[Comm] Вопросы по управлению доступом в Linux

[Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

При работе с операционными системами GNU/Linux у меня часто возникали
проблемы с распределением прав на файлы и каталоги. Многие утверждают,
что просто я не осилил те или иные утилиты. Вот решил попытаться
осилить их вместе.
Первая и простая задача состоит в том, как создать на домашнем
компьютере папку, которая была бы общедоступной вообще. Каждый член
семьи (пользователь компьютера) может создавать и копировать файлы и
каталоги в этой папке, при этом у всех есть к ним полный доступ, как
на чтение, так и на любое изменение. Решение не должно требовать от
пользователей (кроме администратора) знания ACL и управления доступом
в стиле UNIX. Под Windows, я бы просто дал права на эту папку с
помощью Windows ACL. А вот приемлимого решения под Linux не нашел.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Denis Nazarov]

В сообщении от Monday 01 September 2008 10:51:55 Dmitriy M. Maslennikov написал(а):
> При работе с операционными системами GNU/Linux у меня часто возникали
> проблемы с распределением прав на файлы и каталоги. Многие утверждают,
> что просто я не осилил те или иные утилиты. Вот решил попытаться
> осилить их вместе.
> Первая и простая задача состоит в том, как создать на домашнем
> компьютере папку, которая была бы общедоступной вообще. Каждый член
> семьи (пользователь компьютера) может создавать и копировать файлы и
> каталоги в этой папке, при этом у всех есть к ним полный доступ, как
> на чтение, так и на любое изменение. Решение не должно требовать от
> пользователей (кроме администратора) знания ACL и управления доступом
> в стиле UNIX. Под Windows, я бы просто дал права на эту папку с
> помощью Windows ACL. А вот приемлимого решения под Linux не нашел.
> 

mkdir /home/subj
chmod 777 /home/subj

(под рутом) не пойдет?

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 8:54 пользователь Denis Nazarov <marsden@mail.ru> написал:
> mkdir /home/subj
> chmod 777 /home/subj
>
> (под рутом) не пойдет?
Не пойдет. Так как, если один пользователь создаст внутри каталоги, то
другие вовсе не получат к ним полный доступ, пока он сам не даст им
его явно. А вот хотелось бы не явно, так как явно изменять права после
каждого копирования -- обязательно кто-нибудь забудет и придется ждать
либо root'а, либо того пользователя, что создал новые каталоги.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Gleb Kulikov]

In message [Понедельник 01 сентября 2008] from Dmitriy M. Maslennikov was 
written:

> в стиле UNIX. Под Windows, я бы просто дал права на эту папку с
> помощью Windows ACL. А вот приемлимого решения под Linux не нашел.

буквальная аналогия:

1. apt-get install acl
2. открыть папку в konqueror или любым другим способом средствами КДЕ
2.1 кликнуть по ней правой кнопкой мыши, выбрать Свойства - Права
2.2 нажать кноппер "Дополнительный права"
2.3 "Добавить запись" с новыми acl-разрешениями

Засада: posix acl не наследуются

другое решение:
1. ввести всех юзеров, которым надо предоставить доступ к папке, в некую 
группу
2. дать группе rwx на этой папке
2.1 поставить папке sticky bit и guid бит (!)

засада: под альтом маска такова, что пользователь создаёт файлы с правами 
rw---.---.---
То есть, надо напоминать пользователям давать право на чтение или чтене/запись 
копируемых в общую папку файлов/каталогов для группы.

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)
sip://20000204@sip.pctel.ru		(telephony)
netmail: 2:5005/78

Re: [Comm] Вопросы по управлению доступом в Linux

[Andrey Rahmatullin]

On Mon, Sep 01, 2008 at 12:08:59PM +0700, Gleb Kulikov wrote:
> То есть, надо напоминать пользователям давать право на чтение или чтене/запись 
> копируемых в общую папку файлов/каталогов для группы.
То есть, решения нет.
Т.к. у варианта с выдачей 777 на общую папку проблема, вроде как, ровно
такая же, не больше.

Re: [Comm] Вопросы по управлению доступом в Linux

[Michael Pozhidaev]

Привет, Глеб!

> другое решение:
> 1. ввести всех юзеров, которым надо предоставить доступ к папке, в некую 
> группу
> 2. дать группе rwx на этой папке
> 2.1 поставить папке sticky bit и guid бит (!)
>
> засада: под альтом маска такова, что пользователь создаёт файлы с правами 
> rw---.---.---
> То есть, надо напоминать пользователям давать право на чтение или чтене/запись 
> копируемых в общую папку файлов/каталогов для группы.
Это ещё можно было бы вылечить, выставив всем umask такой, чтобы 
права давались всем, но разные проги (cp в частности) ещё сами правят права,
как например при копировании с диска, вот тут всё и заканчивается. 
Тоже немало помаялся с этим, так рецепта и не нашёл.

-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
ALT Linux Team. http://www.altlinux.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Gleb Kulikov]

In message [Понедельник 01 сентября 2008] from Andrey Rahmatullin was written:

> То есть, решения нет.

> Т.к. у варианта с выдачей 777 на общую папку проблема, вроде как, ровно
> такая же, не больше.

ну почему-же.

вар.1) поставить галочку "для новых по умолчанию", при этом установится 
effective в posix acl и будет некое приближение к наследованию. Задачу это 
вполне решит.

вар.2) изменить умолчательную для алта маску.


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)
sip://20000204@sip.pctel.ru		(telephony)
netmail: 2:5005/78

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:08 пользователь Gleb Kulikov <glebus@asd.iao.ru> написал:
> In message [Понедельник 01 сентября 2008] from Dmitriy M. Maslennikov was
> written:
>
>> в стиле UNIX. Под Windows, я бы просто дал права на эту папку с
>> помощью Windows ACL. А вот приемлимого решения под Linux не нашел.
>
> буквальная аналогия:
>
> 1. apt-get install acl
> 2. открыть папку в konqueror или любым другим способом средствами КДЕ
> 2.1 кликнуть по ней правой кнопкой мыши, выбрать Свойства - Права
> 2.2 нажать кноппер "Дополнительный права"
> 2.3 "Добавить запись" с новыми acl-разрешениями
>
> Засада: posix acl не наследуются
Не совсем так. Там есть значения по умолчанию, которые переносятся на
вновь создаваемые элементы. Проблема в том, что там есть еще маска,
которая вычисляется объединением всех прав на элемент изначально.
Поэтому, если файлы копируются с диска, то маска получается r-- и ACL
ничего не дают.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Дегтярёв Дмитрий]

