Práva ke sdílenému adresáři /home/documents/ ?

30.9.2006 12:53 | Přečteno: 1686× | linux | | poslední úprava: 2.10.2006 08:59

Úvod:

• Chci sdílet nějaký adresář pro data mezi více uživateli.
• Vytvoříme tedy adresář '/home/documents/' a manuálně mu přidělíme práva 775, vlastník adresáře bude root, skupina bude users.
• Primárně má adresář '/home/' při startu systému přidělena práva příkazem 'umask' na hodnotu '022'.
• 'umask' je definováno v souboru '/etc/bashrc' nebo v '/etc/profile', záleží na tom, jakou strukturu oba soubory mají (a o jakou jde distribuci).
• V distribuci Mandrake/Mandriva Linux se používá systém lokálního zabezpečení 'msec (= Mandrake SECurity tool)'. V jeho adresáři '/usr/share/msec/' se nacházejí konfigurační soubory určené k zabezpečení systému lokálních souborů podle zvolené úrovně zabezpečení, která je volena při instalaci systému (viz soubory 'perm.0' až 'perm.5'). Pro případné úpravy se používá soubor '/etc/security/msec/perm.local'

Postup:

1. Všichni uživatelé mají skupinu 'users', např. franta:users,
   'cat /etc/passwd'
   

   ...
   franta:x:501:100:František:/home/franta:/bin/bash
   ...

2. Všichni uživatelé s domovským adresářem '/home/uzivatel/' mají k tomuto adresáři přístupová práva 700. Tzn., že při vytváření uživatelských účtů je velmi vhodné upravit i přístupová práva k těmto (domovským) adresářům, např.:
   'ls -la /home/'

   ...
   drwx------   36 franta   users   4096 zář 28 12:38 franta/
   ...
   

   Úprava práv k domovským adresářům na hodnotu 700 je dána tím, že v momentě, kdy jsou všichni uživatelé součástí skupiny 'users', zároveň mají nastaveno 'umask 002', mohou zapisovat i do domovských adresářů jiných uživatelů a to asi žádoucí moc nebude...
3. V souboru '/etc/profile' upravit řádek s příkazem 'umask' na 'umask 002'.
   Od tohoto okamžiku budou nově vznikající adresáře mít práva 775 a soubory budou mít 664. Tedy, všichni ze skupiny 'users' budou moci vytvářet adresáře a soubory volně v adresáři '/home/documents/', budou je moci číst a zapisovat do nich.

Poznámka 1: Jedná se o poměrně jednoduchý způsob úpravy práv, nicméně použití příkazu 'umask' je obecně považováno za bezpečnostní ústupek, a proto se většinou doporučuje použití 'acl'.

Poznámka 2: Adresář '/home/documents/' má práva 775. Může se stát, že u Mandrake/Mandriva Linuxu výše zmíněná utilita 'msec' změní práva z 775 na 755. Je proto potřeba ještě upravit chováni programu msec' tak, aby již nastavená přístupová práva neměnil takto:

V souboru '/etc/security/msec/perm.local' upravit, případně přidat položku

...
/home/documents root.users 775
...

Tím dojde k přidělení práv 775 při každém spuštění utility (spouští se v 'cron.daily' a 'cron.hourly').

Tak a teď mi ještě zbývá zprovoznit acl...        

Komentáře

[vagojan]

A co takhle vytvořit novou skupinu, vlastník sdíleného adresáře nobody, skupina sdileno. A pak řidat uživatele užívající toto sdílení do skupiny sdileno?

[mcm]

taky chytry, nenapadlo me to a pritom je to nejspis jednodussi reseni. driv sem to resil tak, ze sem si udelal skript a spoustel jsem ho z cronu. vcera jsem vypaloval dvd a pri spusteni toho scriptu cronem doslo k vetsimu zatizeni procesoru a tim padem k preruseni prisunu dat do vypalovacky a dvdcko jsem moh' potom zahodit. nastval jsem se a zbytek dne vymyslel tohle. akorat ted nevim, jestli to prirazeni uzivatele franta:users ke skupine ssdileno nebude vyrabet taky adresare s 755 a soubory 644.... ?

[Mikos]

Nemají veškeré DVD n mechaniky náhodou ochranu proti podtečení bufferu (obdobu BurnProof u CD mechanik)? Když nepřicházejí data, tak vypalování prostě dočasně pozastaví a pak znovu obnoví. Tedy k žádnému znehodnocení média by dojít nemělo...

[Supp]

Nemají, sám mám jakéhosi postaršího Pioneera, který ho nemá.

[mrzout]

V souboru /usr/share/msec/perm.x NESMIS menit vubec nic, ten muze byt kdykoliv aktualizovan balickovacim systemem!

Na tohle mas vytvorit konfiguraci v /etc/security/msec/perm.local, viz: http://ogi.cz/help/#msec

[mcm]

supr, diky, to sem vubec netusil, takze sse na to mrknu a poopravim. dik