Dotaz: linux a ACLs

[nettezzaumana]

caues

potrebuju obligatne nastavit jeden adresar (v linuxu) kde budou mit vsichni full access i k souborum a slozkam co vytvoril nekdo jinej .. nejsem schopen to v linuxu udelat:

# ls -ld foo/
drwxr-xr-x 2 root root 4096 2011-03-21 19:29 foo/
# setfacl --set=group:users:rwx foo
setfacl: foo: Malformed access ACL `group:users:rwx,mask::rwx': Missing or wrong entry at entry 1

co tomu tady chybi mi neni jasne .. rekl bych ze tam je nejakej problem s dedicnost potom, stravil jsem s tim vic pokusu. Zde uvadim priklad na solarisu kde to funguje fajn a dedicnost tam resi v zfs aclmode=passthrough a aclinherit=passthrough ..

# zfs create -o mountpoint=/share/devel -o aclmode=passthrough -o aclinherit=passthrough rpool/share/devel

# chmod A+group:other:rwxp:fd:allow /share/devel/

# id dpecka; id jdoe
uid=100(dpecka) gid=1(other)
uid=101(jdoe) gid=1(other)

# ls -dV .
drwxr-xr-x+  2 root     root           2 Mar 21 18:00 .
       group:other:rwxp----------:fd----:allow
            owner@:--------------:------:deny
            owner@:rwxp---A-W-Co-:------:allow
            group@:-w-p----------:------:deny
            group@:r-x-----------:------:allow
         everyone@:-w-p---A-W-Co-:------:deny
         everyone@:r-x---a-R-c--s:------:allow

# su dpecka
typo3:/share/devel> mkdir -p a/b/c
typo3:/share/devel> gfind a/ -exec ls -dV {} \; exit
drwxr-xr-x+  3 dpecka   other          3 Mar 21 18:15 a/
       group:other:rwxp----------:fdi---:allow
       group:other:rwxp----------:------:allow
            owner@:--------------:------:deny
            owner@:rwxp---A-W-Co-:------:allow
            group@:-w-p----------:------:deny
            group@:r-x-----------:------:allow
         everyone@:-w-p---A-W-Co-:------:deny
         everyone@:r-x---a-R-c--s:------:allow
drwxr-xr-x+  3 dpecka   other          3 Mar 21 18:15 a/b
       group:other:rwxp----------:fdi---:allow
       group:other:rwxp----------:------:allow
            owner@:--------------:------:deny
            owner@:rwxp---A-W-Co-:------:allow
            group@:-w-p----------:------:deny
            group@:r-x-----------:------:allow
         everyone@:-w-p---A-W-Co-:------:deny
         everyone@:r-x---a-R-c--s:------:allow
drwxr-xr-x+  2 dpecka   other          2 Mar 21 18:15 a/b/c
       group:other:rwxp----------:fdi---:allow
       group:other:rwxp----------:------:allow
            owner@:--------------:------:deny
            owner@:rwxp---A-W-Co-:------:allow
            group@:-w-p----------:------:deny
            group@:r-x-----------:------:allow
         everyone@:-w-p---A-W-Co-:------:deny
         everyone@:r-x---a-R-c--s:------:allow

# su jdoe
typo3:/share/devel> touch a/b/file; rmdir a/b/c/
typo3:/share/devel> gfind a/ -exec ls -dV {} \;
drwxr-xr-x+  3 dpecka   other          3 Mar 21 18:15 a/
       group:other:rwxp----------:fdi---:allow
       group:other:rwxp----------:------:allow
            owner@:--------------:------:deny
            owner@:rwxp---A-W-Co-:------:allow
            group@:-w-p----------:------:deny
            group@:r-x-----------:------:allow
         everyone@:-w-p---A-W-Co-:------:deny
         everyone@:r-x---a-R-c--s:------:allow
drwxr-xr-x+  2 dpecka   other          3 Mar 21 18:17 a/b
       group:other:rwxp----------:fdi---:allow
       group:other:rwxp----------:------:allow
            owner@:--------------:------:deny
            owner@:rwxp---A-W-Co-:------:allow
            group@:-w-p----------:------:deny
            group@:r-x-----------:------:allow
         everyone@:-w-p---A-W-Co-:------:deny
         everyone@:r-x---a-R-c--s:------:allow
-rw-r--r--+  1 jdoe     other          0 Mar 21 18:17 a/b/file
       group:other:rwxp----------:------:allow
            owner@:--x-----------:------:deny
            owner@:rw-p---A-W-Co-:------:allow
            group@:-wxp----------:------:deny
            group@:r-------------:------:allow
         everyone@:-wxp---A-W-Co-:------:deny
         everyone@:r-----a-R-c--s:------:allow

