsect2>
 2039 
 2040     <refsect2>
 2041       <title>Control group ("cgroup")</title>
 2042       <para>
 2043         <!--
 2044         The control group section contains the configuration for the
 2045         different subsystem. <command>lxc</command> does not check the
 2046         correctness of the subsystem name. This has the disadvantage
 2047         of not detecting configuration errors until the container is
 2048         started, but has the advantage of permitting any future
 2049         subsystem.
 2050         -->
 2051         CONTROL GROUP セクションは、(lxc とは) 別のサブシステムの設定を含みます。
 2052         <command>lxc</command> は、このサブシステム名の正しさはチェックしません。
 2053         実行時のエラーを検出するのに不便ですが、別の将来のサブシステムをサポート出来るという有利な点もあります。
 2054       </para>
 2055 
 2056       <para>
 2057         <!--
 2058         The kernel implementation of cgroups has changed significantly over the
 2059         years. With Linux 4.5 support for a new cgroup filesystem was added
 2060         usually referred to as "cgroup2" or "unified hierarchy". Since then the
 2061         old cgroup filesystem is usually referred to as "cgroup1" or the
 2062         "legacy hierarchies". Please see the cgroups manual page for a detailed
 2063         explanation of the differences between the two versions.
 2064           -->
 2065         カーネルにおける cgroup 実装は長年にわたって大きく変化してきました。
 2066         Linux 4.5 で新しい cgroup ファイルシステムのサポートが追加されました。通常は "cgroup2" や "unified hierarchy"(単一階層構造) と呼ばれています。
 2067         それ以来、通常は古い cgroup ファイルシステムは "cgroup1" や "legacy hierarchies"(レガシー階層構造)と呼ばれています。
 2068         この 2 つのバージョンの違いについての詳細な説明は、cgroup のマニュアルページをご覧ください。
 2069       </para>
 2070 
 2071       <para>
 2072         <!--
 2073         LXC distinguishes settings for the legacy and the unified hierarchy by
 2074         using different configuration key prefixes. To alter settings for
 2075         controllers in a legacy hierarchy the key prefix
 2076         <option>lxc.cgroup.</option> must be used and in order to alter the
 2077         settings for a controller in the unified hierarchy the
 2078         <option>lxc.cgroup2.</option> key must be used. Note that LXC will
 2079         ignore <option>lxc.cgroup.</option> settings on systems that only use
 2080         the unified hierarchy. Conversely, it will ignore
 2081         <option>lxc.cgroup2.</option> options on systems that only use legacy
 2082         hierachies.
 2083         -->
 2084         LXC は cgroup1(レガシー階層構造)と cgroup2(単一階層構造)に対する設定を、異なる設定プレフィックスを使って区別しています。
 2085         cgroup1 に対する設定を変更するには <option>lxc.cgroup.</option> というプレフィックスを使う必要があり、cgroup2 の設定を変更するには <option>lxc.cgroup2.</option> を使う必要があります。
 2086         LXC は、cgroup2 だけが使われているシステム上の <option>lxc.cgroup.</option> を無視します。逆に cgroup1 だけが使われているシステム上の <option>lxc.cgroup2.</option> を無視します。
 2087       </para>
 2088 
 2089       <para>
 2090         <!--
 2091         At its core a cgroup hierarchy is a way to hierarchically organize
 2092         processes. Usually a cgroup hierarchy will have one or more
 2093         "controllers" enabled. A "controller" in a cgroup hierarchy is usually
 2094         responsible for distributing a specific type of system resource along
 2095         the hierarchy. Controllers include the "pids" controller, the "cpu"
 2096         controller, the "memory" controller and others. Some controllers
 2097         however do not fall into the category of distributing a system
 2098         resource, instead they are often referred to as "utility" controllers.
 2099         One utility controller is the device controller. Instead of
 2100         distributing a system resource it allows to manage device access.
 2101         -->
 2102         cgroup 階層の本質は、プロセスを階層的に構造化する方法です。通常は、cgroup 階層では 1 つ以上の「コントローラー」が有効になっています。
 2103         通常、cgroup 階層の「コントローラー」は階層に従って特定のタイプのシステムリソースを分配する役割を果たします。
 2104         コントローラーには "pids" コントローラー、"cpu" コントローラー、"memory" コントローラーなどがあります。
 2105         しかし、システムリソースの分配するという役割に該当しないコントローラーもあります。このようなコントローラーは「ユーティリティー」コントローラーと呼ばれたりします。
 2106         ユーティリティーコントローラーの 1 つにデバイスコントローラーがあります。このコントローラーはシステムリソースを分配する代わりにデバイスへのアクセスを管理できます。
 2107       </para>
 2108 
 2109       <para>
 2110         <!--
 2111         In the legacy hierarchy the device controller was implemented like most
 2112         other controllers as a set of files that could be written to. These
 2113         files where named "devices.allow" and "devices.deny". The legacy device
 2114         controller allowed the implementation of both "allowlists" and
 2115         "denylists".
 2116         -->
 2117         cgroup1 では、デバイスコントローラーは他の多くのコントローラーと同様に、書き込みできるファイルのセットとして実装されていました。
 2118         これらのファイルは "devices.allow" と "devices.deny" という名前のファイルでした。レガシーデバイスコントローラーは「許可リスト(allowlists)」と「拒否リスト(denylists)」の両方を実装できました。
 2119       </para>
 2120 
 2121       <para>
 2122         <!--
 2123         An allowlist is a device program that by default blocks access to all
 2124         devices. In order to access specific devices "allow rules" for
 2125         particular devices or device classes must be specified. In contrast, a
 2126         denylist is a device program that by default allows access to all
 2127         devices. In order to restrict access to specific devices "deny rules"
 2128         for particular devices or device classes must be specified.
 2129         -->
 2130         許可リスト(allowlist)とは、すべてのデバイスへのアクセスをブロックするデバイスプログラムです。特定のデバイスへのアクセスを行うには、特定のデバイスもしくはデバイスクラスに対する「許可ルール(allow rules)」を指定する必要があります。
 2131         一方、拒否リスト(denylist)はデフォルトですべてのデバイスへのアクセスを許可するデバイスプログラムです。特定のデバイスへのアクセスを拒否するには、特定のデバイスもしくはデバイスクラスに対する「拒否ルール(deny rules)」を指定する必要があります。
 2132       </para>
 2133 
 2134       <para>
 2135         <!--
 2136         In the unified cgroup hierarchy the implementation of the device
 2137         controller has completely changed. Instead of files to read from and
 2138         write to a eBPF program of
 2139         <option>BPF_PROG_TYPE_CGROUP_DEVICE</option> can be attached to a
 2140         cgroup. Even though the kernel implementation has changed completely
 2141         LXC tries to allow for the same semantics to be followed in the legacy
 2142         device cgroup and the unified eBPF-based device controller. The
 2143         following paragraphs explain the semantics for the unified eBPF-based
 2144         device controller.
 2145         -->
 2146         cgroup2 では、デバイスコントローラーの実装が完全に変わりました。読み書きするファイルの代わりに、<option>BPF_PROG_TYPE_CGROUP_DEVICE</option> の eBPF プログラムを cgroup にアタッチできます。
 2147         カーネルの実装が完全に変わったのにもかかわらず、LXC は cgroup1 のデバイスコントローラーと cgroup2 の eBPF ベースのデバイスコントローラーで同じセマンティクスに従えるようにしています。
 2148         このあとの段落では、cgroup2 の eBPF デバイスコントローラーに対するセマンティクスを説明します。
 2149       </para>
 2150 
 2151       <para>
 2152         <!--
 2153         As mentioned the format for specifying device rules for the unified
 2154         eBPF-based device controller is the same as for the legacy cgroup
 2155         device controller; only the configuration key prefix has changed.
 2156         Specifically, device rules for the legacy cgroup device controller are
 2157         specified via <option>lxc.cgroup.devices.allow</option> and
 2158         <option>lxc.cgroup.devices.deny</option> whereas for the
 2159         cgroup2 eBPF-based device controller
 2160         <option>lxc.cgroup2.devices.allow</option> and
 2161         <option>lxc.cgroup2.devices.deny</option> must be used.
 2162         -->
 2163         先に述べたように、cgroup2 の eBPF ベースのデバイスコントローラーに対するデバイスルールを指定するフォーマットは、cgroup1 のデバイスコントローラーと同じです。ただし、設定キーのプレフィックスは変更されています。
 2164         具体的には、cgroup1 のデバイスコントローラーに対するデバイスルールは <option>lxc.cgroup.devices.allow</option> と <option>lxc.cgroup.devices.deny</option> を使って指定します。一方、cgroup2 の eBPF ベースのコントローラーでは <option>lxc.cgroup2.devices.allow</option> と <option>lxc.cgroup2.devices.deny</option> を使わなければなりません。
 2165       </para>
 2166       <para>
 2167         <itemizedlist>
 2168           <listitem>
 2169             <para>
 2170               <!--
 2171               A allowlist device rule
 2172               <programlisting>
 2173                 lxc.cgroup2.devices.deny = a
 2174               </programlisting>
 2175               will cause LXC to instruct the kernel to block access to all
 2176               devices by default. To grant access to devices allow device rules
 2177               must be added via the <option>lxc.cgroup2.devices.allow</option>
 2178               key. This is referred to as a "allowlist" device program.
 2179               -->
 2180               許可リスト(allowlist)のデバイスルール
 2181               <programlisting>
 2182                 lxc.cgroup2.devices.deny = a
 2183               </programlisting>
 2184               は、カーネルに対してデフォルトですべてのデバイスへのアクセスをブロックするように LXC が指示します。
 2185               デバイスへのアクセスを許可するには、デバイスに対する許可ルールを <option>lxc.cgroup2.devices.allow</option> を使って追加する必要があります。これは「許可リスト」デバイスプログラムとして参照されます。
 2186             </para>
 2187           </listitem>
 2188 
 2189           <listitem>
 2190             <para>
 2191               <!--
 2192               A denylist device rule
 2193               <programlisting>
 2194                 lxc.cgroup2.devices.allow = a
 2195               </programlisting>
 2196               will cause LXC to instruct the kernel to allow access to all
 2197               devices by default. To deny access to devices deny device rules
 2198               must be added via <option>lxc.cgroup2.devices.deny</option> key.
 2199               This is referred to as a "denylist" device program.
 2200               -->
 2201               拒否リスト(denylist)のデバイスルール
 2202               <programlisting>
 2203                 lxc.cgroup2.devices.allow = a
 2204               </programlisting>
 2205               は、カーネルに対してすべてのデバイスへのアクセスをデフォルトで許可するように LXC が指示します。
 2206               デバイスへのアクセスを拒否するには、デバイスに対する拒否ルールを <option>lxc.cgroup2.devices.deny</option> を使って追加する必要があります。これは「拒否リスト」デバイスプログラムとして参照されます。
 2207             </para>
 2208           </listitem>
 2209 
 2210           <listitem>
 2211             <para>
 2212               <!--
 2213               Specifying any of the aformentioned two rules will cause all
 2214               previous rules to be cleared, i.e. the device list will be reset.
 2215               -->
 2216               前述の 2 つのルールのいずれかを指定すると、それ以前に指定していたルールがすべてクリアされます。つまり、デバイスリストがリセットされます。
 2217             </para>
 2218           </listitem>
 2219 
 2220           <listitem>
 2221             <para>
 2222               <!--
 2223             When an allowlist program is requested, i.e. access to all devices
 2224             is blocked by default, specific deny rules for individual devices
 2225             or device classes are ignored.
 2226                 -->
 2227               許可リストプログラムが要求される場合、つまりデフォルトですべてのデバイスへのアクセスがブロックされている場合、個別のデバイスやデバイスクラスへの拒否ルールを指定しても無視されます。
 2228             </para>
 2229           </listitem>
 2230 
 2231           <listitem>
 2232             <para>
 2233               <!--
 2234             When a denylist program is requested, i.e. access to all devices
 2235             is allowed by default, specific allow rules for individual devices
 2236             or device classes are ignored.
 2237                 -->
 2238               拒否リストプログラムが要求される場合、つまりデフォルトですべてのデバイスへのアクセスが許可されている場合、個別のデバイスやデバイスクラスへの許可ルールを指定しても無視されます。
 2239             </para>
 2240           </listitem>
 2241         </itemizedlist>
 2242       </para>
 2243 
 2244       <para>
 2245         <!--
 2246         For example the set of rules:
 2247           -->
 2248         例えば、次のようなルールの組
 2249         <programlisting>
 2250           lxc.cgroup2.devices.deny = a
 2251           lxc.cgroup2.devices.allow = c *:* m
 2252           lxc.cgroup2.devices.allow = b *:* m
 2253           lxc.cgroup2.devices.allow = c 1:3 rwm
 2254         </programlisting>
 2255         <!--
 2256         implements an allowlist device program, i.e. the kernel will block
 2257         access to all devices not specifically allowed in this list. This
 2258         particular program states that all character and block devices may be
 2259         created but only /dev/null might be read or written.