[-- Attachment #1: Type: text/plain, Size: 753 bytes --]

Gleb Kulikov пишет:
> In message [Понедельник 01 сентября 2008] from Dmitriy M. Maslennikov was 
> written:
>
>   
>> в стиле UNIX. Под Windows, я бы просто дал права на эту папку с
>> помощью Windows ACL. А вот приемлимого решения под Linux не нашел.
>>     
>
> буквальная аналогия:
>
> 1. apt-get install acl
> 2. открыть папку в konqueror или любым другим способом средствами КДЕ
> 2.1 кликнуть по ней правой кнопкой мыши, выбрать Свойства - Права
> 2.2 нажать кноппер "Дополнительный права"
> 2.3 "Добавить запись" с новыми acl-разрешениями
>
> Засада: posix acl не наследуются
>   
А искуственным образом организовать наследование? Скрипт замутить, 
который в нужных папках раз в полчаса права давать будет. Или типа того. 
Хотя решение плохое...

[-- Attachment #2: ddv.vcf --]
[-- Type: text/x-vcard, Size: 1091 bytes --]

begin:vcard
fn;quoted-printable:=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9 =D0=94=D0=B5=D0=B3=D1=82=D1=8F=
	=D1=80=D1=91=D0=B2
n;quoted-printable;quoted-printable:=D0=94=D0=B5=D0=B3=D1=82=D1=8F=D1=80=D1=91=D0=B2;=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9
org;quoted-printable:=D0=9E=D0=9E=D0=9E "=D0=9D=D0=95=D0=92=D0=9E=D0=94"
adr;quoted-printable;quoted-printable;quoted-printable;quoted-printable:;;=D0=9A=D0=BE=D0=BC=D1=81=D0=BE=D0=BC=D0=BE=D0=BB=D1=8C=D1=81=D0=BA=D0=B8=D0=
	=B9 =D0=BF=D1=80=D0=BE=D1=81=D0=BF=D0=B5=D0=BA=D1=82 34, =D0=BE=D1=84=D0=B8=
	=D1=81 519;=D0=9F=D0=B5=D1=80=D0=BC=D1=8C;=D0=9F=D0=B5=D1=80=D0=BC=D1=81=D0=BA=D0=B8=D0=B9 =D0=BA=D1=80=D0=B0=D0=B9=
	;614000;=D0=A0=D0=BE=D1=81=D1=81=D0=B8=D0=B9=D1=81=D0=BA=D0=B0=D1=8F =D0=A4=D0=B5=
	=D0=B4=D0=B5=D1=80=D0=B0=D1=86=D0=B8=D1=8F
email;internet:ddv@nevod.ru
title;quoted-printable:=D0=A1=D0=B8=D1=81=D1=82=D0=B5=D0=BC=D0=BD=D1=8B=D0=B9 =D0=B8=D0=BD=D1=82=
	=D0=B5=D0=B3=D1=80=D0=B0=D1=82=D0=BE=D1=80
tel;work:+73422196960,+73422385309
tel;cell:+79082555386
x-mozilla-html:FALSE
url:www.nevod.ru
version:2.1
end:vcard

Re: [Comm] Вопросы по управлению доступом в Linux

[Gleb Kulikov]

In message [Понедельник 01 сентября 2008] from Michael Pozhidaev was written:

> Это ещё можно было бы вылечить, выставив всем umask такой, чтобы
> права давались всем, но разные проги (cp в частности) ещё сами правят
> права, как например при копировании с диска, вот тут всё и заканчивается.
> Тоже немало помаялся с этим, так рецепта и не нашёл.

Привет, Миша!

posix acl таки должны решить проблему, но я по факту не проверял, как это 
будет работать в случае копирований с диска и т.п.



-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)
sip://20000204@sip.pctel.ru		(telephony)
netmail: 2:5005/78

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:21 пользователь Дегтярёв Дмитрий <ddv@nevod.ru> написал:
> А искуственным образом организовать наследование? Скрипт замутить, который в
> нужных папках раз в полчаса права давать будет. Или типа того. Хотя решение
> плохое...
В Windows почти так и сделано. Каждый раз, когда копируем, создаем или
перемещаем файлы и директории происходит вычисление ACL, с учетом
наследования.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:20 пользователь Gleb Kulikov <glebus@asd.iao.ru> написал:
> вар.1) поставить галочку "для новых по умолчанию", при этом установится
> effective в posix acl и будет некое приближение к наследованию. Задачу это
> вполне решит.
Не решит, если файл не создается, а копируется и изначально никто не
мог его записывать (копируется с CD).
У меня даже так получалось, что я сам копирую файлы, а потом сам же не
мгу их удалить пока права не поправлю...

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:22 пользователь Gleb Kulikov <glebus@asd.iao.ru> написал:
> Привет, Миша!
>
> posix acl таки должны решить проблему, но я по факту не проверял, как это
> будет работать в случае копирований с диска и т.п.
Все так думают, только решения предложить не могут...

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Дегтярёв Дмитрий]

[-- Attachment #1: Type: text/plain, Size: 674 bytes --]

Dmitriy M. Maslennikov пишет:
> 1 сентября 2008 г. 9:21 пользователь Дегтярёв Дмитрий <ddv@nevod.ru> написал:
>   
>> А искуственным образом организовать наследование? Скрипт замутить, который в
>> нужных папках раз в полчаса права давать будет. Или типа того. Хотя решение
>> плохое...
>>     
> В Windows почти так и сделано. Каждый раз, когда копируем, создаем или
> перемещаем файлы и директории происходит вычисление ACL, с учетом
> наследования.
>
>   
Винда это делает по событию. В линуксе мы можем отловить данное 
событие(копирование, перемещение и т.д.)?


если забацать samba'у и врубить acl, то наследование для Windows 
клиентов, как ни удивительно, работает.

