Можно ли ограничить пространство пользователя одним домашним каталогом?
Чтобы он не мог ходить по системным каталогам, а также по каталогам других пользователей.
LinuxForum.Fans
Ограничить доступ пользователю вне домашнего каталога
Автор: i_love_linux
20 сообщений
1547 просмотров
По каталогам других пользователей и так нельзя ходить по умолчанию. А всё остальное нужно для нормальной работы.
Что-то конкретное запретить можно, но надо смотреть.
По каталогам других пользователей и так нельзя ходить по умолчанию. А
Это в RH/CentOS/Fedora/OpenSuse и подобным нельзя, а вот у ubuntu/debian и подобным можно.
все завсит как создать юзера. пример из ubunt'ы adduser.conf
text
# If DIR_MODE is set, directories will be created with the specified
# mode. Otherwise the default mode 0755 will be used.
DIR_MODE=0755
# If SETGID_HOME is "yes" home directories for users with their own
# group the setgid bit will be set. This was the default for
# versions << 3.13 of adduser. Because it has some bad side effects we
# no longer do this per default. If you want it nevertheless you can
# still set it here.
SETGID_HOME=no
DIR_MODE=0755 - как то уныло
Где как, в suse основная група по умoлчанию users, а права на хомяки drwxr-xr-xПо каталогам других пользователей и так нельзя ходить по умолчанию
Тут все просто:по каталогам других пользователей.
Растусовуем юзверей по разным групам, а на хомяки выстявляем права как-то так:
[console]drwxr-x--- 61 dcrp dcrp 4096 Nov 16 14:54 dcrp
drwxr-x--- 16 guest guest 4096 Nov 15 01:11 guest
drwxr-x--- 17 test test 4096 Nov 3 18:19 test[/console]
И что ж мешает сменить на 750?DIR_MODE=0755 - как то уныло
А вот здесь сложнее будет: ну не прикроешь же доступ к /usr/bin??по системным каталогам
По каталогам других пользователей и так нельзя ходить по умолчанию. А всё остальное нужно для нормальной работы.
Что-то конкретное запретить можно, но надо смотреть.
Хм, у меня в ubuntu server 16.04 можно ходить везде, как и в корневом каталоге, так и в каталогах других пользователей.
Добавлено: 16.11.2017 18:16:56
Извините, сразу не написал какой дистр.
Дистрибутив ubuntu server 16.04.
Собственно пробовал выставить права на каталог своего пользователя 770, но тогда не могут выполняться скрипты которые прописаны в кроне, и которые находятся у меня в домашнем каталоге.
На данный момент у меня два юзера, больше вряд ли будет.
По системным каталогам пускай себе ходит на здоровье, один фиг у него нету прав суперпользователя.
А вот в мой домашний каталог, хочу запретить ему доступ, чтобы он не мог читать мои файлы.
Можно ли как то запретить доступ к своей домашней папке только определённому юзеру или определённой группе?
Для подобных действий ставь 751770, но тогда не могут выполняться скрипты которые прописаны в кроне, и которые находятся у меня в домашнем каталоге.
Добавлено: 16th Nov 2017 5:29:02 pm
Смотри вышеА вот в мой домашний каталог, хочу запретить ему доступ, чтобы он не мог читать мои файлы.
Добавлено: 16th Nov 2017 5:30:25 pm
Здесь нельзя запретить, можно только разрешить (пойми разницу)Можно ли как то запретить
Добавлено: 16th Nov 2017 5:38:04 pm
Кста, а накойт черт скрипты, которые используются как systemwide, держать в хомяке??
Добавлено: 16th Nov 2017 5:42:12 pm
Сори, туплю
754
а может всё же 755, ибо каким макаром cron сможет выполнить без разрешения на запуск? *SCRATCH*
Не, все-же 751, ну или вообще 711... Да уж, пора теорию повспоминать, а то блин с закрытыми глазами таки все правильно делаю, а как доходит до поразмышлять над тем что написал - так в башке полная каша начинается *CRAZY*а может всё же 755, ибо каким макаром cron сможет выполнить без разрешения на запуск?