 2260           -->
 2261         は、許可リスト(allowlist)デバイスプログラムを実装します。つまり、カーネルはこのリストで許可されるように設定されていないすべてのデバイスへのアクセスをブロックします。
 2262         このプログラムでは、すべてのキャラクターデバイスとブロックデバイスが作成できますが、読み書きは /dev/null に対してしか行なえません。
 2263       </para>
 2264 
 2265       <para>
 2266         <!--
 2267         If we instead switch to the following set of rules:
 2268           -->
 2269         代わりに先のルールから次のようなルールの組に変更したとすると、
 2270         <programlisting>
 2271           lxc.cgroup2.devices.allow = a
 2272           lxc.cgroup2.devices.deny = c *:* m
 2273           lxc.cgroup2.devices.deny = b *:* m
 2274           lxc.cgroup2.devices.deny = c 1:3 rwm
 2275         </programlisting>
 2276          <!--
 2277          then LXC would instruct the kernel to implement a denylist, i.e. the
 2278          kernel will allow access to all devices not specifically denied in
 2279          this list. This particular program states that no character devices or
 2280          block devices might be created and that /dev/null is not allow allowed
 2281          to be read, written, or created.
 2282            -->
 2283         LXC はカーネルに拒否リスト(denylist)の実装を指示します。つまりカーネルはこのリストで拒否を指定していないすべてのデバイスへのアクセスを許可します。
 2284         このプログラムでは、キャラクターデバイスとブロックデバイスは作成できません。そして /dev/null の読み書きと作成は許可されません。
 2285       </para>
 2286 
 2287       <para>
 2288         <!--
 2289          Now consider the same program but followed by a "global rule"
 2290          which determines the type of device program (allowlist or
 2291          denylist) as explained above:
 2292           -->
 2293         ここで、同じプログラムでも、前述のようにデバイスのプログラムタイプを決定するような「グローバルルール」が続いている場合を考えてみましょう。
 2294         <programlisting>
 2295           lxc.cgroup2.devices.allow = a
 2296           lxc.cgroup2.devices.deny = c *:* m
 2297           lxc.cgroup2.devices.deny = b *:* m
 2298           lxc.cgroup2.devices.deny = c 1:3 rwm
 2299           lxc.cgroup2.devices.allow = a
 2300         </programlisting>
 2301         <!--
 2302         The last line will cause LXC to reset the device list without changing
 2303         the type of device program.
 2304           -->
 2305         最後の行は、デバイスプログラムのタイプを変更せずに、LXC がデバイスリストをリセットしてしまいます。
 2306       </para>
 2307 
 2308       <para>
 2309         <!--
 2310         If we specify:
 2311           -->
 2312         次のように指定した場合、
 2313         <programlisting>
 2314           lxc.cgroup2.devices.allow = a
 2315           lxc.cgroup2.devices.deny = c *:* m
 2316           lxc.cgroup2.devices.deny = b *:* m
 2317           lxc.cgroup2.devices.deny = c 1:3 rwm
 2318           lxc.cgroup2.devices.deny = a
 2319         </programlisting>
 2320         <!--
 2321         instead then the last line will cause LXC to reset the device list and
 2322         switch from a allowlist program to a denylist program.
 2323           -->
 2324         前の例と違って最後の行によって、LXC はデバイスリストをリセットし、許可リスト(allowlist)から拒否リスト(denylist)にプログラムを変更してしまいます。
 2325       </para>
 2326       <variablelist>
 2327         <varlistentry>
 2328           <term>
 2329             <option>lxc.cgroup.[control name].[controller file]</option>
 2330           </term>
 2331           <listitem>
 2332             <para>
 2333               <!--
 2334               Specify the control group value to be set on a legacy cgroup
 2335               hierarchy. The controller name is the literal name of the control
 2336               group. The permitted names and the syntax of their values is not
 2337               dictated by LXC, instead it depends on the features of the Linux
 2338               kernel running at the time the container is started, eg.
 2339               <option>lxc.cgroup.cpuset.cpus</option>
 2340               -->
 2341               レガシー cgroup 階層 (cgroup v1) に設定する値を指定します。コントローラー名は control group そのままの名前です。
 2342               許される名前や値の書式は LXC が指定することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。
 2343               例えば <option>lxc.cgroup.cpuset.cpus</option> のようになります。
 2344             </para>
 2345           </listitem>
 2346         </varlistentry>
 2347         <varlistentry>
 2348           <term>
 2349             <option>lxc.cgroup2.[controller name].[controller file]</option>
 2350           </term>
 2351           <listitem>
 2352             <para>
 2353               <!--
 2354               Specify the control group value to be set on the unified cgroup
 2355               hierarchy. The controller name is the literal name of the control
 2356               group. The permitted names and the syntax of their values is not
 2357               dictated by LXC, instead it depends on the features of the Linux
 2358               kernel running at the time the container is started, eg.
 2359               <option>lxc.cgroup2.memory.high</option>
 2360               -->
 2361               単一の cgroup 階層 (cgroup v2) に設定する値を指定します。
 2362               許される名前や値の書式は LXC が指定することはなく、コンテナが実行された時に実行されている Linux カーネルの機能に依存します。
 2363               例えば <option>lxc.cgroup2.memory.high</option> のようになります。
 2364             </para>
 2365           </listitem>
 2366         </varlistentry>
 2367         <varlistentry>
 2368           <term>
 2369             <option>lxc.cgroup.dir</option>
 2370           </term>
 2371           <listitem>
 2372             <para>
 2373               <!--
 2374               specify a directory or path in which the container's cgroup will
 2375               be created. For example, setting
 2376               <option>lxc.cgroup.dir = my-cgroup/first</option> for a container
 2377               named "c1" will create the container's cgroup as a sub-cgroup of
 2378               "my-cgroup". For example, if the user's current cgroup "my-user"
 2379               is located in the root cgroup of the cpuset controllerin in a
 2380               cgroup v1 hierarchy this would create the cgroup
 2381               "/sys/fs/cgroup/cpuset/my-user/my-cgroup/first/c1" for the
 2382               container. Any missing cgroups will be created by LXC. This
 2383               presupposes that the user has write access to its current cgroup.
 2384               -->
 2385               コンテナの cgroup を作成するパスやディレクトリを指定します。
 2386               例えば、"c1" という名前のコンテナで <option>lxc.cgroup.dir = my-cgroup/first</option> のように設定すると、"my-cgroup" のサブ cgroup のようにコンテナの cgroup を作成します。
 2387               例えば、ユーザのカレントの cgroup である "my-user" が cgroup v1 階層にある cpuset コントローラの root cgroup 内に存在する場合、この設定は "/sys/fs/cgroup/cpuset/my-user/my-cgroup/first/c1" という cgroup をこのコンテナ向けに作成します。
 2388               存在しない cgroup は LXC が作成しますが、ユーザがカレントの cgroup に書き込み権を持っていることが前提となります。
 2389             </para>
 2390           </listitem>
 2391         </varlistentry>
 2392         <varlistentry>
 2393           <term>
 2394             <option>lxc.cgroup.relative</option>
 2395           </term>
 2396           <listitem>
 2397             <para>
 2398               <!--
 2399               Set this to 1 to instruct LXC to never escape to the
 2400               root cgroup. This makes it easy for users to adhere to
 2401               restrictions enforced by cgroup2 and
 2402               systemd. Specifically, this makes it possible to run LXC
 2403               containers as systemd services.
 2404                 -->
 2405               LXC に root cgroup へのエスケープを行わないように指示するには、この値を 1 に設定してください。
 2406               これにより、ユーザは cgroup2 と systemd が強制する制限を遵守するのが容易になります。
 2407               具体的には、これにより LXC コンテナを systemd のサービスとして実行できます。
 2408             </para>
 2409           </listitem>
 2410         </varlistentry>
 2411       </variablelist>
 2412     </refsect2>
 2413 
 2414     <refsect2>
 2415       <title><!-- Capabilities -->ケーパビリティ</title>
 2416       <para>
 2417         <!--
 2418         The capabilities can be dropped in the container if this one
 2419         is run as root.
 2420         -->
 2421         コンテナが root 権限で実行されていても、コンテナ内ではケーパビリティ (capabilities) を削除する事は可能です。
 2422       </para>
 2423       <variablelist>
 2424         <varlistentry>
 2425           <term>
 2426             <option>lxc.cap.drop</option>
 2427           </term>
 2428           <listitem>
 2429             <para>
 2430               <!--
 2431               Specify the capability to be dropped in the container. A
 2432               single line defining several capabilities with a space
 2433               separation is allowed. The format is the lower case of
 2434               the capability definition without the "CAP_" prefix,
 2435               eg. CAP_SYS_MODULE should be specified as
 2436               sys_module. See
 2437               <citerefentry>
 2438                 <refentrytitle><command>capabilities</command></refentrytitle>
 2439                 <manvolnum>7</manvolnum>
 2440               </citerefentry>,
 2441               If used with no value, lxc will clear any drop capabilities
 2442               specified up to this point.
 2443               -->
 2444               コンテナ内で削除するケーパビリティ (capability) を指定します。
 2445               一行でスペース区切りで複数のケーパビリティを指定することも可能です。
 2446               指定は、"CAP_" というプレフィックスなしで、小文字でケーパビリティを指定します。
 2447               例えば、CAP_SYS_MODULE というケーパビリティは sys_module と指定する必要があります。
 2448               詳しくは以下を参照してください。
 2449               <citerefentry>
 2450                 <refentrytitle><command>capabilities</command></refentrytitle>
 2451                 <manvolnum>7</manvolnum>
 2452               </citerefentry>
 2453               この設定を、値を指定しない状態で使った場合、それ以前に指定された削除対象のケーパビリティの指定をすべてクリアします (lxc.cap.drop に何も指定しない状態になります)。
 2454             </para>
 2455           </listitem>
 2456         </varlistentry>
 2457         <varlistentry>
 2458           <term>
 2459             <option>lxc.cap.keep</option>
 2460           </term>
 2461           <listitem>
 2462             <para>
 2463               <!--
 2464               Specify the capability to be kept in the container. All other
 2465               capabilities will be dropped. When a special value of "none" is
 2466               encountered, lxc will clear any keep capabilities specified up
 2467               to this point. A value of "none" alone can be used to drop all
 2468               capabilities.
 2469               -->
 2470               コンテナ内で維持するケーパビリティを指定します。指定した以外の全てのケーパビリティはドロップされます。
 2471               特別な値 "none" が指定されている時点で、lxc はこの時点で保持することになっている全てのケーパビリティをクリアします。"none" を単独で使用するとすべてのケーパビリティを削除できます。
 2472             </para>
 2473           </listitem>
 2474         </varlistentry>
 2475       </variablelist>
 2476     </refsect2>
 2477 
 2478     <refsect2>
 2479       <title>名前空間 <!-- Namespace --></title>
 2480       <para>
 2481         <!--
 2482         A namespace can be cloned (<option>lxc.namespace.clone</option>),
 2483         kept (<option>lxc.namespace.keep</option>) or shared
 2484         (<option>lxc.namespace.share.[namespace identifier]</option>).
 2485         -->
 2486         名前空間は clone したり (<option>lxc.namespace.clone</option>)、keep したり (<option>lxc.namespace.keep</option>)、share したり (<option>lxc.namespace.share.[namespace identifier]</option>) できます。
 2487       </para>
 2488       <variablelist>
 2489         <varlistentry>
 2490           <term>
 2491             <option>lxc.namespace.clone</option>
 2492           </term>
 2493           <listitem>
 2494             <para>
 2495               <!--
 2496             Specify namespaces which the container is supposed to be created
 2497             with. The namespaces to create are specified as a space separated
 2498             list. Each namespace must correspond to one of the standard
 2499             namespace identifiers as seen in the
 2500             <filename>/proc/PID/ns</filename> directory.
 2501             When <option>lxc.namespace.clone</option> is not explicitly set all
 2502             namespaces supported by the kernel and the current configuration
 2503             will be used.
 2504             -->
 2505               コンテナ作成時に作成する名前空間を指定します。作成する名前空間はスペース区切りのリストで指定します。指定する名前空間名は、<filename>/proc/PID/ns</filename> ディレクトリ内に存在する標準の名前空間指示子でなければなりません。
 2506               <option>lxc.namespace.clone</option> を明示的に設定していない場合は、カーネルがサポートするすべての名前空間と現在の設定が使われます。
 2507             </para>
 2508 
 2509             <para>
 2510               <!--
 2511             To create a new mount, net and ipc namespace set
 2512             <option>lxc.namespace.clone=mount net ipc</option>.