[-- Attachment #2: ddv.vcf --]
[-- Type: text/x-vcard, Size: 1091 bytes --]

begin:vcard
fn;quoted-printable:=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9 =D0=94=D0=B5=D0=B3=D1=82=D1=8F=
	=D1=80=D1=91=D0=B2
n;quoted-printable;quoted-printable:=D0=94=D0=B5=D0=B3=D1=82=D1=8F=D1=80=D1=91=D0=B2;=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9
org;quoted-printable:=D0=9E=D0=9E=D0=9E "=D0=9D=D0=95=D0=92=D0=9E=D0=94"
adr;quoted-printable;quoted-printable;quoted-printable;quoted-printable:;;=D0=9A=D0=BE=D0=BC=D1=81=D0=BE=D0=BC=D0=BE=D0=BB=D1=8C=D1=81=D0=BA=D0=B8=D0=
	=B9 =D0=BF=D1=80=D0=BE=D1=81=D0=BF=D0=B5=D0=BA=D1=82 34, =D0=BE=D1=84=D0=B8=
	=D1=81 519;=D0=9F=D0=B5=D1=80=D0=BC=D1=8C;=D0=9F=D0=B5=D1=80=D0=BC=D1=81=D0=BA=D0=B8=D0=B9 =D0=BA=D1=80=D0=B0=D0=B9=
	;614000;=D0=A0=D0=BE=D1=81=D1=81=D0=B8=D0=B9=D1=81=D0=BA=D0=B0=D1=8F =D0=A4=D0=B5=
	=D0=B4=D0=B5=D1=80=D0=B0=D1=86=D0=B8=D1=8F
email;internet:ddv@nevod.ru
title;quoted-printable:=D0=A1=D0=B8=D1=81=D1=82=D0=B5=D0=BC=D0=BD=D1=8B=D0=B9 =D0=B8=D0=BD=D1=82=
	=D0=B5=D0=B3=D1=80=D0=B0=D1=82=D0=BE=D1=80
tel;work:+73422196960,+73422385309
tel;cell:+79082555386
x-mozilla-html:FALSE
url:www.nevod.ru
version:2.1
end:vcard

Re: [Comm] Вопросы по управлению доступом в Linux

[Andrey Rahmatullin]

On Mon, Sep 01, 2008 at 09:24:06AM +0400, Dmitriy M. Maslennikov wrote:
> > А искуственным образом организовать наследование? Скрипт замутить, который в
> > нужных папках раз в полчаса права давать будет. Или типа того. Хотя решение
> > плохое...
> В Windows почти так и сделано. Каждый раз, когда копируем, создаем или
> перемещаем файлы и директории происходит вычисление ACL, с учетом
> наследования.
ЧОЧО?
В Windows нет никаких скриптов.

Re: [Comm] Вопросы по управлению доступом в Linux

[Andrey Rahmatullin]

On Mon, Sep 01, 2008 at 11:30:28AM +0600, Дегтярёв Дмитрий wrote:
>>> А искуственным образом организовать наследование? Скрипт замутить, который в
>>> нужных папках раз в полчаса права давать будет. Или типа того. Хотя решение
>>> плохое...
>> В Windows почти так и сделано. Каждый раз, когда копируем, создаем или
>> перемещаем файлы и директории происходит вычисление ACL, с учетом
>> наследования.
> Винда это делает по событию. 
Что именно она делает "по событию"?

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:30 пользователь Дегтярёв Дмитрий <ddv@nevod.ru> написал:
> Винда это делает по событию. В линуксе мы можем отловить данное
> событие(копирование, перемещение и т.д.)?
>
>
> если забацать samba'у и врубить acl, то наследование для Windows клиентов,
> как ни удивительно, работает.
Угу, как вариант я видел решение в написании своей файловой системы на
основе FUSE. Которая отражает содержимое папки и мутит там с правами.
Но я не могу представить тонны домохозяек, которые пишут свои ФС.)

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:31 пользователь Andrey Rahmatullin
<wrar@altlinux.ru> написал:
> On Mon, Sep 01, 2008 at 09:24:06AM +0400, Dmitriy M. Maslennikov wrote:
>> В Windows почти так и сделано. Каждый раз, когда копируем, создаем или
>> перемещаем файлы и директории происходит вычисление ACL, с учетом
>> наследования.
> ЧОЧО?
> В Windows нет никаких скриптов.
Во первых, в Windows скрипты есть) Во-вторых, я не говорил, что ACL
вычисляются скриптами, они вычисляются в ядре (наверное), при
наступлении события.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:32 пользователь Andrey Rahmatullin
<wrar@altlinux.ru> написал:
> On Mon, Sep 01, 2008 at 11:30:28AM +0600, Дегтярёв Дмитрий wrote:
>>>> А искуственным образом организовать наследование? Скрипт замутить, который в
>>>> нужных папках раз в полчаса права давать будет. Или типа того. Хотя решение
>>>> плохое...
>>> В Windows почти так и сделано. Каждый раз, когда копируем, создаем или
>>> перемещаем файлы и директории происходит вычисление ACL, с учетом
>>> наследования.
>> Винда это делает по событию.
> Что именно она делает "по событию"?
Она вычисляет новые ACL с учетом наследования и прописывает их.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Andrey Rahmatullin]

On Mon, Sep 01, 2008 at 09:35:15AM +0400, Dmitriy M. Maslennikov wrote:
> Во-вторых, я не говорил, что ACL вычисляются скриптами,
Вы сказали "почти так и сделано".

> они вычисляются в ядре (наверное), при наступлении события.
Какого, блин, события?

Re: [Comm] Вопросы по управлению доступом в Linux

[Дегтярёв Дмитрий]

[-- Attachment #1: Type: text/plain, Size: 853 bytes --]

Andrey Rahmatullin пишет:
> On Mon, Sep 01, 2008 at 11:30:28AM +0600, Дегтярёв Дмитрий wrote:
>   
>>>> А искуственным образом организовать наследование? Скрипт замутить, который в
>>>> нужных папках раз в полчаса права давать будет. Или типа того. Хотя решение
>>>> плохое...
>>>>         
>>> В Windows почти так и сделано. Каждый раз, когда копируем, создаем или
>>> перемещаем файлы и директории происходит вычисление ACL, с учетом
>>> наследования.
>>>       
>> Винда это делает по событию. 
>>     
> Что именно она делает "по событию"?
>
>   
если в папке стоит галка наследовать ALC и в неё скопировать файл, то 
ACL'ли выставятся родителя. Как в линуксе при копировании файла в 
конкретную папку запустить какой-нибудь скрипт? Наверное это можно 
только реализовать на уровне ядра...

Кстати в ext4 ничего нового касающего этого вопроса нету?

