Forum Debian Users Gang

desavil · 2011-10-13 14:56:58

Witajcie.

Wiecie, w jaki sposób mogę ustawić atrybut pliku/folderu tak, aby dany użytkownik nie mógł go wykonać/zapisać/zmodyfikować/zmienić nazwy/usunąć, a pozostali mogli?

Np. plik o nazwie: pliczek.txt będzie właścicielem użytkownika: user1, i teraz chciałbym, aby użytkownik o nazwie: user2 miał określone prawa do tego pliku wymienione powyżej.

Pozdrawiam.

gindek · 2011-10-13 15:06:35

chmod
i
chown

desavil · 2011-10-13 15:07:10

A mógłbym prosić o jakiś przykład?
Bo męczę się z tym i nic nie wychodzi :/

PS. Po co chown? Nie chcę zmienić właściciela pliku, a chmod samo chyba nie wystarczy, gdyż uprawnienia będą dotyczyły tylko użytkownika na którego jest plik.

Ostatnio edytowany przez desavil (2011-10-13 15:08:24)

kondziu jah · 2011-10-13 16:16:14

1. chown, by upewnić się, że user2 nie jest właścicielem
2. chgrp, by zmienić grupę na taką, do jakiej user2 nieprzynależy
3. chmod, by pozostali nie mieli przyzwolenia do czegokolwiek

desavil · 2011-10-13 16:44:38

Mógłbym prosić o jakieś przykłady?
Bo tak jak już mówiłem, nazwy poszczególnych opcji mi nic nie pomagają.
Próbowałem wiele opcji i nie wychodziło mi to.

PS. Z mojej strony działa to w ten sposób:
Mam użytkownika o nazwie: user1, oraz user2. Za pomocą użytkownika: user1 odpalam aplikacje.
Na user2 działa pureftpd + mysql (w bazie podany guid i uid - user2).
Chciałbym teraz uzyskać takie coś, iż z poziomu user1 z plikiem może robić wszystko, ale user2 praktycznie nic, tylko odczyt, gdyż nie chcę aby użytkownik mógł z nim cokolwiek robić poprzez FTP.

Pozdrawiam i czekam na odpowiedź.

Ostatnio edytowany przez desavil (2011-10-13 16:50:30)

bercik · 2011-10-13 17:19:22

zmiana nazwy/usuwanie i takie operacje nie opieraja sie na uprawnieniach do pliku a na uprawnieniach do katalogu zawierajacego ten plik

kondziu jah · 2011-10-13 17:20:31

Zmiana właściciela:

Kod:

chown user1 /katalog/plik

lub rekursywnie (katalog wraz z jego zawartością):

Kod:

chown -R user1 /katalog/

Zmiana grupy:

Kod:

chgrp jakaś_grupa /katalog/plik

lub

Kod:

chgrp -R jakaś grupa /katalog

Zmiana właściciela i grupy zarazem:

Kod:

chown user1:jakaś_grupa /katalog/plik

lub

Kod:

chown -R user1:jakaś_grupa /katalog

zmiana uprawnień na odczyt (r - read) dla pozostałych (o - others):

Kod:

chmod o=r /katalog/plik

lub

Kod:

chmod -R o=r /katalog/

Dokładniejsze przykłady są chociażby na wikipedii (hasła: chmod, chown, chgrp).

desavil · 2011-10-13 18:31:25

Ehh, widzę że źle mnie zrozumieliście.
To jak zmienić użytkownika/grupę/chmody pliku wiem.

Opiszę dokładnie co chcę uzyskać, może teraz lepiej zrozumiecie.
Chodzi mi o to, że mam sobie w katalogu /home/games/ inne podkatalogi:

Kod:

/home/games/1
/home/games/2
/home/games/3

W systemie mam użytkownika games, który tworzy te podkatalogi (katalogiem domowym jest /home/games tego usera) - połączone to jest ze specjalnym panelem zarządzania, ale to nie ma znaczenia.
Mam postawiony serwer FTP - pureftpd z użytkownikami w bazie i każdy ma swój katalog (jeden) wymieniony powyżej.
W każdym z tych podkatalogów znajduje się plik o nazwie: start - również stworzony przez usera games, z prawami do wykonania (uruchomienia).

Użytkownik ma dostęp do swojego katalogu poprzez FTP, konto ma w bazie i użytkownikiem FTP jest user: proftpd - w bazie podany jego uid oraz gid.

Chcę teraz uzyskać takie coś, iż użytkownik łącząc się na FTP z tym plikiem start nie może nic robić, modyfikować/usuwać/zmieniać nazwy...
Natomiast właściciel może wszystko - jak to właściciel :P, a co najważniejsze uruchomić go.

Wydaje mi się, że teraz lepiej to opisałem.