 2513             -->
 2514               新しいマウント、ネット、IPC 名前空間を作る場合は <option>lxc.namespace.clone=mount net ipc</option> と指定します。
 2515             </para>
 2516           </listitem>
 2517         </varlistentry>
 2518 
 2519         <varlistentry>
 2520           <term>
 2521             <option>lxc.namespace.keep</option>
 2522           </term>
 2523           <listitem>
 2524             <para>
 2525               <!--
 2526             Specify namespaces which the container is supposed to inherit from
 2527             the process that created it. The namespaces to keep are specified as
 2528             a space separated list. Each namespace must correspond to one of the
 2529             standard namespace identifiers as seen in the
 2530             <filename>/proc/PID/ns</filename> directory.
 2531             The <option>lxc.namespace.keep</option> is a
 2532             denylist option, i.e. it is useful when enforcing that containers
 2533             must keep a specific set of namespaces.
 2534             -->
 2535               コンテナが、作成元のプロセスから継承する (新しい名前空間を作らずに元のプロセスの名前空間のまま実行する) 名前空間を指定します。継承する名前空間はスペース区切りのリストで指定します。指定する名前空間名は、<filename>/proc/PID/ns</filename> ディレクトリ内に存在する標準の名前空間指示子でなければなりません。<option>lxc.namespace.keep</option> はブラックリストを指定するオプションです。つまり、コンテナに特定の名前空間を使い続けることを強制したい場合に便利です。
 2536             </para>
 2537 
 2538             <para>
 2539               <!--
 2540             To keep the network, user and ipc namespace set
 2541             <option>lxc.namespace.keep=user net ipc</option>.
 2542             -->
 2543               ネットワーク、ユーザ、IPC 名前空間を元のプロセスの名前空間のままで実行したい場合は <option>lxc.namespace.keep=user net ipc</option> と指定します。
 2544             </para>
 2545 
 2546             <para>
 2547               <!--
 2548             Note that sharing pid namespaces will likely not work with most init
 2549             systems.
 2550                 -->
 2551               PID 名前空間を共有すると、ほとんどの init で動作しない可能性があることに注意してください。
 2552             </para>
 2553 
 2554             <para>
 2555               <!--
 2556             Note that if the container requests a new user namespace and the
 2557             container wants to inherit the network namespace it needs to inherit
 2558             the user namespace as well.
 2559                 -->
 2560               コンテナが新しいユーザ名前空間をリクエストし、そのコンテナがネットワーク名前空間は継承したい場合は、ユーザ名前空間も同様に継承する必要があることに注意してください。
 2561             </para>
 2562           </listitem>
 2563         </varlistentry>
 2564 
 2565         <varlistentry>
 2566           <term>
 2567             <option>lxc.namespace.share.[namespace identifier]</option>
 2568           </term>
 2569           <listitem>
 2570             <para>
 2571               <!--
 2572             Specify a namespace to inherit from another container or process.
 2573             The <option>[namespace identifier]</option> suffix needs to be
 2574             replaced with one of the namespaces that appear in the
 2575             <filename>/proc/PID/ns</filename> directory.
 2576             -->
 2577               他のコンテナやプロセスから継承する名前空間を指定します。<option>[namespace identifier]</option> には、<filename>/proc/PID/ns</filename> ディレクトリ内に現れる名前空間のひとつが入ります。
 2578             </para>
 2579 
 2580             <para>
 2581               <!--
 2582             To inherit the namespace from another process set the
 2583             <option>lxc.namespace.share.[namespace identifier]</option> to the PID of
 2584             the process, e.g. <option>lxc.namespace.share.net=42</option>.
 2585             -->
 2586               他のプロセスから名前空間を継承するには、<option>lxc.namespace.share.[namespace identifier]</option> の値をプロセスの PID に設定します。例えば <option>lxc.namespace.share.net=42</option> のようになります。
 2587             </para>
 2588 
 2589             <para>
 2590               <!--
 2591             To inherit the namespace from another container set the 
 2592             <option>lxc.namespace.share.[namespace identifier]</option> to the name of
 2593             the container, e.g. <option>lxc.namespace.share.pid=c3</option>.
 2594             -->
 2595               他のコンテナから名前空間を継承するには、<option>lxc.namespace.share.[namespace identifier]</option> の値をコンテナ名に設定します。例えば <option>lxc.namespace.share.pid=c3</option> のようになります。
 2596             </para>
 2597 
 2598             <para>
 2599               <!--
 2600             To inherit the namespace from another container located in a
 2601             different path than the standard liblxc path set the
 2602             <option>lxc.namespace.share.[namespace identifier]</option> to the full
 2603             path to the container, e.g.
 2604             <option>lxc.namespace.share.user=/opt/c3</option>.
 2605             -->
 2606               標準の liblxc のパスとは異なるコンテナパスに存在する他のコンテナから名前空間を継承するには、<option>lxc.namespace.share.[namespace identifier]</option> をそのコンテナのフルパスで指定します。例えば <option>lxc.namespace.share.user=/opt/c3</option> のようになります。
 2607             </para>
 2608 
 2609             <para>
 2610               <!--
 2611             In order to inherit namespaces the caller needs to have sufficient
 2612             privilege over the process or container.
 2613                 -->
 2614               名前空間を継承するためには、呼び出し元が継承元のプロセスまたはコンテナに対して十分な権限を持っている必要があります。
 2615             </para>
 2616 
 2617             <para>
 2618               <!--
 2619             Note that sharing pid namespaces between system containers will
 2620             likely not work with most init systems.
 2621                 -->
 2622               システムコンテナ間での PID 名前空間の共有は、ほとんどの init システムではうまく動作しない可能性があることに注意が必要です。
 2623             </para>
 2624 
 2625             <para>
 2626               <!--
 2627             Note that if two processes are in different user namespaces and one
 2628             process wants to inherit the other's network namespace it usually
 2629             needs to inherit the user namespace as well.
 2630                 -->
 2631               ふたつのプロセスが異なるユーザ名前空間に存在し、そのうちのひとつが他のネットワーク名前空間を継承したい場合、通常はユーザ名前空間も同様に継承する必要があることに注意が必要です。
 2632             </para>
 2633 
 2634             <para>
 2635 	      <!--
 2636             Note that without careful additional configuration of an LSM,
 2637             sharing user+pid namespaces with a task may allow that task to
 2638             escalate privileges to that of the task calling liblxc.
 2639 		-->
 2640 	      LSM で慎重に設定を追加しないで、タスクでユーザ + PID 名前空間を共有すると、そのタスクは liblxc を呼び出したタスクの権限に昇格できることに注意が必要です。
 2641             </para>
 2642 
 2643           </listitem>
 2644         </varlistentry>
 2645       </variablelist>
 2646     </refsect2>
 2647 
 2648     <refsect2>
 2649       <title>リソース制限 <!-- Resource limits --></title>
 2650       <para>
 2651         <!--
 2652         The soft and hard resource limits for the container can be changed.
 2653         Unprivileged containers can only lower them. Resources which are not
 2654         explicitly specified will be inherited.
 2655           -->
 2656         コンテナに対するソフトもしくはハードリミットを変更できます。非特権コンテナでは、制限を下げることしかできません。明示的に指定されていないリソースは継承されます。
 2657       </para>
 2658       <variablelist>
 2659         <varlistentry>
 2660           <term>
 2661             <option>lxc.prlimit.[limit name]</option>
 2662           </term>
 2663           <listitem>
 2664             <para>
 2665               <!--
 2666               Specify the resource limit to be set. A limit is specified as two
 2667               colon separated values which are either numeric or the word
 2668               'unlimited'. A single value can be used as a shortcut to set both
 2669               soft and hard limit to the same value. The permitted names the
 2670               "RLIMIT_" resource names in lowercase without the "RLIMIT_"
 2671               prefix, eg. RLIMIT_NOFILE should be specified as "nofile". See
 2672               <citerefentry>
 2673                 <refentrytitle><command>setrlimit</command></refentrytitle>
 2674                 <manvolnum>2</manvolnum>
 2675               </citerefentry>.
 2676               If used with no value, lxc will clear the resource limit
 2677               specified up to this point. A resource with no explicitly
 2678               configured limitation will be inherited from the process starting
 2679               up the container.
 2680               -->
 2681               設定したいリソースと制限値を指定します。制限値はコロンで区切られた 2 つの値で指定します。値は数値もしくは 'unlimited' で指定します。ソフトもハードも同じ値を指定する場合は単一の値を指定できます。指定できる名前は、"RLIMIT_" 接頭辞がなく小文字で書かれた、"RLIMIT_" リソース名です。例えば、RLIMIT_NOFILE は "nofile" と指定します。詳しくは
 2682               <citerefentry>
 2683                 <refentrytitle><command>setrlimit</command></refentrytitle>
 2684                 <manvolnum>2</manvolnum>
 2685               </citerefentry> を参照してください。
 2686               値を指定せずに使用した場合、lxc はこの指定以前に設定されたリソース制限をクリアします。明示的に制限が設定されていないリソースについては、コンテナを起動したプロセスから継承します。
 2687             </para>
 2688           </listitem>
 2689         </varlistentry>
 2690       </variablelist>
 2691     </refsect2>
 2692 
 2693     <refsect2>
 2694       <title>Sysctl</title>
 2695       <para>
 2696         <!--
 2697         Configure kernel parameters for the container.
 2698           -->
 2699         コンテナ用のカーネルパラメータを設定します。
 2700       </para>
 2701       <variablelist>
 2702         <varlistentry>
 2703           <term>
 2704             <option>lxc.sysctl.[kernel parameters name]</option>
 2705           </term>
 2706           <listitem>
 2707             <para>
 2708               <!--
 2709               Specify the kernel parameters to be set. The parameters available 
 2710               are those listed under /proc/sys/.
 2711               Note that not all sysctls are namespaced. Changing Non-namespaced
 2712               sysctls will cause the system-wide setting to be modified.
 2713                 -->
 2714               設定したいカーネルパラメータを指定します。指定できるパラメータは /proc/sys 以下に存在するものです。
 2715               すべての sysctl パラメータが仮想化(名前空間化)されているわけではないことに注意してください。仮想化されていない sysctl を設定すると、システムワイドで設定が変更されてしまいます。
 2716               <citerefentry>
 2717                 <refentrytitle><command>sysctl</command></refentrytitle>
 2718                 <manvolnum>8</manvolnum>
 2719               </citerefentry>.
 2720               <!--
 2721               If used with no value, lxc will clear the parameters specified up 
 2722               to this point.
 2723                 -->
 2724               値を指定しないでこの設定を指定した場合は、この設定より前に設定されたパラメータをクリアします。
 2725             </para>
 2726           </listitem>
 2727         </varlistentry>
 2728       </variablelist>
 2729     </refsect2>
 2730 
 2731     <refsect2>
 2732       <title><!-- Apparmor profile -->Apparmor プロファイル</title>
 2733       <para>
 2734         <!--
 2735         If lxc was compiled and installed with apparmor support, and the host
 2736         system has apparmor enabled, then the apparmor profile under which the
 2737         container should be run can be specified in the container
 2738         configuration.  The default is <command>lxc-container-default-cgns</command>
 2739         if the host kernel is cgroup namespace aware, or
 2740         <command>lxc-container-default</command> otherwise.
 2741         -->
 2742         lxc が apparmor サポートでコンパイルされ、インストールされている場合で、ホストで apparmor が有効な場合、コンテナが従って動くべき apparmor プロファイルは、コンテナの設定で指定することが可能です。
 2743         デフォルトは、ホストのカーネルで cgroup 名前空間が使える場合は <command>lxc-container-default-cgns</command>です。使えない場合は <command>lxc-container-default</command> です。
 2744       </para>
 2745       <variablelist>
 2746         <varlistentry>
 2747           <term>
 2748             <option>lxc.apparmor.profile</option>
 2749           </term>
 2750           <listitem>
 2751             <para>
 2752               <!--
 2753               Specify the apparmor profile under which the container should
 2754               be run.  To specify that the container should be unconfined,
 2755               use
 2756               -->
 2757               コンテナが従うべき apparmor プロファイルを指定します。
 2758               コンテナが apparmor による制限を受けないように設定するには、以下のように設定します。
 2759             </para>
 2760               <programlisting>lxc.apparmor.profile = unconfined</programlisting>
 2761             <para>
 2762               <!--
 2763               If the apparmor profile should remain unchanged (i.e. if you
 2764               are nesting containers and are already confined), then use
 2765               -->
 2766               もし apparmor プロファイルが変更されないままでなくてはならない場合 (ネストしたコンテナである場合や、すでに confined されている場合) は以下のように設定します。
 2767             </para>
 2768               <programlisting>lxc.apparmor.profile = unchanged</programlisting>
 2769             <para>
 2770               <!--
 2771                 If you instruct LXC to generate the apparmor profile,
 2772                 then use
 2773                 -->
 2774               もし LXC に AppArmor プロファイルを生成するように指示するには次のように設定します。
 2775             </para>
 2776               <programlisting>lxc.apparmor.profile = generated</programlisting>
 2777           </listitem>
 2778         </varlistentry>
 2779         <varlistentry>
 2780           <term>
 2781             <option>lxc.apparmor.allow_incomplete</option>
 2782           </term>
 2783           <listitem>
 2784             <para>
 2785               <!--
 2786               Apparmor profiles are pathname based.  Therefore many file
 2787               restrictions require mount restrictions to be effective against
 2788               a determined attacker.  However, these mount restrictions are not
 2789               yet implemented in the upstream kernel.  Without the mount
 2790               restrictions, the apparmor profiles still protect against accidental
 2791               damager.
