Dotaz: ako vynutit masku na adresar

[michal00]

používam server (nfs) na zdielanie súborov medzi užívateľmi v sieti.

mám adresár /home/dokumenty , na ktorý by mal mať každý zo skupiny sefovia (obsahuje ostro viac ako jedného užívateľa :) ) rwX prístup, každý zo skupiny staff r-X, ostatný --X (užívateľ je nepodstatný). aby všetky súbory/adresáre v tomto adresári boli tiež takéto (bez ohľadu na vôlu užívateľov)

problém je:

1. 1. ked niekto vytvorí nový súbor, tento sa vytvorí podľa jeho umasku.
2. 2. unix vie robiť iba s jednou grupou
3. 3. užívateľ vie zmeniť práva pomocou chmod. (čo mi v tomto prípade až tak nevadí)
4. 4. aj adresár sa vytvorí podľa umasku

riešení som skúšal pár:

1. 1. chmod a sickbit na adresár neriešili 1.2.3.4.
2. 2. cron a chmod nerieši 2 (a asi to nie je to najšťastnejšie riešenie).
3. 3. acl má problém s 4.3.2.(vlastne ked vytvorím skupinu nostaff tak nie). aspoň s touto konfiguráciou:

   #!/bin/sh
   #usage basename direcotry_name
   mkdir $1
   chmod 770 $1
   chgrp staff $1
   setfacl --set u::rwx,g::rwx,o::- $1
   setfacl -d --set u::rwX,g:staff:rwX,o::- $1
   

používam debian a xfs (a nfs a kde)

existuje nejaké rozmumné riešenie, ktoré by zabezpečilo to, aby súbory v určitom adresáry mali vždy určitú masku ?

Odpovědi

[podlesh]

Nějak jsem nepochopil, v čem je problém s ACL.

[michal00]

že neviem zabezpečiť

* aby daný adresár bol zaposovateľný iba pre danú skupinu (a hlavne pre iné skupiny aby bol nečitateľný)

* užívateľ vie zmeniť práva na súbor (čo nechcem)

* súbory sú síce s maskou akou chcem (defaultne), ale adresáre nie (a súbory v daných adresároch už vôbec nie)

a hlavne všetky riešenia čo mi napadli sú tak trochu hm (poškrabal som sa pravou rukou za ľavým uchom)

[michal00]

tak aby som preformuloval otázku:

ako zabezpečím aby určitý adresár ( a hlavne všetko pod ním) bolo _vždy_* zapisovateľné určitou skupinou ?

* pod pojmom vždy myslím, že chmod v danom adresari nefunguje/nema efekt, že užívateľ môže zrušiť write prístup skupiny iba presunom do iného adresára alebo zmazaním.

[rastos]

Ako vlastník súboru mu môžeš nastaviť prístupové práva aké chceš. Výnimkou č.1 je prípad, kedy je celý filesystém read-only, ale vtedy zasa nemôžeš zapisovať do toho súboru. Výnimkou č.2 je situácia kedy ako užívateľ nemáš prístup k nástrojom pre zmenu prístupových práv (chmod, chown,chgrp, ...) Unix pozná len prístupové práva pre (r)ead, (w)write a e(x)ecute. Pristupové právo povoľujúce alebo zamedzujúce zmene prístupových práv neexistuje. Prinajmenšom na žiadnom OS, ktorý poznám.

Tvoja požiadavka je dosť bizarná. A ako bizarné riešnie by som asi navrhoval zakázať spomínané nástroje pre zmenu prístupových práv a nahradiť ich vlastnými nástrojmi.

[michal00]

tak som konečne zreprodukoval prečo takéto niečo potrebujem:

michal@sonicka:~/test$ ll test.kwd*
-rw-rw----  1 rajo michal 3,1K 2006-04-06 12:23 test.kwd
-rw-rw----  1 rajo michal 3,1K 2006-04-06 12:23 test.kwd~
michal@sonicka:~/test$ kword test.kwd (dopisanie dvoch znakov a save)
michal@sonicka:~/test$ ll test.kwd*
-rw-r--r--  1 michal michal 3,2K 2006-04-06 12:24 test.kwd
-rw-rw----  1 michal michal 3,1K 2006-04-06 12:24 test.kwd~

a potom vysvetluj človeku, že prečo nevie editovat ten subor...

[lefti]

Hehe, to si za ty 4 mesice hodne pokrocil ;)
Jako nejhezci reseni se mi jevi pouzit inotify, jak poradil Semo tady. Ale vyresit problem 2 bez ACL asi jednoduse nepude. Nestacilo by dat others r-X?

[lefti]

Ten problem "2" by se dal vyresit nejakym inteligentnejsim vyuziti inotify, nebo to zkus takto:
Pro jednoduchost beru skupiny vytvorene pouze pro prava na tento adresar:
1.skupina: shared_sefovia (maji mit prava zapisu a cteni)
2.skupina: shared_staff (maji mit prava pro cteni)
Do prvni skupiny dej vsechny sefy, do druhy vsechny sefy a zbytek obsazenstva.
Vytvor adresar /garbage rwxr-x--- root:shared_staff
/garbage/shared rwxrwxr-x root:shared_sefovia
ln -s /garbage/shared /shared
A v /garbage/shared budes hlidat prava vsech souboru a adresaru pomoci inotify..