[-- Attachment #2: ddv.vcf --]
[-- Type: text/x-vcard, Size: 1091 bytes --]

begin:vcard
fn;quoted-printable:=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9 =D0=94=D0=B5=D0=B3=D1=82=D1=8F=
	=D1=80=D1=91=D0=B2
n;quoted-printable;quoted-printable:=D0=94=D0=B5=D0=B3=D1=82=D1=8F=D1=80=D1=91=D0=B2;=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9
org;quoted-printable:=D0=9E=D0=9E=D0=9E "=D0=9D=D0=95=D0=92=D0=9E=D0=94"
adr;quoted-printable;quoted-printable;quoted-printable;quoted-printable:;;=D0=9A=D0=BE=D0=BC=D1=81=D0=BE=D0=BC=D0=BE=D0=BB=D1=8C=D1=81=D0=BA=D0=B8=D0=
	=B9 =D0=BF=D1=80=D0=BE=D1=81=D0=BF=D0=B5=D0=BA=D1=82 34, =D0=BE=D1=84=D0=B8=
	=D1=81 519;=D0=9F=D0=B5=D1=80=D0=BC=D1=8C;=D0=9F=D0=B5=D1=80=D0=BC=D1=81=D0=BA=D0=B8=D0=B9 =D0=BA=D1=80=D0=B0=D0=B9=
	;614000;=D0=A0=D0=BE=D1=81=D1=81=D0=B8=D0=B9=D1=81=D0=BA=D0=B0=D1=8F =D0=A4=D0=B5=
	=D0=B4=D0=B5=D1=80=D0=B0=D1=86=D0=B8=D1=8F
email;internet:ddv@nevod.ru
title;quoted-printable:=D0=A1=D0=B8=D1=81=D1=82=D0=B5=D0=BC=D0=BD=D1=8B=D0=B9 =D0=B8=D0=BD=D1=82=
	=D0=B5=D0=B3=D1=80=D0=B0=D1=82=D0=BE=D1=80
tel;work:+73422196960,+73422385309
tel;cell:+79082555386
x-mozilla-html:FALSE
url:www.nevod.ru
version:2.1
end:vcard

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:37 пользователь Andrey Rahmatullin
<wrar@altlinux.ru> написал:
> On Mon, Sep 01, 2008 at 09:35:15AM +0400, Dmitriy M. Maslennikov wrote:
>> Во-вторых, я не говорил, что ACL вычисляются скриптами,
> Вы сказали "почти так и сделано".
>
>> они вычисляются в ядре (наверное), при наступлении события.
> Какого, блин, события?
Создание/копирование/перемещение файла/папки

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:40 пользователь Дегтярёв Дмитрий <ddv@nevod.ru> написал:
> если в папке стоит галка наследовать ALC и в неё скопировать файл, то ACL'ли
> выставятся родителя.
Только на самом деле несколько сложнее. А эта галка для упрощения в
качестве наиболее частого случая использована. А так в Винде можно
микс из своих и унаследованных ACE получить. Но нас интересует решение
под Linux! В Виндовс и так все круто, оставим ее в покое)

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Дегтярёв Дмитрий]

[-- Attachment #1: Type: text/plain, Size: 438 bytes --]

Andrey Rahmatullin пишет:
> On Mon, Sep 01, 2008 at 09:35:15AM +0400, Dmitriy M. Maslennikov wrote:
>   
>> Во-вторых, я не говорил, что ACL вычисляются скриптами,
>>     
> Вы сказали "почти так и сделано".
>
>   
>> они вычисляются в ядре (наверное), при наступлении события.
>>     
> Какого, блин, события?
>
>   
на уровне ядра (наверное) при записи чего-то в папку, проверяется 
включено ли наследоние и выставляет нужные права....

[-- Attachment #2: ddv.vcf --]
[-- Type: text/x-vcard, Size: 1091 bytes --]

begin:vcard
fn;quoted-printable:=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9 =D0=94=D0=B5=D0=B3=D1=82=D1=8F=
	=D1=80=D1=91=D0=B2
n;quoted-printable;quoted-printable:=D0=94=D0=B5=D0=B3=D1=82=D1=8F=D1=80=D1=91=D0=B2;=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9
org;quoted-printable:=D0=9E=D0=9E=D0=9E "=D0=9D=D0=95=D0=92=D0=9E=D0=94"
adr;quoted-printable;quoted-printable;quoted-printable;quoted-printable:;;=D0=9A=D0=BE=D0=BC=D1=81=D0=BE=D0=BC=D0=BE=D0=BB=D1=8C=D1=81=D0=BA=D0=B8=D0=
	=B9 =D0=BF=D1=80=D0=BE=D1=81=D0=BF=D0=B5=D0=BA=D1=82 34, =D0=BE=D1=84=D0=B8=
	=D1=81 519;=D0=9F=D0=B5=D1=80=D0=BC=D1=8C;=D0=9F=D0=B5=D1=80=D0=BC=D1=81=D0=BA=D0=B8=D0=B9 =D0=BA=D1=80=D0=B0=D0=B9=
	;614000;=D0=A0=D0=BE=D1=81=D1=81=D0=B8=D0=B9=D1=81=D0=BA=D0=B0=D1=8F =D0=A4=D0=B5=
	=D0=B4=D0=B5=D1=80=D0=B0=D1=86=D0=B8=D1=8F
email;internet:ddv@nevod.ru
title;quoted-printable:=D0=A1=D0=B8=D1=81=D1=82=D0=B5=D0=BC=D0=BD=D1=8B=D0=B9 =D0=B8=D0=BD=D1=82=
	=D0=B5=D0=B3=D1=80=D0=B0=D1=82=D0=BE=D1=80
tel;work:+73422196960,+73422385309
tel;cell:+79082555386
x-mozilla-html:FALSE
url:www.nevod.ru
version:2.1
end:vcard

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:44 пользователь Дегтярёв Дмитрий <ddv@nevod.ru> написал:
> на уровне ядра (наверное) при записи чего-то в папку, проверяется включено
> ли наследоние и выставляет нужные права....
Проблема в том, что админов не учать писать модули ядра, да и не их
это дело, честно говоря...

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Gleb Kulikov]

In message [Понедельник 01 сентября 2008] from Dmitriy M. Maslennikov was 
written:

> микс из своих и унаследованных ACE получить. Но нас интересует решение
> под Linux! В Виндовс и так все круто, оставим ее в покое)

не в видоус круче, а в голове писателей стандарта posix слишком сильно желание 
учесть потребности всех возможных поставщиков всех возможных вариантов 
систем.