 2792               -->
 2793               apparmor プロファイルはパス名ベースですので、多数のファイルの制限を行う際、執念深い攻撃者に対して効果的であるためにはマウントの制限が必要です。
 2794               しかし、これらのマウントの制限は upstream のカーネルではまだ実装されていません。マウントの制限なしでも、apparmor プロファイルによって予想外のダメージに対する保護が可能です。
 2795             </para>
 2796             <para>
 2797               <!--
 2798               If this flag is 0 (default), then the container will not be
 2799               started if the kernel lacks the apparmor mount features, so that a
 2800               regression after a kernel upgrade will be detected.  To start the
 2801               container under partial apparmor protection, set this flag to 1.
 2802               -->
 2803               このフラグが 0 の場合 (デフォルト)、カーネルが apparmor のマウント機能をサポートしていない場合にコンテナが起動しません。これはカーネルを更新した後に機能が退行したことが検出できるようにするためです。
 2804               不完全な apparmor の保護の下でコンテナを起動するためには、このフラグを 1 に設定してください。
 2805             </para>
 2806           </listitem>
 2807         </varlistentry>
 2808 
 2809         <varlistentry>
 2810           <term>
 2811             <option>lxc.apparmor.allow_nesting</option>
 2812           </term>
 2813           <listitem>
 2814             <para>
 2815               <!--
 2816               If set this to 1, causes the following changes. When
 2817               generated apparmor profiles are used, they will contain
 2818               the necessary changes to allow creating a nested
 2819               container. In addition to the usual mount points,
 2820               <filename>/dev/.lxc/proc</filename>
 2821               and <filename>/dev/.lxc/sys</filename> will contain
 2822               procfs and sysfs mount points without the lxcfs
 2823               overlays, which, if generated apparmor profiles are
 2824               being used, will not be read/writable directly.
 2825               -->
 2826               1 に設定すると次のような変更が行われます。
 2827               generated な AppArmor プロファイルが使われる場合、ネストしたコンテナを使うのに必要な変更が含まれます。通常のマウントポイントに加えて、lxcfs のオーバーレイなしで、<filename>/dev/.lxc/proc</filename> と <filename>/dev/.lxc/sys</filename> が procfs と sysfs のマウントポイントに含まれます。
 2828               generated な AppArmor プロファイルが使われている場合は、直接読み書きはできません
 2829             </para>
 2830           </listitem>
 2831         </varlistentry>
 2832 
 2833         <varlistentry>
 2834           <term>
 2835             <option>lxc.apparmor.raw</option>
 2836           </term>
 2837           <listitem>
 2838             <para>
 2839               <!--
 2840               A list of raw AppArmor profile lines to append to the
 2841               profile. Only valid when using generated profiles.
 2842                 -->
 2843               プロファイルに加える、生の AppArmor プロファイル行のリストです。generated なプロファイルを使っているときのみ有効です。
 2844             </para>
 2845           </listitem>
 2846         </varlistentry>
 2847 
 2848       </variablelist>
 2849     </refsect2>
 2850 
 2851     <refsect2>
 2852       <title><!-- SELinux context -->SELinux コンテキスト</title>
 2853       <para>
 2854         <!--
 2855         If lxc was compiled and installed with SELinux support, and the host
 2856         system has SELinux enabled, then the SELinux context under which the
 2857         container should be run can be specified in the container
 2858         configuration.  The default is <command>unconfined_t</command>,
 2859         which means that lxc will not attempt to change contexts.
 2860         See @DATADIR@/lxc/selinux/lxc.te for an example policy and more
 2861         information.
 2862         -->
 2863         lxc が SELinux サポートでコンパイルされ、インストールされている場合で、ホストで SELinux が有効な場合、コンテナが従って動くべき SELinux コンテキストは、コンテナの設定で指定することが可能です。
 2864         デフォルトは <command>unconfined_t</command> であり、これは lxc がコンテキストを変えないという意味になります。
 2865         ポリシーの例と追加の情報は @DATADIR@/lxc/selinux/lxc.te ファイルを参照してください。
 2866       </para>
 2867       <variablelist>
 2868         <varlistentry>
 2869           <term>
 2870             <option>lxc.selinux.context</option>
 2871           </term>
 2872           <listitem>
 2873             <para>
 2874               <!--
 2875               Specify the SELinux context under which the container should
 2876               be run or <command>unconfined_t</command>. For example
 2877               -->
 2878               コンテナが従うべき SELinux コンテキストを指定するか、<command>unconfined_t</command> を指定します。例えば以下のように設定します。
 2879             </para>
 2880             <programlisting>lxc.selinux.context = system_u:system_r:lxc_t:s0:c22</programlisting>
 2881           </listitem>
 2882         </varlistentry>
 2883         <varlistentry>
 2884           <term>
 2885             <option>lxc.selinux.context.keyring</option>
 2886           </term>
 2887           <listitem>
 2888             <para>
 2889 	      <!--
 2890               Specify the SELinux context under which the container's keyring
 2891               should be created. By default this the same as lxc.selinux.context, or
 2892               the the context lxc is executed under if lxc.selinux.context has not been set.
 2893 	      -->
 2894 	      コンテナのキーリングを作成する SELinux コンテキストを指定します。
 2895 	      デフォルトでは lxc.selinux.context と同じになります。
 2896 	      lxc.selinux.context が設定されていない場合は、LXC のコンテキストで実行されます。
 2897             </para>
 2898             <programlisting>lxc.selinux.context.keyring = system_u:system_r:lxc_t:s0:c22</programlisting>
 2899           </listitem>
 2900         </varlistentry>
 2901       </variablelist>
 2902     </refsect2>
 2903 
 2904     <refsect2>
 2905       <title>カーネルキーリング<!-- Kernel Keyring --></title>
 2906       <para>
 2907 	<!--
 2908         The Linux Keyring facility is primarily a way for various
 2909         kernel components to retain or cache security data, authentication
 2910         keys, encryption keys, and other data in the kernel. By default lxc
 2911         will create a new session keyring for the started application.
 2912 	-->
 2913 	Linux キーリング機能は、さまざまなカーネルコンポーネントが、セキュリティーデータ、認証キー、暗号化キー、その他のデータをカーネルに保持またはキャッシュするための機能です。
 2914 	デフォルトでは、LXC は開始したアプリケーションのために、新しいセッションキーリングを作成します。
 2915       </para>
 2916       <variablelist>
 2917         <varlistentry>
 2918           <term>
 2919             <option>lxc.keyring.session</option>
 2920           </term>
 2921           <listitem>
 2922             <para>
 2923 	      <!--
 2924               Disable the creation of new session keyring by lxc. The started
 2925               application will then inherit the current session keyring.
 2926               By default, or when passing the value 1, a new keyring will be created.
 2927 	      -->
 2928 	      LXC による新しいセッションキーリングの作成を無効にできます。その場合、開始したアプリケーションは、その時点のセッションキーリングを継承します。
 2929 	      デフォルトは 1 で、1 の場合は LXC は新しいキーリングを作成します。
 2930             </para>
 2931             <programlisting>lxc.keyring.session = 0</programlisting>
 2932           </listitem>
 2933         </varlistentry>
 2934       </variablelist>
 2935     </refsect2>
 2936 
 2937     <refsect2>
 2938       <title><!-- Seccomp configuration -->Seccomp の設定</title>
 2939       <para>
 2940         <!--
 2941         A container can be started with a reduced set of available
 2942         system calls by loading a seccomp profile at startup.  The
 2943         seccomp configuration file must begin with a version number
 2944         on the first line, a policy type on the second line, followed
 2945         by the configuration.
 2946         -->
 2947         コンテナは、起動時に seccomp プロファイルをロードすることで、利用可能なシステムコールを減らして起動することが可能です。
 2948         seccomp の設定ファイルは、1 行目がバージョン番号、2 行目がポリシーのタイプで始まる必要があり、その後に設定を書きます。
 2949       </para>
 2950       <para>
 2951         <!--
 2952         Versions 1 and 2 are currently supported.  In version 1, the
 2953         policy is a simple allowlist.  The second line therefore must
 2954         read "allowlist", with the rest of the file containing one (numeric)
 2955         syscall number per line.  Each syscall number is allowlisted,
 2956         while every unlisted number is denylisted for use in the container
 2957         -->
 2958         現時点では、バージョン番号は 1 と 2 をサポートしています。バージョン 1 では、ポリシーはシンプルなホワイトリストですので、2 行目は "allowlist" でなければなりません。
 2959         そして残りの行には 1 行に 1 つずつ、システムコール番号を書きます。各行のシステムコール番号がホワイトリスト化され、リストにない番号は、そのコンテナではブラックリストに入ります。
 2960       </para>
 2961 
 2962       <para>
 2963         <!--
 2964        In version 2, the policy may be denylist or allowlist,
 2965        supports per-rule and per-policy default actions, and supports
 2966        per-architecture system call resolution from textual names.
 2967           -->
 2968         バージョン 2 では、ポリシーはブラックリストもしくはホワイトリストで表され、ルールごとのアクションと、ポリシーごとのデフォルトのアクションを設定できます。そして、アーキテクチャごとの設定と、テキストで書かれたシステムコール名での設定が可能です。
 2969       </para>
 2970       <para>
 2971         <!--
 2972        An example denylist policy, in which all system calls are
 2973        allowed except for mknod, which will simply do nothing and
 2974        return 0 (success), looks like:
 2975        -->
 2976         以下にブラックリストのポリシーの例を示します。これは mknod 以外の全てのシステムコールが許可され、mknod が呼ばれると、何もせずに単に 0(成功) を返します。
 2977       </para>
 2978 
 2979       <programlisting>
 2980       2
 2981       denylist
 2982       mknod errno 0
 2983       ioctl notify
 2984       </programlisting>
 2985 
 2986       <para>
 2987         <!--
 2988       Specifying "errno" as action will cause LXC to register a seccomp filter
 2989       that will cause a specific errno to be returned to the caller. The errno
 2990       value can be specified after the "errno" action word.
 2991           -->
 2992         アクションとして "errno" を指定すると、LXC は seccomp フィルタを登録します。これにより、指定した errno を呼び出し元に返します。
 2993         errno の値は "errno" という単語の後に指定します。
 2994       </para>
 2995 
 2996       <para>
 2997         <!--
 2998       Specifying "notify" as action will cause LXC to register a seccomp
 2999       listener and retrieve a listener file descriptor from the kernel. When a
 3000       syscall is made that is registered as "notify" the kernel will generate a
 3001       poll event and send a message over the file descriptor. The caller can
 3002       read this message, inspect the syscalls including its arguments. Based on
 3003       this information the caller is expected to send back a message informing
 3004       the kernel which action to take. Until that message is sent the kernel
 3005       will block the calling process. The format of the messages to read and
 3006       sent is documented in seccomp itself.
 3007           -->
 3008         アクションとして "notify" を指定すると、LXC は seccomp リスナーを登録し、カーネルからリスナーのファイルディスクリプタを取得します。
 3009         "notify" として指定しているシステムコールが作成されると、カーネルは poll イベントを生成し、ファイルディスクリプタを通してメッセージを送信します。
 3010         呼び出し元はこのメッセージを読み、引数を含めてシステムコールを調査できます。
 3011         呼び出し元はこの情報に基づき、どのアクションを取るべきかをカーネルに知らせるメッセージを送り返すことが期待されます。
 3012         このメッセージが送られるまで、カーネルは呼び出し元のプロセスをブロックします。読み書きするメッセージのフォーマットは seccomp 自身に記述されています。
 3013       </para>
 3014 
 3015       <variablelist>
 3016         <varlistentry>
 3017           <term>
 3018             <option>lxc.seccomp.profile</option>
 3019           </term>
 3020           <listitem>
 3021             <para>
 3022               <!--
 3023               Specify a file containing the seccomp configuration to
 3024               load before the container starts.
