Что такое классический режим привязки и почему некоторые снимки не устанавливаются без него (например, MS Visual Studio)?

Я попытался установить MS Visual Studio Code как оснастку на Ubuntu 16.04 с помощью следующей команды:

sudo snap install vscode

но у меня есть следующая ошибка:

error: This revision of snap "vscode" was published using classic confinement and thus may perform
       arbitrary system changes outside of the security sandbox that snaps are usually confined to,
       which put your system at risk.

       If you understand and want to proceed repeat the command including --classic.

Я хотел бы знать, что делает --classicфлаг (не только manобъяснение страницы) и почему я получил предыдущую ошибку, когда устанавливал код Visual Studio.

Посмотрите это короткое видео, в котором объясняется каждая из моделей удержания, доступных в виде снимков, почему --classicи как она используется.

Источники : Следующая документация взята из snapcraft.io: политика содержания .

строгий

Это политика безопасности по умолчанию, применяемая к привязкам. Снимок имеет права на чтение и / или запись только в своем собственном месте установки и выбранных областях. Он имеет доступ к библиотекам, которые он связывает и / или предоставляет ядро ​​или ubuntu-core snap. Расширенные права могут быть предоставлены интерфейсами, которые подключаются либо во время установки, либо пользователем с помощью команды snap connect . Например, домашний интерфейс предоставит права на чтение в доме пользователя.

Строгое ограничение дает вам следующие читаемые и / или записываемые пути:

• / snap / snapname / revision (только для чтения, путь установки Snap)
• / var / snap / snapname / revision (чтение / запись, данные для каждой ревизии)
• / var / snap / snapname / common (чтение / запись, общие данные)
• / home / $ USER / snap / snapname / revision (чтение / запись, пользовательские данные для каждой ревизии)
• / home / $ USER / snap / snapname / common (чтение / запись, общие данные пользователя)

См. Список переменных среды для получения дополнительной информации о том, что видно для строго ограниченной привязки, а также о способах доступа к оболочке в ограниченном пространстве привязки.

DEVMODE

Режим разработчика, также известный как devmode, использует те же политики безопасности, что и строгое ограничение, но отказы безопасности превращаются в предупреждения в /var/log/syslog(см. Отладка ). Это полезно при привязке приложения, чтобы узнать, какие интерфейсы необходимо объявить. Снимки в режиме разработчика не могут быть выпущены в стабильные и потенциальные каналы магазина .

классический

Привязка в классическом ограничении ведет себя как традиционно упакованное приложение с полным доступом к системе. В противоположность строгому и devmode, то, что классическая оснастка видит как «/», это «/» хост-системы, а не «/» основной оснастки. Моментальные снимки, использующие эту полностью открытую политику безопасности, проверяются вручную в магазине и разрешены только в системах, где Snapd установлен поверх традиционного дистрибутива Linux , а не для загрузки системы из образа Ubuntu Core . Они могут быть выпущены во всех каналах магазина .