надо подумать, кстати, поднятие локальной самбы -- самый быстрый (и 
идиотический) способ решения. А так, надо, наверное, посмотреть на файл 
монитор и сделать демон, э... правящий права.


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)
sip://20000204@sip.pctel.ru		(telephony)
netmail: 2:5005/78

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 9:50 пользователь Gleb Kulikov <glebus@asd.iao.ru> написал:
> не в видоус круче, а в голове писателей стандарта posix слишком сильно желание
> учесть потребности всех возможных поставщиков всех возможных вариантов
> систем.
Ну можно и так сказать.

> надо подумать, кстати, поднятие локальной самбы -- самый быстрый (и
> идиотический) способ решения. А так, надо, наверное, посмотреть на файл
> монитор и сделать демон, э... правящий права.
К сожалению, я не пробовал настроить самбу таким образом, чтобы было
удобно работать с правами через нее, так что до получения
работоспособного конфига считаю вопрос открытым. Насчет демона: я
работал с inotify в нем надо регистрировать все каталоги, за которыми
хочется следить, так как он это делает не рекурсивно. Что-то мне
кажется, что слежка за всем деревом файлов может быть весьма
накладной.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Andrey Rahmatullin]

On Mon, Sep 01, 2008 at 11:40:27AM +0600, Дегтярёв Дмитрий wrote:
> если в папке стоит галка наследовать ALC и в неё скопировать файл, то  
> ACL'ли выставятся родителя. 
Нет.
Кажется, я начинаю понимать, к чему тут все говорят про какие-то события.
Ничего там никуда ни по какому inotify не выставляется. ACL вычисляются в
момент их получения с учётом ACL родителей, если на объекте стоит флаг
"наследовать".

> Как в линуксе при копировании файла в  конкретную папку запустить
> какой-нибудь скрипт?
inotify-utils

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitry Tabunov]

Дегтярёв Дмитрий пишет:
> Andrey Rahmatullin пишет:
>> On Mon, Sep 01, 2008 at 09:35:15AM +0400, Dmitriy M. Maslennikov wrote:
>>  
>>> Во-вторых, я не говорил, что ACL вычисляются скриптами,
>>>     
>> Вы сказали "почти так и сделано".
>>
>>  
>>> они вычисляются в ядре (наверное), при наступлении события.
>>>     
>> Какого, блин, события?
>>
>>   
> на уровне ядра (наверное) при записи чего-то в папку, проверяется 
> включено ли наследоние и выставляет нужные права....
Есть мнение, что такое изменение прав на уровне ядра есть дыра в 
безопасности системы...
Отчасти я рад, что простыми средствами наследование не замутить - так 
жить спокойнее...

И уж тем более нельзя ставить права 777 - хочешь, чтобы группа 
пользователей имела доступ - создай такую группу.

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 10:02 пользователь Andrey Rahmatullin
<wrar@altlinux.ru> написал:
> On Mon, Sep 01, 2008 at 11:40:27AM +0600, Дегтярёв Дмитрий wrote:
>> если в папке стоит галка наследовать ALC и в неё скопировать файл, то
>> ACL'ли выставятся родителя.
> Нет.
> Кажется, я начинаю понимать, к чему тут все говорят про какие-то события.
> Ничего там никуда ни по какому inotify не выставляется. ACL вычисляются в
> момент их получения с учётом ACL родителей, если на объекте стоит флаг
> "наследовать".
Ты не прав. Они вычисляются именно по событию и записываются, как
своиство файла. Даже глюк был, когда при копировании каталога, у него
оставались старые ACE. А при модификации ACL у родителя они правильно
перевычислялись. В XP SP2 глюк присутствует, можешь посмотреть)

>> Как в линуксе при копировании файла в  конкретную папку запустить
>> какой-нибудь скрипт?
> inotify-utils
Про inotify я уже писал.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 10:03 пользователь Dmitry Tabunov <dickie@mail.ru> написал:
> Есть мнение, что такое изменение прав на уровне ядра есть дыра в
> безопасности системы...
> Отчасти я рад, что простыми средствами наследование не замутить - так жить
> спокойнее...
Есть мнение, что если ты не хочешь, чтобы кто-то получил доступ к
файлу, то прописываешь это в его ACL явно. Если явно ничего не
указано, то разумно, что доступ определяется местом в котором этот
файл лежит. Тебя же не смущает, что к вещам лежащим на столе имеют
доступ все, а к вещам из сейфа, только те, кто имеют соответствующий
ключ. Представь, что тебе на КАЖДУЮ вещь приходится раздавать права.
Не запутаешься? Притом, что по сейфу на вещь сделать тоже можно при
необходимости) (в Windows)

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Mikhail Gusarov]

[-- Attachment #1: Type: text/plain, Size: 309 bytes --]

Twas brillig at 11:30:28 01.09.2008 UTC+06 when ddv@nevod.ru did gyre and gimble:

 ДД> Винда это делает по событию. В линуксе мы можем отловить данное
 ДД> событие(копирование, перемещение и т.д.)?

inotify

-- 

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Comm] Вопросы по управлению доступом в Linux

[Дегтярёв Дмитрий]

[-- Attachment #1: Type: text/plain, Size: 788 bytes --]

Andrey Rahmatullin пишет:
> On Mon, Sep 01, 2008 at 11:40:27AM +0600, Дегтярёв Дмитрий wrote:
>   
>> если в папке стоит галка наследовать ALC и в неё скопировать файл, то  
>> ACL'ли выставятся родителя. 
>>     
> Нет.
> Кажется, я начинаю понимать, к чему тут все говорят про какие-то события.
> Ничего там никуда ни по какому inotify не выставляется. ACL вычисляются в
> момент их получения с учётом ACL родителей, если на объекте стоит флаг
> "наследовать".
При каждом обращении к файлу пробегать по дереву родителей и проверять 
права... слишком накладно. Проще только один при записи права проверить 
и сохранить. Конечно занимает место на диске, но это ерунда по сравнению 
с размерами самих файлов и даёт возможность быстрой проверки прав. Я 
думаю, что в Windows так и сделано.

