From 84cbf968ba0419d0ed7edce4b021fb91ae633c18 Mon Sep 17 00:00:00 2001 From: Sergio Date: Mon, 31 Aug 2026 14:12:26 +0000 Subject: [PATCH] =?UTF-8?q?SDD=2025=20=C2=A79.5:=20el=207x=20mueve=20la=20?= =?UTF-8?q?telemetria=20de=20lado=20de=20la=20frontera=20de=20privilegio?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit El iterador pide CAP_BPF+CAP_PERFMON, y en tawasuyu el barrido de /proc de hoy vive en `sandokan-local`, que corre SIN privilegio (se mete en un user namespace a proposito). El unico proceso privilegiado es `sandokan-daemon` —lo dice su propio cortafuegos.rs—. Verificado leyendo el repo espejo, no supuesto: W2 por esta via no es un reemplazo en el lugar, cruza la frontera. Es un coste de diseño que el cociente de 7x no muestra. Co-Authored-By: Claude Opus 5 Claude-Session: https://claude.ai/code/session_01ACUcwo9mZsE5ocYVE9npih --- docs/25-tasas-del-kernel.md | 9 +++++++-- 1 file changed, 7 insertions(+), 2 deletions(-) diff --git a/docs/25-tasas-del-kernel.md b/docs/25-tasas-del-kernel.md index b6a93b2e..73a0ea02 100644 --- a/docs/25-tasas-del-kernel.md +++ b/docs/25-tasas-del-kernel.md @@ -662,8 +662,13 @@ sandokan que mire la máquina una vez por segundo, medio minuto. iterador **se ata por id de tipo BTF del vmlinux**. Un kernel sin `DEBUG_INFO_BTF` no publica `/sys/kernel/btf/vmlinux` y no hay a qué atarse. **No hay versión de esto que esquive H7.** 2. **Privilegio**: `CAP_BPF`+`CAP_PERFMON` o root. Sin él, `bpf_object__load` sale - `Operation not permitted`. Una Card no lo tiene ni debe tenerlo ⇒ **el consumidor es el - supervisor, no la Card** — que es donde vive sandokan, así que encaja. + `Operation not permitted`. Una Card no lo tiene ni debe tenerlo ⇒ **el consumidor tiene que + ser el proceso privilegiado**. Y del lado tawasuyu eso **no es un cambio en el sitio**: el + barrido de `/proc` de hoy vive en `sandokan-local`, que corre **sin privilegio** (se mete en un + user namespace a propósito), mientras que el único proceso privilegiado de la máquina es + `sandokan-daemon` —lo dice su propio `cortafuegos.rs`—. O sea que W2 por esta vía **no es un + reemplazo en el lugar: mueve la telemetría al otro lado de la frontera de privilegio**, y ése + es un coste de diseño que no aparece en el cociente de 7×. **Y los dos caminos NO dicen exactamente lo mismo.** De 245 procesos, **24 `comm` difieren**, y son **todos kworkers**: `/proc` **sintetiza** el nombre pegándole la workqueue que el hilo está