 3025               -->
 3026               コンテナがスタートする前にロードする seccomp の設定を含むファイルを指定します。
 3027              </para>
 3028           </listitem>
 3029         </varlistentry>
 3030         <varlistentry>
 3031           <term>
 3032             <option>lxc.seccomp.allow_nesting</option>
 3033           </term>
 3034           <listitem>
 3035             <para>
 3036               <!--
 3037               If this flag is set to 1, then seccomp filters will be stacked
 3038               regardless of whether a seccomp profile is already loaded.
 3039               This allows nested containers to load their own seccomp profile.
 3040               The default setting is 0.
 3041                 -->
 3042               このオプションを 1 に設定すると、すでに seccomp プロファイルがロードされている、いないに関わらず、seccomp フィルタが重ね合わせられます。
 3043               これにより、ネストされたコンテナが自身の seccomp プロファイルをロードできます。
 3044               デフォルト値は 0 です。
 3045              </para>
 3046           </listitem>
 3047         </varlistentry>
 3048         <varlistentry>
 3049           <term>
 3050             <option>lxc.seccomp.notify.proxy</option>
 3051           </term>
 3052           <listitem>
 3053             <para>
 3054               <!--
 3055               Specify a unix socket to which LXC will connect and forward
 3056               seccomp events to. The path must be in the form
 3057               unix:/path/to/socket or unix:@socket. The former specifies a
 3058               path-bound unix domain socket while the latter specifies an
 3059               abstract unix domain socket.
 3060                 -->
 3061               LXC が接続し、seccomp イベントを転送する UNIX ソケットを指定します。
 3062               パスは unix:/path/to/socket もしくは unix:@socket の形式でなければなりません。
 3063               前者はパス指定の UNIX ドメインソケットを指定し、後者は抽象 (abstract) UNIX ドメインソケットの指定です。
 3064              </para>
 3065           </listitem>
 3066         </varlistentry>
 3067         <varlistentry>
 3068           <term>
 3069             <option>lxc.seccomp.notify.cookie</option>
 3070           </term>
 3071           <listitem>
 3072             <para>
 3073               <!--
 3074               An additional string sent along with proxied seccomp notification
 3075               requests.
 3076                 -->
 3077               プロキシーされた seccomp 通知リクエストと一緒に送る追加文字列。
 3078             </para>
 3079           </listitem>
 3080         </varlistentry>
 3081       </variablelist>
 3082     </refsect2>
 3083 
 3084     <refsect2>
 3085       <title>PR_SET_NO_NEW_PRIVS</title>
 3086       <para>
 3087         <!--
 3088               With PR_SET_NO_NEW_PRIVS active execve() promises not to grant
 3089               privileges to do anything that could not have been done without
 3090               the execve() call (for example, rendering the set-user-ID and
 3091               set-group-ID mode bits, and file capabilities non-functional).
 3092               Once set, this bit cannot be unset. The setting of this bit is
 3093               inherited by children created by fork() and clone(), and preserved
 3094               across execve().
 3095               Note that PR_SET_NO_NEW_PRIVS is applied after the container has
 3096               changed into its intended AppArmor profile or SElinux context.
 3097           -->
 3098         PR_SET_NO_NEW_PRIVS を付与すると、対象の execve() は、execve() の呼び出しなしでは実行できなかったことに対する特権を許可しなくなります (例えば、set-user-ID、set-group-ID 許可ビットや、ファイルケーパビリティが動作しなくなります)。
 3099         一度設定されると、このビットは解除できません。このビットの設定は fork() や clone() で生成される子プロセスにも継承され、execve() の前後で保持されます。
 3100         PR_SET_NO_NEW_PRIVS は、コンテナに適用しようとする AppArmor プロファイルもしくは SELinux コンテキストへの変更がなされたあとに適用されます。
 3101       </para>
 3102       <variablelist>
 3103         <varlistentry>
 3104           <term>
 3105             <option>lxc.no_new_privs</option>
 3106           </term>
 3107           <listitem>
 3108             <para>
 3109               <!--
 3110               Specify whether the PR_SET_NO_NEW_PRIVS flag should be set for the
 3111               container. Set to 1 to activate.
 3112                 -->
 3113               コンテナに対して PR_SET_NO_NEW_PRIVS ビットを設定するかどうかを指定します。1 に設定すると有効になります。
 3114             </para>
 3115           </listitem>
 3116         </varlistentry>
 3117       </variablelist>
 3118     </refsect2>
 3119 
 3120     <refsect2>
 3121       <title><!-- UID mappings -->UID のマッピング</title>
 3122       <para>
 3123         <!--
 3124         A container can be started in a private user namespace with
 3125         user and group id mappings.  For instance, you can map userid
 3126         0 in the container to userid 200000 on the host.  The root
 3127         user in the container will be privileged in the container,
 3128         but unprivileged on the host.  Normally a system container
 3129         will want a range of ids, so you would map, for instance,
 3130         user and group ids 0 through 20,000 in the container to the
 3131         ids 200,000 through 220,000.
 3132         -->
 3133         コンテナは、ユーザとグループの id のマッピングを持った専用のユーザ名前空間で起動することが可能です。
 3134         たとえば、コンテナ内のユーザ id 0 を、ホストのユーザ id 200000 にマッピングすることが可能です。
 3135         コンテナの root ユーザはコンテナ内では特権を持ちますが、ホストでは特権を持ちません。
 3136         通常は、システムコンテナは id の範囲を要求し、それをマッピングします。
 3137         例えば、コンテナ内のユーザとグループの id 0 から 20,000 を 200,000 から 220,000 にマッピングします。
 3138       </para>
 3139       <variablelist>
 3140         <varlistentry>
 3141           <term>
 3142             <option>lxc.idmap</option>
 3143           </term>
 3144           <listitem>
 3145             <para>
 3146               <!--
 3147               Four values must be provided.  First a character, either
 3148               'u', or 'g', to specify whether user or group ids are
 3149               being mapped.  Next is the first userid as seen in the
 3150               user namespace of the container.  Next is the userid as
 3151               seen on the host.  Finally, a range indicating the number
 3152               of consecutive ids to map.
 3153               -->
 3154               4 つの値を記述する必要があります。
 3155               最初の文字は 'u' か 'g' のどちらかで、ユーザかグループの ID のどちらをマッピングするかを指定します。
 3156               次はコンテナのユーザ名前空間内に現れる最初のユーザ ID です。
 3157               その次は、そのユーザ ID のホスト上での値です。
 3158               最後は、ID のマッピングをいくつ連続して行うかの数を指定します。
 3159              </para>
 3160           </listitem>
 3161         </varlistentry>
 3162       </variablelist>
 3163     </refsect2>
 3164 
 3165     <refsect2>
 3166       <title><!-- Container hooks -->コンテナのフック</title>
 3167       <para>
 3168         <!--
 3169         Container hooks are programs or scripts which can be executed
 3170         at various times in a container's lifetime.
 3171           -->
 3172         コンテナのフックは、コンテナの存続期間の色々な場面で実行することのできるプログラムやスクリプトです。
 3173       </para>
 3174       <para>
 3175         <!--
 3176         When a container hook is executed, additional information is passed
 3177         along. The <option>lxc.hook.version</option> argument can be used to
 3178         determine if the following arguments are passed as command line
 3179         arguments or through environment variables. The arguments are:
 3180           -->
 3181         コンテナフックが実行されるとき、追加の情報が渡されます。追加の引数がコマンドライン引数で渡されるか、環境変数経由で渡されるかを判断するのに、<option>lxc.hook.version</option> が使えます。引数は:
 3182         <itemizedlist>
 3183           <listitem><para> コンテナ名 <!-- Container name.--></para></listitem>
 3184           <listitem><para> セクション (常に 'lxc') <!-- Section (always 'lxc'). --></para></listitem>
 3185           <listitem><para> フックのタイプ ('clone' や 'pre-mount' など) <!-- The hook type (i.e. 'clone' or 'pre-mount'). --></para></listitem>
 3186           <listitem><para> 追加の引数。clone フックの場合、lxc-clone に渡される追加の引数は、フックへの引数として追加されます。stop フックの場合は、コンテナの名前空間のそれぞれに対するファイルディスクリプタへのパスが、名前空間名とともに渡されます。 <!-- Additional arguments. In the
 3187           case of the clone hook, any extra arguments passed to
 3188           lxc-clone will appear as further arguments to the hook.
 3189           In the case of the stop hook, paths to filedescriptors
 3190           for each of the container's namespaces along with their types
 3191           are passed. --></para></listitem>
 3192         </itemizedlist>
 3193         <!--
 3194         The following environment variables are set:
 3195           -->
 3196         次の環境変数がセットされます。
 3197         <itemizedlist>
 3198           <listitem><para> LXC_CGNS_AWARE: コンテナで cgroup namespace が使えるかどうか <!-- indicator whether the container is
 3199           cgroup namespace aware. --></para></listitem>
 3200           <listitem><para> LXC_CONFIG_FILE: コンテナの設定ファイルのパス <!-- the path to the container
 3201           configuration file. --></para></listitem>
 3202           <listitem><para> LXC_HOOK_TYPE: フックのタイプ (例えば 'clone'、'mount'、'pre-mount')。この環境変数が存在するかどうかは <option>lxc.hook.version</option> の値次第です。この値が 1 なら、LXC_HOOK_TYPE が設定されています。
 3203               <!-- the hook type (e.g. 'clone', 'mount',
 3204           'pre-mount'). Note that the existence of this environment variable is
 3205           conditional on the value of <option>lxc.hook.version</option>. If it
 3206           is set to 1 then LXC_HOOK_TYPE will be set. -->
 3207           </para></listitem>
 3208           <listitem><para> LXC_HOOK_SECTION: セクションタイプ (例えば 'lxc'、'net')。この環境変数が存在するかどうかは <option>lxc.hook.version</option> の値次第です。この値が 1 なら、LXC_HOOK_TYPE が設定されています。
 3209               <!-- the section type (e.g. 'lxc',
 3210           'net'). Note that the existence of this environment variable is
 3211           conditional on the value of <option>lxc.hook.version</option>. If it
 3212           is set to 1 then LXC_HOOK_SECTION will be set. -->
 3213           </para></listitem>
 3214           <listitem><para> LXC_HOOK_VERSION: フックのバージョン。この値は、コンテナの <option>lxc.hook.version</option> の値と同じです。もし、この値が 0 に設定されているなら、古いスタイルのフックが使われます。もし 1 に設定されているなら、新しいスタイルのフックが使われます。
 3215               <!-- the version of the hooks. This
 3216           value is identical to the value of the container's
 3217           <option>lxc.hook.version</option> config item. If it is set to 0 then
 3218           old-style hooks are used. If it is set to 1 then new-style hooks are
 3219           used. --></para></listitem>
 3220           <listitem><para> LXC_LOG_LEVEL: コンテナのログレベル <!-- the container's log level. --></para></listitem>
 3221           <listitem><para> LXC_NAME: コンテナ名 <!-- is the container's name. --></para></listitem>
 3222           <listitem><para> LXC_[NAMESPACE IDENTIFIER]_NS: コンテナの名前空間が参照する /proc/PID/fd/ 以下のファイルディスクリプタのパス。それぞれの名前空間ごとに別々の環境変数になります。これらの環境変数は <option>lxc.hook.version</option> が 1 に設定されてる場合のみ設定されます。
 3223               <!-- path under
 3224           /proc/PID/fd/ to a file descriptor referring to the container's
 3225           namespace. For each preserved namespace type there will be a separate
 3226           environment variable. These environment variables will only be set if
 3227           <option>lxc.hook.version</option> is set to 1. --></para></listitem>
 3228           <listitem><para> LXC_ROOTFS_MOUNT: マウントされた root ファイルシステムへのパス <!-- the path to the mounted root filesystem. --></para></listitem>
 3229           <listitem><para> LXC_ROOTFS_PATH: コンテナの lxc.rootfs.path エントリ。これはマウントされた rootfs が存在する場所にはならないでしょう。それには LXC_ROOTFS_MOUNT を使用してください。 <!-- this is the lxc.rootfs.path entry
 3230           for the container. Note this is likely not where the mounted rootfs is
 3231           to be found, use LXC_ROOTFS_MOUNT for that. --></para></listitem>
 3232           <listitem><para> LXC_SRC_NAME: clone フックの場合、元のコンテナの名前 <!-- in the case of the clone hook, this is
 3233           the original container's name. --></para></listitem>
 3234         </itemizedlist>
 3235       </para>
 3236       <para>
 3237         <!--
 3238         Standard output from the hooks is logged at debug level.
 3239         Standard error is not logged, but can be captured by the
 3240         hook redirecting its standard error to standard output.