[-- Attachment #2: ddv.vcf --]
[-- Type: text/x-vcard, Size: 1091 bytes --]

begin:vcard
fn;quoted-printable:=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9 =D0=94=D0=B5=D0=B3=D1=82=D1=8F=
	=D1=80=D1=91=D0=B2
n;quoted-printable;quoted-printable:=D0=94=D0=B5=D0=B3=D1=82=D1=8F=D1=80=D1=91=D0=B2;=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9
org;quoted-printable:=D0=9E=D0=9E=D0=9E "=D0=9D=D0=95=D0=92=D0=9E=D0=94"
adr;quoted-printable;quoted-printable;quoted-printable;quoted-printable:;;=D0=9A=D0=BE=D0=BC=D1=81=D0=BE=D0=BC=D0=BE=D0=BB=D1=8C=D1=81=D0=BA=D0=B8=D0=
	=B9 =D0=BF=D1=80=D0=BE=D1=81=D0=BF=D0=B5=D0=BA=D1=82 34, =D0=BE=D1=84=D0=B8=
	=D1=81 519;=D0=9F=D0=B5=D1=80=D0=BC=D1=8C;=D0=9F=D0=B5=D1=80=D0=BC=D1=81=D0=BA=D0=B8=D0=B9 =D0=BA=D1=80=D0=B0=D0=B9=
	;614000;=D0=A0=D0=BE=D1=81=D1=81=D0=B8=D0=B9=D1=81=D0=BA=D0=B0=D1=8F =D0=A4=D0=B5=
	=D0=B4=D0=B5=D1=80=D0=B0=D1=86=D0=B8=D1=8F
email;internet:ddv@nevod.ru
title;quoted-printable:=D0=A1=D0=B8=D1=81=D1=82=D0=B5=D0=BC=D0=BD=D1=8B=D0=B9 =D0=B8=D0=BD=D1=82=
	=D0=B5=D0=B3=D1=80=D0=B0=D1=82=D0=BE=D1=80
tel;work:+73422196960,+73422385309
tel;cell:+79082555386
x-mozilla-html:FALSE
url:www.nevod.ru
version:2.1
end:vcard

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 11:02 пользователь Дегтярёв Дмитрий <ddv@nevod.ru> написал:
> При каждом обращении к файлу пробегать по дереву родителей и проверять
> права... слишком накладно. Проще только один при записи права проверить и
> сохранить. Конечно занимает место на диске, но это ерунда по сравнению с
> размерами самих файлов и даёт возможность быстрой проверки прав. Я думаю,
> что в Windows так и сделано.
Я уже писал, что в Windows так и сделано.
Но в EDirectory ACL действительно динамические, т. е. вычисляются при обращении.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 10:11 пользователь Dmitriy M. Maslennikov
<maslennikovdm@gmail.com> написал:
> 1 сентября 2008 г. 10:03 пользователь Dmitry Tabunov <dickie@mail.ru> написал:
>> Есть мнение, что такое изменение прав на уровне ядра есть дыра в
>> безопасности системы...
>> Отчасти я рад, что простыми средствами наследование не замутить - так жить
>> спокойнее...
> Есть мнение, что если ты не хочешь, чтобы кто-то получил доступ к
> файлу, то прописываешь это в его ACL явно. Если явно ничего не
> указано, то разумно, что доступ определяется местом в котором этот
> файл лежит. Тебя же не смущает, что к вещам лежащим на столе имеют
> доступ все, а к вещам из сейфа, только те, кто имеют соответствующий
> ключ. Представь, что тебе на КАЖДУЮ вещь приходится раздавать права.
> Не запутаешься? Притом, что по сейфу на вещь сделать тоже можно при
> необходимости) (в Windows)
Еще подумалось, что именно в Linux и идет неявное изменение прав)
Ведь я когда создаю файл, то никакие права на него как правило не
указываю. И очень удивляюсь (как пользователь), что оказывается их за
меня кто-то указал, а мне мучайся их меняй. Я вот файл создал там, где
только я могу лазить (в домашней папке), значит файл только мой.
Перенес в общую: файл общий. А вот если я явно захотел указать, что
файл мой, то тоже должен мочь это сделать. Мне это кажется логичным. А
то что есть по факту -- нелогично, неудобно, накладывает кучу
ограничений, которые как выясняется и обойти то нельзя.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Denis Medvedev]

Привет всем!
По поводу директории для файлов, доступных для всех:
Можно попробовать так: создать раздел/файл, разметить его как vfat (или NTFS) и cмонтировать с "насильственной" маской 777.
Еще можно через selinux (но его в альте ниасилили...).
   Денис Медведев (nbr@)

Re: [Comm] Вопросы по управлению доступом в Linux

[Denis Nazarov]

В сообщении от Monday 01 September 2008 13:10:59 Dmitriy M. Maslennikov написал(а):
> Мне это кажется логичным. А
> то что есть по факту -- нелогично, неудобно, накладывает кучу
> ограничений, которые как выясняется и обойти то нельзя.

и тем не менее, именно логичность в винде и привела к тому, что
в ней вирусы и трояны разгуливают как хотят...

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 11:55 пользователь Denis Medvedev <a_mdl@mail.ru> написал:
> Привет всем!
> По поводу директории для файлов, доступных для всех:
> Можно попробовать так: создать раздел/файл, разметить его как vfat (или NTFS) и cмонтировать с "насильственной" маской 777.
> Еще можно через selinux (но его в альте ниасилили...).
Можно, но VFAT не журналируемая, а качество реализации NTFS вызывает
сомнения (важные данные я на нем хранить не решусь). И вообще диски
уже размечены, а задача возникла, не новый же покупать.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 11:56 пользователь Denis Nazarov <marsden@mail.ru> написал:
> В сообщении от Monday 01 September 2008 13:10:59 Dmitriy M. Maslennikov написал(а):
>> Мне это кажется логичным. А
>> то что есть по факту -- нелогично, неудобно, накладывает кучу
>> ограничений, которые как выясняется и обойти то нельзя.
>
> и тем не менее, именно логичность в винде и привела к тому, что
> в ней вирусы и трояны разгуливают как хотят...
Не из-за реализации ACL там разгуливают вирусы. И вам это должно быть
прекрасно известно.
Не люблю, когда люди вместо оперирования фактами пытаются запутать
собеседника словами.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Дегтярёв Дмитрий]

[-- Attachment #1: Type: text/plain, Size: 568 bytes --]

