Dotaz: ACL mask - smysl pro nesmysl

[aaa]

Jakej smysl má ta acl maska, když si ji každej uživatel přes chmod může změnit? Tohle je standartní chování nebo někde dělám chybu. Vtip je v tom, že když pepa provede chmod 600 na soubor, tak admin nemůže ze souboru číst, protože tím pepa změnil masku. A to má admin práva přes acl aby to mohl číst a s maskou funguje vše jak má. Tohle je vážně standartní chování u acl?????

Odpovědi

[Michal Kubeček]

ACL neslouží k tomu, aby chránily soubor před jeho vlastníkem. Stejně jako může vlastník souboru nastavit přístupová práva, může nastavit i jeho ACL.

[aaa]

No chtěl jsem dosáhnout aby uživatel admin měl vždycky přístup ke všem souborům uživatele pepa. Takže to nepujde jo? Pepa mi klidně může zakázat přístup tím že změní mask?

[Michal Kubeček]

Pokud má být pepa vlastníkem těch souborů, nezbývá vám, než se smířit s tím, že si může rozhodovat o tom, komu k nim dovolí přístup (kromě roota, samozřejmě). Ještě je možnost použít immutable atribut, ale pak s nimi nebude moci dělat nic (kromě čtení).

[aaa]

Alespoň jsem pochopil, proč se acl tak málo používá.

[Michal Kubeček]

Tak to jste pochopil naprosto špatně. Smysl ACL je v rozšíření tradičního modelu vlastník-skupina-ostatní o možnost přidělovat oprávnění dalším uživatelům nebo skupinám. Kromě toho přinášejí některé další příjemné bonusy (dědění práv), ale nikdy nebyly zamýšleny jako prvek zajišťující ochranu souboru před jeho vlastníkem.

[aaa]

Tak jsem ho ani nezamýšlel používat. Chtěl jsem aby uživatel admin měl práva k souboru uživatele pepa nezávisle na tom, jaká práva si na soubor pepa nastaví.

[Michal Kubeček]

Ale tak to prostě nefunguje a fungovat nemůže, protože by to bylo proti základnímu principu, že vlastník souboru rozhoduje o tom, kdo a jak k němu smí přistupovat (samozřejmě kromě roota).

[aaa]

A nějaký nápad jak vyřešit to co jsem psal ohledně toho přístupu?

[Zdenek]

Jednoduse, vlastnikem at je admin a uzivatel at ma prislusny ACL.

[aaa]

To je hezký, já ale chci aby si uživatel mohl měnit práva na soubory kromě masky.

[Michal Kubeček]

Obávám se, že na něco takového byste si musel opatchovat jádro.

[Filip Jirsák]

Snad jedině to, že admin bude root.

[aaa]

To ani náhodou.

[dik]

...porad nejak nechapu k cemu defaultni maska tedy je ,objasni mi ji nekdo? diky dik

[Filip Jirsák]

Mám nastavenou masku na adresář, která umožňuje např. číst a zapisovat soubory skupinám A, B a C. Když v tom adresáři uživatel vytvoří nový soubor, automaticky se na něm nastaví práva pro ty skupiny (a uživatel se o to nemusí starat a dělat to ručně).