 3241           -->
 3242         スクリプトからの標準出力は debug レベルでロギングされます。
 3243         標準エラー出力はロギングされません。
 3244         しかし、フックの標準エラー出力を標準出力にリダイレクトすることにより保存することは可能です。
 3245       </para>
 3246       <variablelist>
 3247         <varlistentry>
 3248           <term>
 3249             <option>lxc.hook.version</option>
 3250           </term>
 3251           <listitem>
 3252             <para>
 3253               <!--
 3254             To pass the arguments in new style via environment variables set to
 3255             1 otherwise set to 0 to pass them as arguments.
 3256             This setting affects all hooks arguments that were traditionally
 3257             passed as arguments to the script. Specifically, it affects the
 3258             container name, section (e.g. 'lxc', 'net') and hook type (e.g.
 3259             'clone', 'mount', 'pre-mount') arguments. If new-style hooks are
 3260             used then the arguments will be available as environment variables.
 3261             The container name will be set in LXC_NAME. (This is set
 3262             independently of the value used for this config item.) The section
 3263             will be set in LXC_HOOK_SECTION and the hook type will be set in
 3264             LXC_HOOK_TYPE.
 3265             It also affects how the paths to file descriptors referring to the
 3266             container's namespaces are passed. If set to 1 then for each
 3267             namespace a separate environment variable LXC_[NAMESPACE
 3268             IDENTIFIER]_NS will be set. If set to 0 then the paths will be
 3269             passed as arguments to the stop hook.
 3270                 -->
 3271               環境変数経由の新しいスタイルで引数を渡すには 1 に設定します。そうでなく、引数として渡すには 0 に設定します。この設定は、古い方法でスクリプトに引数として渡されているすべてのフック引数に影響します。特に、コンテナ名のセクション (例: 'lxc', 'net') とフックタイプ (例: 'clone', 'mount', 'pre-mount') 引数に影響します。新しいスタイルのフックが使われる場合、引数は環境変数として利用できます。
 3272               コンテナ名は LXC_NAME に設定されます(これはこの設定項目に設定されている値とは関係なく設定されます)。セクションは LXC_HOOK_SECTION に設定されます。そしてフックタイプは LXC_HOOK_TYPE に設定されます。
 3273               この設定は、コンテナの名前空間を参照するファイルディスクリプタのパスをどのように渡すかにも影響します。1 に設定した場合、名前空間ごとに別の環境変数 LXC_[NAMESPACE IDENTIFIER]_NS に設定されます。0 に設定すると、パスは stop フックの引数として渡されます。
 3274             </para>
 3275           </listitem>
 3276         </varlistentry>
 3277       </variablelist>
 3278       <variablelist>
 3279         <varlistentry>
 3280           <term>
 3281             <option>lxc.hook.pre-start</option>
 3282           </term>
 3283           <listitem>
 3284             <para>
 3285               <!--
 3286               A hook to be run in the host's namespace before the
 3287               container ttys, consoles, or mounts are up.
 3288               -->
 3289               コンテナの tty、コンソールの作成、マウントが実行される前に、ホストの名前空間内で実行するフック。
 3290             </para>
 3291           </listitem>
 3292         </varlistentry>
 3293       </variablelist>
 3294       <variablelist>
 3295         <varlistentry>
 3296           <term>
 3297             <option>lxc.hook.pre-mount</option>
 3298           </term>
 3299           <listitem>
 3300             <para>
 3301               <!--
 3302               A hook to be run in the container's fs namespace but before
 3303               the rootfs has been set up.  This allows for manipulation
 3304               of the rootfs, i.e. to mount an encrypted filesystem.  Mounts
 3305               done in this hook will not be reflected on the host (apart from
 3306               mounts propagation), so they will be automatically cleaned up
 3307               when the container shuts down.
 3308               -->
 3309               コンテナのファイルシステムの名前空間で実行されますが、rootfs が設定される前に実行するフック。
 3310               これにより rootfs の操作が可能になります。
 3311               例えば、暗号化されたファイルシステムのマウントなどです。
 3312               このフック内でなされるマウントはホストには影響しません (mounts propagation を除いて)。
 3313               なので、それらはコンテナがシャットダウンする時に自動的にクリーンアップされます。
 3314             </para>
 3315           </listitem>
 3316         </varlistentry>
 3317       </variablelist>
 3318       <variablelist>
 3319         <varlistentry>
 3320           <term>
 3321             <option>lxc.hook.mount</option>
 3322           </term>
 3323           <listitem>
 3324             <para>
 3325               <!--
 3326               A hook to be run in the container's namespace after
 3327               mounting has been done, but before the pivot_root.
 3328               -->
 3329               マウントが完了した後ですが、pivot_root の前にコンテナの名前空間で実行されるフック。
 3330             </para>
 3331           </listitem>
 3332         </varlistentry>
 3333       </variablelist>
 3334       <variablelist>
 3335         <varlistentry>
 3336           <term>
 3337             <option>lxc.hook.autodev</option>
 3338           </term>
 3339           <listitem>
 3340             <para>
 3341               <!--
 3342               A hook to be run in the container's namespace after
 3343               mounting has been done and after any mount hooks have
 3344               run, but before the pivot_root, if
 3345               <option>lxc.autodev</option> == 1.
 3346               The purpose of this hook is to assist in populating the
 3347               /dev directory of the container when using the autodev
 3348               option for systemd based containers.  The container's /dev
 3349               directory is relative to the
 3350               ${<option>LXC_ROOTFS_MOUNT</option>} environment
 3351               variable available when the hook is run.
 3352               -->
 3353               <option>lxc.autodev</option> == 1 が設定されている場合で、マウントが完了し、マウント時のフックも実行された後ですが、pivot_root の前にコンテナの名前空間で実行するフック。
 3354               このフックの目的は、systemd ベースのコンテナ向けの autodev オプションが設定されている時に、コンテナの /dev ディレクトリを設定するのを支援することです。コンテナの /dev ディレクトリは、このフックが実行される時有効な ${<option>LXC_ROOTFS_MOUNT</option>} 環境変数からの相対パスとなります。
 3355             </para>
 3356           </listitem>
 3357         </varlistentry>
 3358       </variablelist>
 3359       <variablelist>
 3360         <varlistentry>
 3361           <term>
 3362             <option>lxc.hook.start-host</option>
 3363           </term>
 3364           <listitem>
 3365             <para>
 3366               <!--
 3367               A hook to be run in the host's namespace after the
 3368               container has been setup, and immediately before starting
 3369               the container init.
 3370               -->
 3371               コンテナのセットアップが済んだあと、コンテナの init を実行する直前に、ホストの名前空間で実行するためのフックです。
 3372             </para>
 3373           </listitem>
 3374         </varlistentry>
 3375       </variablelist>
 3376       <variablelist>
 3377         <varlistentry>
 3378           <term>
 3379             <option>lxc.hook.start</option>
 3380           </term>
 3381           <listitem>
 3382             <para>
 3383               <!--
 3384               A hook to be run in the container's namespace immediately
 3385               before executing the container's init.  This requires the
 3386               program to be available in the container.
 3387               -->
 3388               コンテナの init が実行される直前にコンテナの名前空間で実行されるフック。
 3389               コンテナ内で利用可能なプログラムである必要があります。
 3390             </para>
 3391           </listitem>
 3392         </varlistentry>
 3393       </variablelist>
 3394       <variablelist>
 3395         <varlistentry>
 3396           <term>
 3397             <option>lxc.hook.stop</option>
 3398           </term>
 3399           <listitem>
 3400             <para>
 3401               <!--
 3402               A hook to be run in the host's namespace with references
 3403               to the container's namespaces after the container has been shut
 3404               down. For each namespace an extra argument is passed to the hook
 3405               containing the namespace's type and a filename that can be used to
 3406               obtain a file descriptor to the corresponding namespace, separated
 3407               by a colon. The type is the name as it would appear in the
 3408               <filename>/proc/PID/ns</filename> directory.
 3409               For instance for the mount namespace the argument usually looks
 3410               like <filename>mnt:/proc/PID/fd/12</filename>.
 3411               -->
 3412               コンテナのシャットダウン後、コンテナの名前空間への参照とともに、ホストの名前空間で実行されるフックです。
 3413               それぞれの名前空間に対応する追加の引数がフックに渡されます。その引数にはコロンで区切られた名前空間のタイプ名とファイル名が含まれており、ファイル名は名前空間に対するファイルディスクリプタを取得するのに使えます。
 3414               タイプ名は <filename>/proc/PID/ns</filename> ディレクトリ内のファイル名です。
 3415               例えば、マウント名前空間に対応する引数は通常は <filename>mnt:/proc/PID/fd/12</filename> のようになります。
 3416             </para>
 3417           </listitem>
 3418         </varlistentry>
 3419       </variablelist>
 3420       <variablelist>
 3421         <varlistentry>
 3422           <term>
 3423             <option>lxc.hook.post-stop</option>
 3424           </term>
 3425           <listitem>
 3426             <para>
 3427               <!--
 3428               A hook to be run in the host's namespace after the
 3429               container has been shut down.
 3430               -->
 3431               コンテナがシャットダウンされた後にホストの名前空間で実行するフック。
 3432             </para>
 3433           </listitem>
 3434         </varlistentry>
 3435       </variablelist>
 3436       <variablelist>
 3437         <varlistentry>
 3438           <term>
 3439             <option>lxc.hook.clone</option>
 3440           </term>
 3441           <listitem>
 3442             <para>
 3443               <!--
 3444               A hook to be run when the container is cloned to a new one.
 3445               See <citerefentry><refentrytitle><command>lxc-clone</command></refentrytitle>
 3446               <manvolnum>1</manvolnum></citerefentry> for more information.
 3447               -->
 3448               コンテナが新しいコンテナにクローンされる際に実行されるフック。詳しくは
 3449               <citerefentry><refentrytitle><command>lxc-clone</command></refentrytitle>
 3450               <manvolnum>1</manvolnum></citerefentry>
 3451               を参照してください。
 3452             </para>
 3453           </listitem>
 3454         </varlistentry>
 3455       </variablelist>
 3456       <variablelist>
 3457         <varlistentry>
 3458           <term>
 3459             <option>lxc.hook.destroy</option>
 3460           </term>
 3461           <listitem>
 3462             <para>
 3463               <!--
 3464               A hook to be run when the container is destroyed.
 3465                 -->
 3466               コンテナを破壊する際に実行されるフックです。
 3467             </para>
 3468           </listitem>
 3469         </varlistentry>
 3470       </variablelist>
 3471     </refsect2>
 3472 
 3473     <refsect2>
 3474       <title><!-- Container hooks Environment Variables -->コンテナのフックで使える環境変数</title>
 3475       <para>
 3476         <!--
 3477         A number of environment variables are made available to the startup
 3478         hooks to provide configuration information and assist in the
 3479         functioning of the hooks.  Not all variables are valid in all
 3480         contexts.  In particular, all paths are relative to the host system
 3481         and, as such, not valid during the <option>lxc.hook.start</option> hook.