Denis Nazarov пишет:
> В сообщении от Monday 01 September 2008 13:10:59 Dmitriy M. Maslennikov написал(а):
>   
>> Мне это кажется логичным. А
>> то что есть по факту -- нелогично, неудобно, накладывает кучу
>> ограничений, которые как выясняется и обойти то нельзя.
>>     
>
> и тем не менее, именно логичность в винде и привела к тому, что
> в ней вирусы и трояны разгуливают как хотят..
про вирусы тут не надо, они и в линуксе хорошо бегают. разве что их пока 
мало, ввиду того что студенты в универах винду изучают. перейдут школы 
на линукс и начнётся :-)))))))

[-- Attachment #2: ddv.vcf --]
[-- Type: text/x-vcard, Size: 1091 bytes --]

begin:vcard
fn;quoted-printable:=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9 =D0=94=D0=B5=D0=B3=D1=82=D1=8F=
	=D1=80=D1=91=D0=B2
n;quoted-printable;quoted-printable:=D0=94=D0=B5=D0=B3=D1=82=D1=8F=D1=80=D1=91=D0=B2;=D0=94=D0=BC=D0=B8=D1=82=D1=80=D0=B8=D0=B9
org;quoted-printable:=D0=9E=D0=9E=D0=9E "=D0=9D=D0=95=D0=92=D0=9E=D0=94"
adr;quoted-printable;quoted-printable;quoted-printable;quoted-printable:;;=D0=9A=D0=BE=D0=BC=D1=81=D0=BE=D0=BC=D0=BE=D0=BB=D1=8C=D1=81=D0=BA=D0=B8=D0=
	=B9 =D0=BF=D1=80=D0=BE=D1=81=D0=BF=D0=B5=D0=BA=D1=82 34, =D0=BE=D1=84=D0=B8=
	=D1=81 519;=D0=9F=D0=B5=D1=80=D0=BC=D1=8C;=D0=9F=D0=B5=D1=80=D0=BC=D1=81=D0=BA=D0=B8=D0=B9 =D0=BA=D1=80=D0=B0=D0=B9=
	;614000;=D0=A0=D0=BE=D1=81=D1=81=D0=B8=D0=B9=D1=81=D0=BA=D0=B0=D1=8F =D0=A4=D0=B5=
	=D0=B4=D0=B5=D1=80=D0=B0=D1=86=D0=B8=D1=8F
email;internet:ddv@nevod.ru
title;quoted-printable:=D0=A1=D0=B8=D1=81=D1=82=D0=B5=D0=BC=D0=BD=D1=8B=D0=B9 =D0=B8=D0=BD=D1=82=
	=D0=B5=D0=B3=D1=80=D0=B0=D1=82=D0=BE=D1=80
tel;work:+73422196960,+73422385309
tel;cell:+79082555386
x-mozilla-html:FALSE
url:www.nevod.ru
version:2.1
end:vcard

Re: [Comm] Вопросы по управлению доступом в Linux

[Sergey Shilov]

В сообщении от 1 сентября 2008 Dmitriy M. Maslennikov написал(a):

> Первая и простая задача состоит в том, как создать на домашнем
> компьютере папку, которая была бы общедоступной вообще. Каждый член
> семьи (пользователь компьютера) может создавать и копировать файлы и
> каталоги в этой папке, при этом у всех есть к ним полный доступ, как
> на чтение, так и на любое изменение. Решение не должно требовать от
> пользователей (кроме администратора) знания ACL и управления доступом
> в стиле UNIX. 
man exports подсказывает возможное решение вопроса с помощью локальной nfs
 
---
С уважением
С.Шилов

Re: [Comm] [JT] Вопросы по управлению доступом в Linux

[Konstantin S. Uvarin]

Првиетствую. 

> другое решение:
> 1. ввести всех юзеров, которым надо предоставить доступ к папке, в некую
> группу
> 2. дать группе rwx на этой папке
> 2.1 поставить папке sticky bit и guid бит (!)
>
> засада: под альтом маска такова, что пользователь создаёт файлы с правами
> rw---.---.---
> То есть, надо напоминать пользователям давать право на чтение или
> чтене/запись копируемых в общую папку файлов/каталогов для группы.

Давно мучает вопрос: почему при записи в setgid-ный каталог права группы у 
создаваемого файла/каталога не выставляются форсированно "по образу и 
подобию"? Это было бы очень логично. 

Какой вообще смысл в setgid-е, если все пользователи параноики и ходят с 
umask=0077?

Ну и кстати непонятно, если создается хардлинк, то ведь у него-то права не 
должны меняться? Да и вообще, если мы что-то делаем с inode (chmod тот же), 
каталог об этом ничего не "знает". 

-- 
Konstantin S. Uvarin
Junior Web Developer
Acronis Web Department

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 12:42 пользователь Sergey Shilov <hsvhome@mail.ru> написал:
> man exports подсказывает возможное решение вопроса с помощью локальной nfs
Отлично. Не подскажете, куда глядеть?

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Yurkovsky Andrey]

Dmitriy M. Maslennikov wrote:

> Не пойдет. Так как, если один пользователь создаст внутри каталоги, то
> другие вовсе не получат к ним полный доступ, пока он сам не даст им
> его явно. А вот хотелось бы не явно, так как явно изменять права после
> каждого копирования -- обязательно кто-нибудь забудет и придется ждать
> либо root'а, либо того пользователя, что создал новые каталоги.
> 
У меня дома каждый час выполняется /etc/cron.hourly:
#!/bin/sh
chown -R :wheel /mnt/main
chmod -R ug=rwX /mnt/main

-- 
Yurkovsky Andrey

Re: [Comm] Вопросы по управлению доступом в Linux

[Sergey Shilov]

В сообщении от 1 сентября 2008 Dmitriy M. Maslennikov написал(a):

> > man exports подсказывает возможное решение вопроса с помощью локальной nfs
> Отлично. Не подскажете, куда глядеть?
Туда и глядеть.

Суть идеи - дать общий доступ, через локальный сервер общего доступа, а именно:
- Поставить: nfs-clients, nfs-server, nfs-utils
- Почитать (без фанатизма) http://www.freesource.info/wiki/AltLinux/Dokumentacija/NFS&
- Создать каталог общего доступа
- Экспортировать его как nfs для анонимных чтения-записи (возможно с  anonuid=ХХХ,anongid=ХХХ (см man exports))
- Запустить nfs-server

- Создать локальную точку монтирования для каталога общего доступа
- Записать в fstab автомонтирование каталога общего доступа в точку монтирования
- Развесить симлинки пользователям на  точку монтирования 
или 
- каждому пользователю монтировать анонимно каталог общего доступа в ~  (~/share (например))
или
- использовать map_static 
...