Не, все-же 751, ну или вообще 711
Эм согласен, ибо чтение содержимого скрипта в принципе нужно только оператору. *SCRATCH*
i_love_linux, Да, кста, если юЗвери даже в одной групе - раздай права на хомяки 711 и не мучься
Для подобных действий ставь 751
Ок, спасибо попробую :)
Здесь нельзя запретить, можно только разрешить (пойми разницу)
А здесь немного не понял, допустим у меня права на хомяке стоят 770, что выходит полный доступ к папке владельцу и группе, остальным шыш))
Если я поставлю права 700, полный доступ только владельцу, а группе и остальным шыш.
Я запретил группе доступ, выходит можно как разрешить, так и запретить?
Или я просто не правильно интерпретировал вашу мысль?
Кста, а накойт черт скрипты, которые используются как systemwide, держать в хомяке??
Наверное из за того что я в администрировании ещё нуб :D
А что собственно в этом такого?
Нарушение безопасности?
Да, кста, если юЗвери даже в одной групе - раздай права на хомяки 711 и не мучься
Неа, в одну группу ещё не приходилось добавлять.
Когда-то попадалась статья, в которой это было красиво и доступно разжевано, если найду - дам ссыль.Или я просто не правильно интерпретировал вашу мысль?
Как видишь, даже отказать в доступе левым юзерам не можешь,А что собственно в этом такого?
Нарушение безопасности?
Вообще-то для подобного есть /etc, /var и т.д., а в хомяках находится то что используется конкретным пользователем...
Это я в качестве предположения, глядя на две своих основных системы: в одной все пользователи пакуются в группу users и хомяки с правами 755, а в другой под каждого пользователя отдельная группа и права у хомяков 750...Неа, в одну группу ещё не приходилось добавлять.
Когда-то попадалась статья, в которой это было красиво и доступно разжевано, если найду - дам ссыль.
Надеюсь найдешь, ибо заинтриговал я люблю такие статейки :[
Когда-то попадалась статья, в которой это было красиво и доступно разжевано, если найду - дам ссыль.
Ок, спасибо.
а в хомяках находится то что используется конкретным пользователем...
У меня и так в хомяке находится только то что используется только мной :)
Иначе какой смысл был бы запрещать второму пользователю доступ к моему хомяку?
Мне кажется, или это все-же взаимоисключающие утверждения?
У меня и так в хомяке находится только то что используется только мной
скрипты которые прописаны в кроне, и которые находятся у меня в домашнем каталоге.
DiabloPC, скорей всего у него скрипты запускаются от его имени по крону *SCRATCH*
З.ы. Статейка не нашлась? :[
Мне кажется, или это все-же взаимоисключающие утверждения?
У меня мои скрипты работают от имени моего пользователя, поскольку правила прописанные в crontab действительны только для текущего пользователя.
Это не общий crontab.
Добавлено: 20.11.2017 01:53:16
скорей всего у него скрипты запускаются от его имени по крону bw
Именно :)
]:-> А что б ему... ну тогда 751 в руки и вперед =)скорей всего у него скрипты запускаются от его имени по крону bw
Именно
К сожалению.... Видимо слишком давно это было *DONT_KNOW*З.ы. Статейка не нашлась?
В двух словах там смысл был в том что в правах на файлы определяется какие пользователи имеют право на какие-то действия с файлами (r\w\x), но не определяется то что какой-то пользователь не имеет права на какие-то действия.
Т.е. за исходную точку назначения прав там принималось 000 (- --- --- ---).
Причем это все объяснялось скорее с философской точки зрения, но как ни странно с логикой оно укладывалось на все 100...
В двух словах там смысл был в том что в правах на файлы определяется какие пользователи имеют право на какие-то действия с файлами (r\w\x), но не определяется то что какой-то пользователь не имеет права на какие-то действия.
Т.е. за исходную точку назначения прав там принималось 000 (- --- --- ---).
Причем это все объяснялось скорее с философской точки зрения, но как ни странно с логикой оно укладывалось на все 100...
В принципе понятно.
aq А что б ему... ну тогда 751 в руки и вперед =)
Отлично! Так и сделал.
Спасибо за помощь )))))
Войдите или зарегистрируйтесь, чтобы ответить.