 3482         -->
 3483         起動時のフックに設定情報を提供し、フックの機能を助けるための環境変数がいくつか利用可能です。
 3484         全ての変数が全てのコンテキストで利用可能なわけではありません。
 3485         具体的には、全てのパスはホストシステム上のパスであり、そのため、<option>lxc.hook.start</option> フックの時点では使用できません。
 3486       </para>
 3487       <variablelist>
 3488         <varlistentry>
 3489           <term>
 3490             <option>LXC_NAME</option>
 3491           </term>
 3492           <listitem>
 3493             <para>
 3494               <!--
 3495               The LXC name of the container.  Useful for logging messages
 3496               in common log environments.  [<option>-n</option>]
 3497               -->
 3498               LXC コンテナの名前。共通のログ環境内でのログメッセージに使うときに便利です。[<option>-n</option>]
 3499             </para>
 3500           </listitem>
 3501         </varlistentry>
 3502       </variablelist>
 3503       <variablelist>
 3504         <varlistentry>
 3505           <term>
 3506             <option>LXC_CONFIG_FILE</option>
 3507           </term>
 3508           <listitem>
 3509             <para>
 3510               <!--
 3511               Host relative path to the container configuration file.  This
 3512               gives the container to reference the original, top level,
 3513               configuration file for the container in order to locate any
 3514               additional configuration information not otherwise made
 3515               available.  [<option>-f</option>]
 3516               -->
 3517               コンテナの設定ファイルのホスト上でのパス。
 3518               これは、他の方法では得られない追加の設定情報を見つけるために、コンテナに、元の、トップレベルの設定ファイルの位置を与えるものです。 [<option>-f</option>]
 3519             </para>
 3520           </listitem>
 3521         </varlistentry>
 3522       </variablelist>
 3523       <variablelist>
 3524         <varlistentry>
 3525           <term>
 3526             <option>LXC_CONSOLE</option>
 3527           </term>
 3528           <listitem>
 3529             <para>
 3530               <!--
 3531               The path to the console output of the container if not NULL.
 3532               [<option>-c</option>] [<option>lxc.console.path</option>]
 3533               -->
 3534               設定されている場合のコンテナのコンソール出力のパス。
 3535               [<option>-c</option>] [<option>lxc.console.path</option>]
 3536             </para>
 3537           </listitem>
 3538         </varlistentry>
 3539       </variablelist>
 3540       <variablelist>
 3541         <varlistentry>
 3542           <term>
 3543             <option>LXC_CONSOLE_LOGPATH</option>
 3544           </term>
 3545           <listitem>
 3546             <para>
 3547               <!--
 3548               The path to the console log output of the container if not NULL.
 3549               [<option>-L</option>]
 3550               -->
 3551               設定されている場合のコンテナのコンソールログ出力のパス。
 3552               [<option>-L</option>]
 3553             </para>
 3554           </listitem>
 3555         </varlistentry>
 3556       </variablelist>
 3557       <variablelist>
 3558         <varlistentry>
 3559           <term>
 3560             <option>LXC_ROOTFS_MOUNT</option>
 3561           </term>
 3562           <listitem>
 3563             <para>
 3564               <!--
 3565               The mount location to which the container is initially bound.
 3566               This will be the host relative path to the container rootfs
 3567               for the container instance being started and is where changes
 3568               should be made for that instance.
 3569               [<option>lxc.rootfs.mount</option>]
 3570               -->
 3571               初期にコンテナがマウントされる場所。
 3572               これは、コンテナインスタンスが起動するためのコンテナの rootfs へのホスト上のパスであり、インスタンスのための移行が行われる場所です。
 3573               [<option>lxc.rootfs.mount</option>]
 3574             </para>
 3575           </listitem>
 3576         </varlistentry>
 3577       </variablelist>
 3578       <variablelist>
 3579         <varlistentry>
 3580           <term>
 3581             <option>LXC_ROOTFS_PATH</option>
 3582           </term>
 3583           <listitem>
 3584             <para>
 3585               <!--
 3586               The host relative path to the container root which has been
 3587               mounted to the rootfs.mount location.
 3588               [<option>lxc.rootfs.path</option>]
 3589               -->
 3590               rootfs.mount へマウントされるコンテナのルートへのホスト上のパスです。
 3591               [<option>lxc.rootfs.path</option>]
 3592             </para>
 3593           </listitem>
 3594         </varlistentry>
 3595       </variablelist>
 3596       <variablelist>
 3597         <varlistentry>
 3598           <term>
 3599             <option>LXC_SRC_NAME</option>
 3600           </term>
 3601           <listitem>
 3602             <para>
 3603               <!--
 3604               Only for the clone hook. Is set to the original container name.
 3605               -->
 3606               clone フックの場合のみ使われます。クローン元のコンテナ名が設定されます。
 3607             </para>
 3608           </listitem>
 3609         </varlistentry>
 3610       </variablelist>
 3611       <variablelist>
 3612         <varlistentry>
 3613           <term>
 3614             <option>LXC_TARGET</option>
 3615           </term>
 3616           <listitem>
 3617             <para>
 3618               <!--
 3619               Only for the stop hook. Is set to "stop" for a container
 3620               shutdown or "reboot" for a container reboot.
 3621               -->
 3622               stop フックの場合のみ使われます。コンテナのシャットダウンの場合は "stop"、リブートの場合は "reboot" が設定されます。
 3623             </para>
 3624           </listitem>
 3625         </varlistentry>
 3626       </variablelist>
 3627       <variablelist>
 3628         <varlistentry>
 3629           <term>
 3630             <option>LXC_CGNS_AWARE</option>
 3631           </term>
 3632           <listitem>
 3633             <para>
 3634          <!--
 3635          If unset, then this version of lxc is not aware of cgroup
 3636          namespaces.  If set, it will be set to 1, and lxc is aware
 3637          of cgroup namespaces.  Note this does not guarantee that
 3638          cgroup namespaces are enabled in the kernel.  This is used
 3639          by the lxcfs mount hook.
 3640          -->
 3641               この変数が設定されていない場合、お使いのバージョンの LXC は cgroup 名前空間を扱えません。設定されている場合、この値は 1 に設定されています。そして、cgroup 名前空間を扱えます。
 3642               この変数はカーネルで cgroup 名前空間が有効であることは保証しません。この変数は lxcfs のマウントフックが使います。
 3643             </para>
 3644           </listitem>
 3645         </varlistentry>
 3646       </variablelist>
 3647     </refsect2>
 3648 
 3649     <refsect2>
 3650     <title><!-- Logging -->ロギング</title>
 3651     <para>
 3652       <!--
 3653       Logging can be configured on a per-container basis.  By default,
 3654       depending upon how the lxc package was compiled, container startup
 3655       is logged only at the ERROR level, and logged to a file named after
 3656       the container (with '.log' appended) either under the container path,
 3657       or under @LOGPATH@.
 3658       -->
 3659       ロギングはコンテナごとに設定することが可能です。
 3660       デフォルトでは、lxc パッケージのコンパイル条件に依存し、コンテナのスタートアップは ERROR レベルでのみロギングされ、コンテナのパス以下か、@LOGPATH@ 以下のどちらかにコンテナ名 (の後に '.log' が付与される) をもとにした名前でロギングされます。
 3661     </para>
 3662     <para>
 3663       <!--
 3664       Both the default log level and the log file can be specified in the
 3665       container configuration file, overriding the default behavior.  Note
 3666       that the configuration file entries can in turn be overridden by the
 3667       command line options to <command>lxc-start</command>.
 3668       -->
 3669       デフォルトのログレベルとログファイルは両方とも、コンテナの設定ファイル内で指定され、デフォルトの値を上書きします。
 3670       同様に、設定ファイルのエントリは <command>lxc-start</command> のコマンドラインオプションで上書きすることも可能です。
 3671     </para>
 3672       <variablelist>
 3673         <varlistentry>
 3674           <term>
 3675             <option>lxc.log.level</option>
 3676           </term>
 3677           <listitem>
 3678             <para>
 3679               <!--
 3680             The level at which to log.  The log level is an integer in
 3681             the range of 0..8 inclusive, where a lower number means more
 3682             verbose debugging.  In particular 0 = trace, 1 = debug, 2 =
 3683             info, 3 = notice, 4 = warn, 5 = error, 6 = critical, 7 =
 3684             alert, and 8 = fatal.  If unspecified, the level defaults
 3685             to 5 (error), so that only errors and above are logged.
 3686             -->
 3687               ログを取得するレベル。
 3688               ログレベルは 0..8 の範囲の整数です。
 3689               数字が小さいほど冗長なデバッグを意味します。
 3690               具体的には、0 = trace, 1 = debug, 2 = info, 3 = notice, 4 = warn, 5 = error, 6 = critical, 7 = alert, and 8 = fatal です。
 3691               指定されない場合、レベルのデフォルトは 5 (error) で、それ以上のエラーがロギングされます。
 3692             </para>
 3693             <para>
 3694               <!--
 3695             Note that when a script (such as either a hook script or a
 3696             network interface up or down script) is called, the script's
 3697             standard output is logged at level 1, debug.
 3698             -->
 3699               (フックスクリプトやネットワークインターフェースの起動、停止時のスクリプトのような) スクリプトが呼ばれた時、スクリプトの標準出力は level 1 の debug でロギングされます。
 3700             </para>
 3701           </listitem>
 3702         </varlistentry>
 3703         <varlistentry>
 3704           <term>
 3705             <option>lxc.log.file</option>
 3706           </term>
 3707           <listitem>
 3708             <para>
 3709               <!--
 3710             The file to which logging info should be written.
 3711             -->
 3712               ログ情報を書き込むファイル。
 3713             </para>
 3714           </listitem>
 3715         </varlistentry>
 3716         <varlistentry>
 3717           <term>
 3718             <option>lxc.log.syslog</option>
 3719           </term>
 3720           <listitem>
 3721             <para>
 3722               <!--
 3723             Send logging info to syslog. It respects the log level defined in
 3724             <command>lxc.log.level</command>. The argument should be the syslog
 3725             facility to use, valid ones are: daemon, local0, local1, local2,
 3726             local3, local4, local5, local5, local7.
 3727             -->
 3728               ログ情報を syslog に送ります。ログレベルとして <command>lxc.log.level</command> の値を使用します。指定する値は使用する syslog の facility です。有効な値は daemon, local0, local1, local2, local3, local4, local5, local5, local6, local7 のいずれかです。
 3729             </para>
 3730           </listitem>
 3731         </varlistentry>
 3732       </variablelist>
 3733     </refsect2>
 3734 
 3735     <refsect2>
 3736     <title><!-- Autostart -->自動起動</title>
 3737     <para>
 3738       <!--
 3739         The autostart options support marking which containers should be
 3740         auto-started and in what order. These options may be used by LXC tools
 3741         directly or by external tooling provided by the distributions.
 3742         -->
 3743       自動起動オプションでは、自動起動させるコンテナと順番の設定が可能です。
 3744       このオプションは LXC ツールが直接使用するか、ディストリビューションが提供する外部ツールが使用するかもしれません。
 3745     </para>
 3746 
 3747     <variablelist>
 3748         <varlistentry>
 3749           <term>
 3750             <option>lxc.start.auto</option>
 3751           </term>
 3752           <listitem>
 3753             <para>
 3754               <!--
 3755               Whether the container should be auto-started.
 3756               Valid values are 0 (off) and 1 (on).
 3757               -->
 3758               コンテナを自動起動させるかどうかを設定します。
 3759               有効な値は 0(オフ) か 1(オン) です。
 3760             </para>
 3761           </listitem>
 3762         </varlistentry>
 3763         <varlistentry>
 3764           <term>
 3765             <option>lxc.start.delay</option>
 3766           </term>
 3767           <listitem>
 3768             <para>
 3769               <!--
 3770               How long to wait (in seconds) after the container is
 3771               started before starting the next one.
 3772               -->
 3773               コンテナを起動させた後、次のコンテナを起動させるまでにどれくらい (秒) 待つかを設定します。
 3774             </para>
 3775           </listitem>
 3776         </varlistentry>
 3777         <varlistentry>
 3778           <term>
 3779             <option>lxc.start.order</option>
 3780           </term>
 3781           <listitem>
 3782             <para>
 3783               <!--
 3784               An integer used to sort the containers when auto-starting
 3785               a series of containers at once. A lower value means an
 3786               earlier start.
 3787               -->
 3788               自動起動させるコンテナが多数ある場合のコンテナの起動順を決めるのに使う整数を指定します。
 3789               小さい値ほど早く起動します。
 3790             </para>
 3791           </listitem>
 3792         </varlistentry>
 3793         <varlistentry>
 3794           <term>
 3795             <option>lxc.monitor.unshare</option>
 3796           </term>
 3797           <listitem>
 3798             <para>
 3799               <!--
 3800               If not zero the mount namespace will be unshared from the host
 3801               before initializing the container (before running any pre-start
 3802               hooks). This requires the CAP_SYS_ADMIN capability at startup.
 3803               Default is 0.
 3804                 -->
 3805               この値が 0 でない場合、コンテナが初期化される前 (pre-start フックが実行される前) にマウント名前空間がホストから unshare されます。この機能を使う場合、スタート時に CAP_SYS_ADMIN ケーパビリティが必要です。デフォルト値は 0 です。
 3806             </para>
 3807           </listitem>
 3808         </varlistentry>
 3809         <varlistentry>
 3810           <term>
 3811             <option>lxc.monitor.signal.pdeath</option>
 3812           </term>
 3813           <listitem>
 3814             <para>
 3815 	      <!--
 3816               Set the signal to be sent to the container's init when the lxc
 3817               monitor exits. By default it is set to SIGKILL which will cause
 3818               all container processes to be killed when the lxc monitor process
 3819               dies.
 3820               To ensure that containers stay alive even if lxc monitor dies set
 3821               this to 0.