Пусть меня подправят более знающие товарищи :-)
Описанное не панацея, а попытка поискать решение.
 

---
С уважением
С.Шилов

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 16:01 пользователь Yurkovsky Andrey <anyr@tut.by> написал:
> У меня дома каждый час выполняется /etc/cron.hourly:
> #!/bin/sh
> chown -R :wheel /mnt/main
> chmod -R ug=rwX /mnt/main
Очень грязный хак. Учителю придется ждать час для исправления ситуации.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 17:37 пользователь Sergey Shilov <hsvhome@mail.ru> написал:
> Суть идеи - дать общий доступ, через локальный сервер общего доступа, а именно:
> - Поставить: nfs-clients, nfs-server, nfs-utils
> - Почитать (без фанатизма) http://www.freesource.info/wiki/AltLinux/Dokumentacija/NFS&
> - Создать каталог общего доступа
> - Экспортировать его как nfs для анонимных чтения-записи (возможно с  anonuid=ХХХ,anongid=ХХХ (см man exports))
> - Запустить nfs-server
>
> - Создать локальную точку монтирования для каталога общего доступа
> - Записать в fstab автомонтирование каталога общего доступа в точку монтирования
> - Развесить симлинки пользователям на  точку монтирования
> или
> - каждому пользователю монтировать анонимно каталог общего доступа в ~  (~/share (например))
> или
> - использовать map_static
> ...
>
> Пусть меня подправят более знающие товарищи :-)
> Описанное не панацея, а попытка поискать решение.
Ну суть то я понял... Только вот здесь ужасный оверхед, да и задачу со
школой не решает...

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Yurkovsky Andrey]

Dmitriy M. Maslennikov wrote:

> Очень грязный хак. Учителю придется ждать час для исправления ситуации.
Ну как есть.
-- 
Yurkovsky Andrey

Re: [Comm] Вопросы по управлению доступом в Linux

[Vladimir V. Kamarzin]

>>>>> On 01 Сен 2008 at 11:08 "GK" == Gleb Kulikov writes:

>> в стиле UNIX. Под Windows, я бы просто дал права на эту папку с
>> помощью Windows ACL. А вот приемлимого решения под Linux не нашел.
GK> буквальная аналогия:
GK> 1. apt-get install acl
GK> 2. открыть папку в konqueror или любым другим способом средствами КДЕ
GK> 2.1 кликнуть по ней правой кнопкой мыши, выбрать Свойства - Права
GK> 2.2 нажать кноппер "Дополнительный права"
GK> 2.3 "Добавить запись" с новыми acl-разрешениями

GK> Засада: posix acl не наследуются

Странно, у меня почему-то вновь создаваемые файлы/директории на samba-сервере
ещё как acl-и имеют. Может быть это от того, что defailt acls выставлены? ;)

-- 
SCSI Chain overterminated

Re: [Comm] Вопросы по управлению доступом в Linux

[Dmitriy M. Maslennikov]

1 сентября 2008 г. 22:12 пользователь Vladimir V. Kamarzin
<vvk@vvk.pp.ru> написал:
> Странно, у меня почему-то вновь создаваемые файлы/директории на samba-сервере
> ещё как acl-и имеют. Может быть это от того, что defailt acls выставлены? ;)
Попробуй без самба-сервера и скопируй файлы с CD, затем посмотри на
маску и эффективные права.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Comm] Вопросы по управлению доступом в Linux

[Gleb Kulikov]

In message [Вторник 02 сентября 2008] from Vladimir V. Kamarzin was written:

> GK> Засада: posix acl не наследуются
>
> Странно, у меня почему-то вновь создаваемые файлы/директории на
> samba-сервере ещё как acl-и имеют. Может быть это от того, что defailt acls
> выставлены? ;)

Нет. Потому, что самба.


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)
sip://20000204@sip.pctel.ru		(telephony)
netmail: 2:5005/78

Re: [Comm] Вопросы по управлению доступом в Linux

[Sergey Shilov]

В сообщении от 1 сентября 2008 Dmitriy M. Maslennikov написал(a):

> > Суть идеи - дать общий доступ, через локальный сервер общего доступа, а именно:
> Ну суть то я понял... Только вот здесь ужасный оверхед, да и задачу со
> школой не решает...

Поставил эксперимент:
#mkdir -p -m777 /var/share
#chown nobody.nobody /var/share
#mkdir -p  /mnt/full_share
#echo -e "\n/var/share       127.0.0.1/255.255.255.0(rw,all_squash,anonuid=99,anongid=99)\n" >>/etc/exports
#service nfs restart
#mount.nfs 127.0.0.1:/var/share /mnt/full_share/ 
Последнее можно в fstab + симлинк на /mnt/full_share/ в скелетон пользователю.

Далее любой локальный пользователь может делать все, что угодно (черевато?) в /mnt/full_share/
В /var/share, как и в  /mnt/full_share/ все будет иметь права nobody.nobody (99.99) с умолчательными масками.

Размещение и умолчательный пользователь "по вкусу", настройки на 2 минуты.
 
---
С уважением
С.Шилов

Re: [Comm] Вопросы по управлению доступом в Linux

[Vladimir V. Kamarzin]

>>>>> On 02 Сен 2008 at 08:40 "GK" == Gleb Kulikov writes:

GK> In message [Вторник 02 сентября 2008] from Vladimir V. Kamarzin was written:
>> GK> Засада: posix acl не наследуются
>>
>> Странно, у меня почему-то вновь создаваемые файлы/директории на
>> samba-сервере ещё как acl-и имеют. Может быть это от того, что defailt acls
>> выставлены? ;)
GK> Нет. Потому, что самба.

Не веришь? :)

# pwd
/var/tmp/test
root@home /var/tmp/test # getfacl .
# file: .
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

root@home /var/tmp/test # setfacl -Rm d:user:nobody:rwx .
root@home /var/tmp/test # mkdir foo
root@home /var/tmp/test # touch foo/bar
root@home /var/tmp/test # getfacl foo/bar
# file: foo/bar
# owner: root
# group: root
user::rw-
user:nobody:rwx                 #effective:rw-
group::r-x                      #effective:r--
mask::rw-
other::r--

Наследуются они. Но перекрываются правами unix, о чём сказал rlz в соседнем
письме.

-- 
Внимание, это письмо отражает не изменения в репозитарии,
а изменения в роботе.
		-- at in sisyphus@