Ostatnio edytowany przez desavil (2011-10-13 18:33:17)

paoolo · 2011-10-13 18:35:35

Poustawiać konta na FTP (co chyba zrobiłeś) i nie logować się jako proftpd na to konto ftp. Bo tu trochę, jak zauważyłeś, jest nieco bezpieczeństwo działania takiego czegoś nadwyrężone.

desavil · 2011-10-13 18:41:56

Ja nie loguję się na konto usera proftpd, w bazie jest tylko tego usera UID oraz GID, gdyż tego wymaga każdy serwer FTP.
A loguję się normalnie na podany login oraz hasło w bazie jakie sobie ustawiłem.

desavil · 2011-10-14 09:20:00

kondziu jah,

Zmiana właściciela:
lub rekursywnie (katalog wraz z jego zawartością):
Zmiana grupy:
Zmiana właściciela i grupy zarazem:

Po co mam zmieniać właściciela i grupę, skoro obecna mi odpowiada, czyli plik ma użytkownika oraz grupę taką samą przez jakiego użytkownika został stworzony, w tym wypadku usera games - i tak ma pozostać.

zmiana uprawnień na odczyt (r - read) dla pozostałych (o - others):

Nie działa, plik nadal mogę usuwać/modyfikować/zmieniać nazwę przez FTP.

Bardzo Was proszę o jakąś sensowną pomoc, wydaje się, że napisałem temat "Uprawnienia Pliku" i każdy pomyśli, że chodzi tutaj o nadanie chmod 777 i to wszystko, ale tak nie jest, bo to podstawy podstaw. Tutaj jest inny problem.

Jacekalex · 2011-10-14 10:30:22

Po pierwsze, możesz to zrobić samymi uprawnieniami bez problemu, o ile sensownie zaprojektujesz strukturę tych uprawenień w kontekście użytkowników i grup.

Jest też np chattr:
http://pl.wikipedia.org/wiki/Chattr

Jeśli same uprawnienia gdzieś nie starczają, to można się pobawić w ACL, chociaż to akurat w tym przypadku strzelanie z armaty do wróbla. ;P
Sznurki:
http://pl.wikipedia.org/wiki/Access_Control_List
http://www.linux-magazine.pl/index.php/content/down … owHow_Acl.pdf

A jeśli ACL nie wystarczy, to zawsze masz jeszcze np Selinux czy Grsecurity - gdzie można tworzyć własne systemy uprawnień, np zabronić userowi root czytania logów.
Ale to już wyższa szkoła jazdy. :D
Sznurki (Grsecurity):
http://grsecurity.net/gracldoc.htm
http://www.gentoo.org/proj/pl/hardened/grsecurity2.xml?style=printable

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2011-10-14 10:35:53)

desavil · 2011-10-14 11:08:53

Mógłbym prosić o jakieś przykłady, jak mam to skonfigurować i jak najprościej?
Bo męczę się z tym, męczę patrzę na te przykłady z wiki i nie tylko, testuję i nic nie wychodzi.

Ostatnio edytowany przez desavil (2011-10-14 11:32:27)

desavil · 2011-10-16 09:59:37

Postanowiłem, że użyję ACL - bo wyczytałem, że on to niby ma potrafić.
Zamontowałem partycję, uprawnienia nadaje.

Teraz tak.
Katalog: /home/games/1 - GID/UID: games, chmod: 775

Łącząc się przez FTP, mogę tworzyć foldery itp. wszystko - tak ma być.
Wysyłam przez FTP plik o nazwie: test - jego GID/UID to automatycznie: pureftpd

Loguję się na roota i wykonuję tę komendę:
setfacl -m u:pureftpd:r /home/games/1/test
Uprawnienia zostały nadane, lecz przez FTP nadal mogę z plikiem robić wszystko.

Gdzie popełniłem błąd?

Pozdrawiam.

Forum Debian Users Gang

Ogłoszenie

#1 2011-10-13 14:56:58

desavil - Użytkownik

Uprawnienia pliku

#2 2011-10-13 15:06:35

gindek - Zubr, bydle na etacie.

Re: Uprawnienia pliku

#3 2011-10-13 15:07:10

desavil - Użytkownik

Re: Uprawnienia pliku

#4 2011-10-13 16:16:14

kondziu jah - Użytkownik

Re: Uprawnienia pliku

#5 2011-10-13 16:44:38

desavil - Użytkownik

Re: Uprawnienia pliku

#6 2011-10-13 17:19:22

bercik - Moderator Mamut

Re: Uprawnienia pliku

#7 2011-10-13 17:20:31

kondziu jah - Użytkownik

Re: Uprawnienia pliku

Kod:

Kod:

Kod:

Kod:

Kod:

Kod:

Kod:

Kod:

#8 2011-10-13 18:31:25

desavil - Użytkownik

Re: Uprawnienia pliku

Kod:

#9 2011-10-13 18:35:35

paoolo - Oldtimer

Re: Uprawnienia pliku

#10 2011-10-13 18:41:56

desavil - Użytkownik

Re: Uprawnienia pliku

#11 2011-10-14 09:20:00

desavil - Użytkownik

Re: Uprawnienia pliku

#12 2011-10-14 10:30:22

Jacekalex - Podobno człowiek...;)

Re: Uprawnienia pliku

#13 2011-10-14 11:08:53

desavil - Użytkownik

Re: Uprawnienia pliku

#14 2011-10-16 09:59:37

desavil - Użytkownik

Re: Uprawnienia pliku

Stopka forum