 3822 		-->
 3823 	      lxc のモニタプロセスが終了した際に、コンテナの init プロセスに送出するシグナルを指定します。デフォルトでは、lxc のモニタプロセスが終了した場合には、すべてのコンテナ内のプロセスが停止するように SIGKILL が設定されています。
 3824 	      lxc のモニタプロセスが終了しても、コンテナがすべて確実に動作しつづけるようにするには、この値を 0 に設定します。
 3825             </para>
 3826           </listitem>
 3827         </varlistentry>
 3828         <varlistentry>
 3829           <term>
 3830             <option>lxc.group</option>
 3831           </term>
 3832           <listitem>
 3833             <para>
 3834               <!--
 3835               A multi-value key (can be used multiple times) to put the
 3836               container in a container group. Those groups can then be
 3837               used (amongst other things) to start a series of related
 3838               containers.
 3839               -->
 3840               コンテナを追加したいコンテナグループ名を指定します。
 3841               複数の値を設定でき、複数回指定することもできます。
 3842               設定されたグループは、関連する一連のコンテナを起動させるために使われます。
 3843             </para>
 3844           </listitem>
 3845         </varlistentry>
 3846       </variablelist>
 3847     </refsect2>
 3848 
 3849     <refsect2>
 3850     <title><!-- Autostart and System Boot -->自動起動とシステムブート</title>
 3851     <para>
 3852       <!--
 3853           Each container can be part of any number of groups or no group at all.
 3854           Two groups are special. One is the NULL group, i.e. the container does
 3855           not belong to any group. The other group is the "onboot" group.
 3856         -->
 3857           コンテナはいくつでもグループに属することができ、全く属さないことも可能です。特別なグループが 2 つ存在します。1 つは NULL グループです。これはどのグループにも属さないコンテナです。もう 1 つは "onboot" グループです。
 3858     </para>
 3859 
 3860     <para>
 3861       <!--
 3862           When the system boots with the LXC service enabled, it will first
 3863           attempt to boot any containers with lxc.start.auto == 1 that is a member
 3864           of the "onboot" group. The startup will be in order of lxc.start.order.
 3865           If an lxc.start.delay has been specified, that delay will be honored
 3866           before attempting to start the next container to give the current
 3867           container time to begin initialization and reduce overloading the host
 3868           system. After starting the members of the "onboot" group, the LXC system
 3869           will proceed to boot containers with lxc.start.auto == 1 which are not
 3870           members of any group (the NULL group) and proceed as with the onboot
 3871           group.
 3872           -->
 3873           LXC サービスが有効になった状態でシステムがブートすると、最初に "onboot" グループのメンバーである lxc.start.auto == 1 が設定されたコンテナを起動しようとします。起動は lxc.start.order の順に起動します。
 3874           lxc.start.delay が指定されている場合、現在対象となっているコンテナに初期化の時間を与え、ホストシステムの負荷を低減するために、次のコンテナを開始させるまでに遅延時間を与えます。
 3875           "onboot" グループのメンバーが開始した後、LXC システムは lxc.start.auto == 1 が設定された、どのグループのメンバーでもない (NULL グループの) コンテナのブートを onboot グループのコンテナと同様に開始します。
 3876     </para>
 3877 
 3878     </refsect2>
 3879 
 3880     <refsect2>
 3881       <title><!-- Container Environment -->コンテナの環境変数</title>
 3882       <para>
 3883         <!--
 3884         If you want to pass environment variables into the container (that
 3885         is, environment variables which will be available to init and all of
 3886         its descendents), you can use <command>lxc.environment</command>
 3887         parameters to do so.  Be careful that you do not pass in anything
 3888         sensitive; any process in the container which doesn't have its
 3889         environment scrubbed will have these variables available to it, and
 3890         environment variables are always available via
 3891         <command>/proc/PID/environ</command>.
 3892         -->
 3893         コンテナに環境変数を渡したい場合 (環境変数はコンテナの init とその子孫全てで利用可能です)、<command>lxc.environment</command> パラメータがその用途に使えます。
 3894         機微 (センシティブ) な情報を渡さないように注意が必要です。そのような情報を持たないコンテナ内のプロセスでこれらの環境変数が利用可能になってしまいます。環境変数は常に <command>/proc/PID/environ</command> 経由で利用可能になります。
 3895       </para>
 3896 
 3897       <para>
 3898         <!--
 3899         This configuration parameter can be specified multiple times; once
 3900         for each environment variable you wish to configure.
 3901         -->
 3902         この設定項目は、設定したい環境変数ごとに 1 度ずつ、何度でも指定できます。
 3903       </para>
 3904 
 3905       <variablelist>
 3906         <varlistentry>
 3907           <term>
 3908             <option>lxc.environment</option>
 3909           </term>
 3910           <listitem>
 3911             <para>
 3912               <!--
 3913               Specify an environment variable to pass into the container.
 3914               Example:
 3915               -->
 3916               コンテナに渡したい環境変数を指定します。
 3917               例:
 3918             </para>
 3919             <programlisting>
 3920               lxc.environment = APP_ENV=production
 3921               lxc.environment = SYSLOG_SERVER=192.0.2.42
 3922             </programlisting>
 3923           </listitem>
 3924         </varlistentry>
 3925       </variablelist>
 3926     </refsect2>
 3927 
 3928   </refsect1>
 3929 
 3930   <refsect1>
 3931     <title><!-- Examples -->例</title>
 3932       <para>
 3933         <!--
 3934         In addition to the few examples given below, you will find
 3935         some other examples of configuration file in @DOCDIR@/examples
 3936         -->
 3937         以下に紹介するいくつかの例に加えて、他の設定例が @DOCDIR@/examples にあります。
 3938       </para>
 3939     <refsect2>
 3940       <title><!-- Network -->ネットワーク</title>
 3941       <para>
 3942         <!--
 3943         This configuration sets up a container to use a veth pair
 3944         device with one side plugged to a bridge br0 (which has been
 3945         configured before on the system by the administrator). The
 3946         virtual network device visible in the container is renamed to
 3947         eth0.
 3948         -->
 3949         この設定は、片方をブリッジである br0 と接続される veth ペアデバイスを使うコンテナを設定します (ブリッジは管理者によりあらかじめシステム上に設定済みである必要があります)。
 3950         仮想ネットワークデバイスは、コンテナ内では eth0 とリネームされます。
 3951       </para>
 3952       <programlisting>
 3953         lxc.uts.name = myhostname
 3954         lxc.net.0.type = veth
 3955         lxc.net.0.flags = up
 3956         lxc.net.0.link = br0
 3957         lxc.net.0.name = eth0
 3958         lxc.net.0.hwaddr = 4a:49:43:49:79:bf
 3959         lxc.net.0.ipv4.address = 1.2.3.5/24 1.2.3.255
 3960         lxc.net.0.ipv6.address = 2003:db8:1:0:214:1234:fe0b:3597
 3961       </programlisting>
 3962     </refsect2>
 3963 
 3964     <refsect2>
 3965       <title><!-- UID/GID mapping -->UID/GID のマッピング</title>
 3966       <para><!-- This configuration will map both user and group ids in the
 3967         range 0-9999 in the container to the ids 100000-109999 on the host. -->
 3968         この設定は、コンテナ内のユーザとグループ両方の id 0-9999 の範囲を、ホスト上の 100000-109999 へマッピングします。
 3969       </para>
 3970       <programlisting>
 3971         lxc.idmap = u 0 100000 10000
 3972         lxc.idmap = g 0 100000 10000
 3973       </programlisting>
 3974     </refsect2>
 3975 
 3976     <refsect2>
 3977       <title>Control group</title>
 3978       <para>
 3979         <!-- This configuration will setup several control groups for
 3980       the application, cpuset.cpus restricts usage of the defined cpu,
 3981       cpus.share prioritize the control group, devices.allow makes
 3982       usable the specified devices.-->
 3983         この設定は、アプリケーションのための control group をいくつか設定します。
 3984         cpuset.cpus は定義された cpu のみ使用できるように制限します。
 3985         cpus.share は、control group の (cpu) 優先度を指定します。
 3986         devices.allow は、特定のデバイスを使用可能にします。
 3987       </para>
 3988       <programlisting>
 3989         lxc.cgroup.cpuset.cpus = 0,1
 3990         lxc.cgroup.cpu.shares = 1234
 3991         lxc.cgroup.devices.deny = a
 3992         lxc.cgroup.devices.allow = c 1:3 rw
 3993         lxc.cgroup.devices.allow = b 8:0 rw
 3994       </programlisting>
 3995     </refsect2>
 3996 
 3997     <refsect2>
 3998       <title><!-- Complex configuration -->複雑な設定</title>
 3999       <para>
 4000         <!-- This example show a complex configuration making a complex
 4001       network stack, using the control groups, setting a new hostname,
 4002       mounting some locations and a changing root file system. -->
 4003         この例は、control group を使って、複雑なネットワークスタックを作成し、新しいホスト名を指定し、いくつかの場所をマウントし、ルートファイルシステムを変更するような複雑な設定を示します。
 4004       </para>
 4005       <programlisting>
 4006         lxc.uts.name = complex
 4007         lxc.net.0.type = veth
 4008         lxc.net.0.flags = up
 4009         lxc.net.0.link = br0
 4010         lxc.net.0.hwaddr = 4a:49:43:49:79:bf
 4011         lxc.net.0.ipv4.address = 10.2.3.5/24 10.2.3.255
 4012         lxc.net.0.ipv6.address = 2003:db8:1:0:214:1234:fe0b:3597
 4013         lxc.net.0.ipv6.address = 2003:db8:1:0:214:5432:feab:3588
 4014         lxc.net.1.type = macvlan
 4015         lxc.net.1.flags = up
 4016         lxc.net.1.link = eth0
 4017         lxc.net.1.hwaddr = 4a:49:43:49:79:bd
 4018         lxc.net.1.ipv4.address = 10.2.3.4/24
 4019         lxc.net.1.ipv4.address = 192.168.10.125/24
 4020         lxc.net.1.ipv6.address = 2003:db8:1:0:214:1234:fe0b:3596
 4021         lxc.net.2.type = phys
 4022         lxc.net.2.flags = up
 4023         lxc.net.2.link = random0
 4024         lxc.net.2.hwaddr = 4a:49:43:49:79:ff
 4025         lxc.net.2.ipv4.address = 10.2.3.6/24
 4026         lxc.net.2.ipv6.address = 2003:db8:1:0:214:1234:fe0b:3297
 4027         lxc.cgroup.cpuset.cpus = 0,1
 4028         lxc.cgroup.cpu.shares = 1234
 4029         lxc.cgroup.devices.deny = a
 4030         lxc.cgroup.devices.allow = c 1:3 rw
 4031         lxc.cgroup.devices.allow = b 8:0 rw
 4032         lxc.mount.fstab = /etc/fstab.complex
 4033         lxc.mount.entry = /lib /root/myrootfs/lib none ro,bind 0 0
 4034         lxc.rootfs.path = dir:/mnt/rootfs.complex
 4035         lxc.rootfs.options = idmap=container
 4036         lxc.cap.drop = sys_module mknod setuid net_raw
 4037         lxc.cap.drop = mac_override
 4038       </programlisting>
 4039     </refsect2>
 4040 
 4041   </refsect1>
 4042 
 4043   <refsect1>
 4044     <title>See Also</title>
 4045     <simpara>
 4046       <citerefentry>
 4047         <refentrytitle><command>chroot</command></refentrytitle>
 4048         <manvolnum>1</manvolnum>
 4049       </citerefentry>,
 4050 
 4051       <citerefentry>
 4052         <refentrytitle><command>pivot_root</command></refentrytitle>
 4053         <manvolnum>8</manvolnum>
 4054       </citerefentry>,
 4055 
 4056       <citerefentry>
 4057         <refentrytitle><filename>fstab</filename></refentrytitle>
 4058         <manvolnum>5</manvolnum>
 4059       </citerefentry>
 4060 
 4061       <citerefentry>
 4062         <refentrytitle><filename>capabilities</filename></refentrytitle>
 4063         <manvolnum>7</manvolnum>
 4064       </citerefentry>
 4065 
 4066     </simpara>
 4067   </refsect1>
 4068 
 4069   &seealso;
 4070 
 4071   <refsect1>
 4072     <title><!-- Author -->作者</title>
 4073     <para>Daniel Lezcano <email>daniel.lezcano@free.fr</email></para>
 4074   </refsect1>
 4075 
 4076 </refentry>
 4077 
 4078 <!-- Keep this comment at the end of the file
 4079 Local variables:
 4080 mode: sgml
 4081 sgml-omittag:t
 4082 sgml-shorttag:t
 4083 sgml-minimize-attributes:nil
 4084 sgml-always-quote-attributes:t
 4085 sgml-indent-step:2
 4086 sgml-indent-data:t
 4087 sgml-parent-document:nil
 4088 sgml-default-dtd-file:nil
 4089 sgml-exposed-tags:nil
 4090 sgml-local-catalogs:nil
 4091 sgml-local-ecat-files:nil
 4092 End:
 4093 -->