Dotaz: Omezení práv přístupu (zakázání přejmenování)

[David]

Ahoj,

popis stávající situace: na linuxovém serveru běží samba. Na disku je vytvořen adresář "users" kde má každý uživatel (přistupující z windows) vytvořen adresář "login_usera" (práva 770), kam si může ukládat libovolně svoje data (pro vytvoření uvnitř "login_usera" je nastaveno mode 770). Uživatel může tedy přistupovat a zapisovat do adresářů ostatních uživatelů a naopak.

Dále má každý uživatel ve svém adresáři vytvořen adresář "Osobni", který má práva 700 (stejně jako soubory a adresáře v tomto uživatelem vytvořené).

Problém je, že s takto nastavenými právy může nejen uživatel libovolně měnit název adresáře "Osobni", ale i ostatni uživatelé mohou tento adresář přejmenovávat u ostatních.

Otázka je, zda je nějak možné (např. fyzickým přeskupením dat na disku a následným použitím linků) docílit toho, aby nebylo možné adresář nikým přejmenovat (ani uživatelem, jemuž adresář přísluší) a uživatelé měli přístup každý jen do svého vlastního adresáře "Osobni".

Děkuju za odpověď

Odpovědi

[Michal Vyskočil]

Pro disky s ext2/ext3 je možné použít příkaz chattr. Atribut i zakáže přejmenování, smazání a vytvoření symbolického odkazu (viz man).

[Michal Marek (twofish)]

Vytvoření normálního odkazu. A bohužel taky zápis do adresáře

[Michal Vyskočil]

Aha, tak to je nepoužitelné.

[Josef Kufner]

Co nastavit jeho home Sticky bit, pak by s tim adresarem nemohl delat nic.

[Michal Kubeček]

Sticky bit způsobí jediné: že soubor může mazat pouze jeho vlastník. Asi jste myslel spíš atribut immutable.

[Josef Kufner]

Nene, opravdu jsem myslel Sticky bit. Ono to funguje i na přejmenování.

[Michal Kubeček]

To sice ano, ale do "pak by s tim adresarem nemohl delat nic" to má docela daleko…

[#Tom]

Tohle vypadá zvláštně. Jak jsou uspořádány uživatelské účty? Má každý uživatel opravdu svůj vlastní?

[Michal Marek (twofish)]

Kromě sticky-bitu můžrš ten adresář "Osobni" přesunoum někam jinam, mít třeba

/home/franta        rwxrwxr-x
/home/franta-osobni rwxr-xr-x

a pak symlink

/home/franta/osobni -> ../franta-osobni

s tím že ten symlink se může vytvořit znova, když ho někdo přejmenuje (není třeba řešit jak ho přejmenoval, prostě se vytvoří znova).

[vampi]

možná jsem někde něco přehlédl, ale co je to za domovský adresář, který vidí a mohou měnit i ostatní uživatelé? :)

já bych to řešil spíše jako share "home" pro každého uživatele zvlášť - a pak adresář public pro všechny! :)

[David]

Ahoj,

v tomto případě se nejedná o domovský adresář. Spíše jde o místo na disku pro každého uživatele, kde má pracovní dokumenty. Tyto dokumenty jsou přístupné i pro ostatní pracovníky a do tohoto adresáře mu můžou ostatní uživatelé další dokumenty nakopírovat.

Ale bylo by potřeba, aby měl uživatel i adresář, do kterého ostatní nebudou moci, tzn. ten Osobni. Taky je potřeba (z důvodu údržby), aby tento adresář nešel přejmenovat či smazat (ať už uživatelem samotným či někým jiným) a také, aby adresář Osobni byl přístupný mezi ostatními pracovními adresáři a soubory v uživatelově adresáři.

Nevím, jestli by řešením nebylo paralelně vedle sebe vytvořit adresáře "users" a "osobni" a v těchto adresářích by v obou byly podadresáře "$login_usera". A vytvořit symlink z osobni/user01 do users/user01, vždy s názvem "Osobni", tím pádem by uživatel měl pocit, že má ve svém adresáři i adresář Osobni. Ale nevím, jak to bude s výslednými právy, případně jak je nastavit. Musím si ještě nastudovat symlinky.

Všem díky za připomínky David

[#Tom]

V unixovém prostředí má uživatel zcela přístupný přinejmenším svůj domovský adresář, může však zapisovat ještě do /tmp, tam ale mohou být soubory po čase smazány. Uživatel může nastavovat přístupová práva ve svém domovském adresáři podle libosti. Toho by se dalo využít i u Samby - zřídit uživatelům běžné domovské adresáře. Nad rámec toho by se dal zpřístupnit adresář s domovskými adresáři. Pokud se Sambě nastaví security = user a v konfiguračním souboru se ještě uvede onen adresář s domovskými adresáři jako writable = yes. Samba zápis povolí všude, ale systém ne - zapisovat může uživatel jen tam, kam má vhodně nastavena práva.

[jazz]

A proc mohou uzivatele ze skupiny zapisovat do cizich domovskych adresaru? Asi je to koncepcni reseni, ale preci jenom bych nastavil u domovskych adresaru radeji mod 700.
Pokud ale chcete zpristupnit obsahy pro cteni, tak 750.