typo3:/share/devel> rmg -rv a/
removed `a//b/file'
removed directory: `a//b'
removed directory: `a/'

typo3:/share/devel> id
uid=101(jdoe) gid=1(other)

prosim ukazte mi priklad kdy vytvorime nejakou slozku s default umaskou 755 a pomoci ACLs ji nastavime aby to fungovalo pro uzivatele ze skupiny *users tak jako v prikladu vyse pro uzivatele skupiny *others ..
to setfacl me fakt muci ..

zatim to resim skutecne opovrzenihodnym mountem nfs pres localhost:

# grep localh /etc/exports
/srv/nfs        localhost(rw,anonuid=1001,anongid=100,all_squash,no_subtree_check)

zdravim a dekuju

---

---

Odpovědi

[camel1cz]

V Linuxu se dědičnost nastavuje přes default, potažmo -d...

setfacl -m group:users:rwx

setfacl -m -d group:users:rwx

nebo

setfacl -m default:group:users:rwx

Mělo by to fungovat, ale netestoval jsem to...

[nettezzaumana]

omg .. tohle vubec nefunguje :D .. doporucuju :: `check before dishonor here` .. ;)

[Jakub Lucký]

Omlouvám se, asi nemluvím jazykem vašeho kmene. Chyba padá na mou hlavu. Držím palce, ať najdete odpověď.

[none]

Nezbytne pres ACLka? Nepomohlo by 'chmod g+s' pro vyrobu tradicniho kolaborativniho adresare?

[pht]

Ty příkazy jsou na první pohled správně, co nefunguje?

[nettezzaumana]

### root
> setfacl -d --set=group:users:rwx share/
> setfacl -m group:users:rwx share/

> getfacl share/
# file: share/
# owner: root
# group: root
user::rwx
group::r-x
group:users:rwx
mask::rwx
other::r-x
default:user::rwx
default:group::r-x
default:group:users:rwx
default:mask::rwx
default:other::r-x

## su na usera dpecka
> cd share/; su dpecka
> mkdir -p a/b/c; find a* -exec getfacl {} \;
# file: a
# owner: dpecka
# group: users
user::rwx
group::r-x
group:users:rwx                 #effective:r-x
mask::r-x
other::r-x
default:user::rwx
default:group::r-x
default:group:users:rwx
default:mask::rwx
default:other::r-x

# file: a/b
# owner: dpecka
# group: users
user::rwx
group::r-x
group:users:rwx                 #effective:r-x
mask::r-x
other::r-x
default:user::rwx
default:group::r-x
default:group:users:rwx
default:mask::rwx
default:other::r-x

# file: a/b/c
# owner: dpecka
# group: users
user::rwx
group::r-x
group:users:rwx                 #effective:r-x
mask::r-x
other::r-x
default:user::rwx
default:group::r-x
default:group:users:rwx
default:mask::rwx
default:other::r-x

^^ no tam je z nejakyho duvodu v a, a/b a a/b/c efective je r-x takze jako jinej user tam nezapisu ... ps. sticky bit slouzi k necemu jinemu imho

[Filip Jirsák]

To není z nějakého důvodu, ten důvod tam máte napsaný:

mask::r-x

[nettezzaumana]

ale ta maska se nededi neb tu masku mame na share/ rwx ... tak jak teda rict aby to dedilo?

[Filip Jirsák]

Podle man setfacl bych řekl, že úplně stejně jako ostatní defaultní nastavení:

setfacl -m -d m:rwx

[pht]

setfacl -m -d m:rwx

To tam má. Ale ta maska je default a mkdir ji nastavil jinak. Potřebujete před mkdir si udělat umask 0.

V DAC systému jako je posix ACL nemá absolutní kontrolu nad právy správce systému ale vlastník souboru. Tím že naspecifikujete nějaký default ACL tak vůbec nezaručíte, že ty práva tvůrce nepřenastaví jinak.

[Nuphar]

Já používám

# setfacl -RP -m g:public:rwx /home/public/*

denně pouštěné cronem. A funguje to