Optimalizace oprávnění pro web hosting

15.5.2008 10:27 | Přečteno: 1295× | poslední úprava: 15.5.2008 10:29

Tak jsem se konečně dopracoval k tomu, že jsem si rozchodil FTP. V současné době již teda mám Apache, PHP, MySQL a VSFTP. Zdánlivě vše připravené pro hostování webů. Nicméně právě řeším optimální nastavení práv a věcí kolem toho.

Moje představa je asi taková, že bych rád měl všechny soubory ve virtuálních adresářích pod uživatelem, pod kterým běží Apache. Tím můžu nastavit oprávnění vůči Apache. Dále bych jim nastavil skupinu, do které by spadal FTP a PHP. Tím mohu určit oprávnění právě pro tyto programy a ostatním bych zákazal vše.

Pokud je má představa dobrá tak už se mi podařilo, aby VSFTPD nastavoval pro všechny nahrané soubory příslušného vlastníka, ale nedaří se mi aby ještě nastavil skupinu a kompletně oprávnění (*_umask v konfiguraci VSFTPD nějak nefunguje).

Rád bych se vás tímto zeptal jestli je tato má představa vůbec správná a pokud ne, tak co by jste mi doporučili. A pokud ano, nevíte jak nastavit VSFTPD aby dělal co po něm chci?

       

Komentáře

[x]

proftpd je pro mass hosting imho lepsi volba... btw nezapomente na opravneni uploadovanych souboru pres web :)

[Kvakor]

Ano, napriklad podporuje virtualni uzivatele (tj. bez zaznamu v /etc/password), dokonce delane pres databazi (MySQL a Postgress).

A to opravneni je nutne ohlidat, jinak se muze stat, ze proces, pod kterym bezi webserver, nebude mit pristup k souborum nahranym pres FTP (videl jsem FTP, kde soubory byly vytvareny s pravy 0600).

[LuděkS]

Sorry. Prohlizim si tento blog v linksu zatimco se mi upgraduje Fedora a omylem jsem dal spatne hodnoceni (chtel jsem dat dobre )

[Deleted [8409]]

námět pro abc, změna hodnocení

[Chloop]

Pro apache pouzijes itk nebo peruser worker, cimz budou mit procesy Apache vlastnika podle VirtualHostu. Kdyz nechas Apache bezet pod jednim uzivatelem, tak jsou ti veskera zabezpeceni k nicemu, protoze skripty budou mit moc nad vsemi daty. Vlastnik procesu vsftp bude prave prihlaseny uzivatel. Vsechno to budes autentizovat pres pam. A pam ti muze sahat pro data k uzivatelum kamkoli si budes prat. A je to. :)

[happy barney]

osobne preferujem bežať apache (popr lighttpd či iný httpd server) pod iným userom ako napr php ... a php bežať ako fastcgi. Má to viacero výhod, napr môže bežať na inom/iných strojoch ako httpd, pod iným userom, v chroote, v limitovanom počte paralelných procesov, ... a pre každého usera zvlášť. Keď si človek k tomu napíše spawner, konfigurovaný z databázy, autostart/autokill, (+ čo koho napadne), sa len vytešuje, akože to krásne beží

[Chloop]

V tomhle pripade bych pouzil peruser, ktery umi bezet pod kazdym virtual hostem pod nadefinovanym uzivatelem a umi chroot. Nesplnil jsem jen to, ze mi php muze bezet na jinej stroji, ale zase mam rychlejsi php ;).

[happy barney]

... nesplnil ste to, ze apache beží pod iným userom ako php

a tá rýchlosť? pre info, pri fastcgi je php interpreter trvale spustený, podobne ako pri mod_php, ten rozdiel v rýchlosti je vyvážený väčším počtom apache procesov. Je možné nezávisle reštartovať buď php alebo apache. fastcgi navyše rovnakým spôsobom podporuje perl, python či ľubovoľný spustiteľný súbor.

Pri fastcgi dokážete limitovať počet php procesov a počet apache procesov (napr apache bez php môže mať 1000 paralelných procesov, ale používať len 50 php procesov).

[x]

itk mel strasny problemy s vykonem - je na tom ted lepe v novych verzich?

Otazka do pranice: nasel jste nekdo mod, kterej by dynamicky tahal data pro config (treba jen pro virtualhosty) apache bez jeho restartu? Co jsem nasel, tak umeli tahat dokonce z mysql databaze, ale vsechno to bylo pro starou verzi :(

[happy barney]

Rozsekať to na filesystém, a ten spravovať z databázy skriptami
http://httpd.apache.org/docs/1.3/vhosts/mass.html
http://httpd.apache.org/docs/2.0/vhosts/mass.html
http://httpd.apache.org/docs/2.2/vhosts/mass.html

[x]

Pres mod_vhost_alias? Tam jsou pak problemy s dalsimi moduly, ktere potrebuji sekci virtualhost :( A pres rewrite je to jak kanonem na vrabce...