Dotaz: CentOS/redhat IPA/WebUI prava pre uzivatelov

[miker]

Zdravim

mam IPA centOS server a centOS client, cez WebUI som si vytvoril nejakych uzivatelov, ktorym sa po prihlaseni automaticky vytvori domovsky priecinok, tito uzivatelia mozu pristupovat do svojho home folder.

otazka: Tito uzivatelia mozu ale citat napr /etc priecinok, ako spravit aby nemali pristup na tento priecinok? najlepsie pomocou IPA command/WebUI like sposobom. Dakujem

Odpovědi

[MMichal]

Taky zdravim,

jaky mate duvod zakazat cteni /etc ? Zakazanim cteni komplet /etc/ muze nastat problem v nekterych aplikacich. Napr. /etc/passwd je nutny pro preklad UID na jmena, /etc/localtime je zase potreba pro zjisteni casove zony apod.

[miker]

aj v pripade ze by to bolo zakazane pre citanie resp. pre pristup len pre IdM uzivatelov (LDAP) nie pre lokalnych ? a dovod je taky aby nemohli citat napr. konfiguraky

vdaka :)

[miker]

hlavne ma zaujima ci je mozne nastavit aby nejaky uzivatel na clientovi nemal pristup tam a tam a nastavit to ako nejaky pristup/pravo/privilegium na servery cez napr. Web UI

[MMichal]

To by šlo přes skupiny (nebo SELinux kontexty). Ale rozhodně bych tak neřešil celý /etc, ale spíše vybrané konkrétní konfigurační soubory. Pohledem do /etc zjistíte, že ne všechny soubory jsou čitelné všem (např. /etc/shadow nebo /etc/sysconfig/network-scripts/keys-*)

[miker]

ako by sa to priblizne dalo riesit cez SElinux? ak teda viete otom nieco viac povedat

priklad: uzivatel peter nema pristup do /etc/configurations_files/

vdaka

[MMichal]

Kontext uživatele (jeho procesů) nebude mít přístup na kontext souboru. Detaily jsou ale na delší povídání. SELinux není jednoduchý nástroj Řešení pomocí skupin bude určitě podstatně jednodušší.

[miker]

hej pozrel som si dokumentaciu a je to na dlhe citanie a pochopenie :D, kazdopadne takze najednoduchsie bude ako vravis dat na nejaky subor len urcitej skupine (GUID) prava na jej citanie resp. zapisovanie a ostatnym mimo skupiny nie :)

[NN]

Vytvor si skupinu config a nastav vlastnictvi na adresar /etc/config. Pokud nebude uzivatel ve skupine = smula etc.

[miker]

presne tak som to spravil a funguje to fajn, ale je to take nonIPA like. Urcite este skusim nejak zabrdnut do toho SElinux.

[MMichal]

Proč nonIPA like, IPA přeci umí spravovat uživatele ve skupinách. S tím SELinuxem to nebudete mít více IPA like (naopak spíš méně).

[MMichal]

Příklad: uživatel, který nemá přístup do /etc/localtime, bude mít čas v UTC namísto v lokální časové zóně (možná půjde přes ENV nastavit jiné umístění, nevím)

[miker]

dakujem staci mi to ako priklad :)