[devel] Re: [POLICY] uid/gid creation (was: [sisyphus] tftp...)

[devel] Re: [POLICY] uid/gid creation (was: [sisyphus] tftp...)

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 3290 bytes --]

2 devel: кажется, набросалась альфа политики по добавлению
псевдопользователей.

Требуются комментарии ldv@, в первую очередь.

On Fri, Jan 16, 2004 at 03:03:51PM +0400, Sergey wrote:
> Вообще, в спеке, который я за основу взял (PLD Linux), использован 
> такой вот вариант (недоработан по поводу GID почему-то...):

Да, у меня в sympa.spec в итоге тоже так сделано (вспомнил!).
Он происходит, кажется, от Mdk'шного с mixin'ами других.

> %pre -n utftpd
> if [ -n "`id -u tftp 2>/dev/null`" ]; then
>         if [ "`id -u tftp`" != "114" ]; then
>                 echo "Error: user tftp doesn't have uid=114. Correct this before installing utftpd." 1>&2
>                 exit 1
>         fi
> else
>         echo "Adding user tftp UID=114."
>         /usr/sbin/useradd -u 114 -r -d /dev/null -s /dev/null -c "TFTP User" -g tftp tftp 1>&2
> fi
> 
> В таком случае оно тоже не цепляется за другие пакеты особо... 

...но, с другой стороны, при этом повышается скрытая
чувствительность к беспределу в виде просто useradd -r (в т.ч. из
уже установленных альтовских пакетов, которые так делают).

> Что касается локального системного администратора... Это, как
> раз, наоборот хорошо, как мне кажется, когда есть возможность
> переставить систему и вернуть только пользовательские
> настройки, рассчитывая, что ID не поменяются, вне зависимости
> от порядка доустановки пакетов.

Так о чем и речь.

> > Сергей, эта тема уже обсуждалась -- если возьметесь написать
> > предложение по пресловутой политике, ура. 
> Да я тут наобещал уже список Intel Etherexpress PRO, которые с
> e100 работают, да ifup по поводу VLAN посмотреть. Пока опасаюсь
> еще что-то обещать... :-)

Ну так TODO и вычеркивать :-)  Помогает.

Можете на http://www.linux-os.ru/forums/arrangements/ забросить
для себя и других на напоминание и выявление общих интересов.

(2 avl: кстати про общие интересы: не хочешь сделать
cards.atmsk.ru или cards.linux-os.ru на базе cards.sf.net?)

> Могу только предложить вести публично (или в пакете
> соответствующем) некий список UID/GID

Да, в таком случае это понадобится, но будет скорее таким себе
RFC, а не жесткой технологической зависимостью.

Причем _проверять_ получится: списки в /usr/lib/rpm/ и завернуть
процедуру добавления в компактный макрос -- тогда значения,
которые ему передаются (имя/номер пользователя/группы) можно
будет проверять на уникальность по референсному списку.

Честно говоря, хотелось бы при этом минимизировать namespace
clash с обычными пользовательскими аккаунтами каким-то
префиксом/суффиксом: ведь пользовательские аккаунты вида "lp@"
или "rpc@" (по инициалам) вполне можно себе представить, а
проблема будет потихоньку заостряться с углублением privilege
separation, особенно если майнтейнеры будут занимать короткие
имена/акронимы.

(если копнуть -- то здесь проблема с тем, что и люди, и проекты
обычно стремятся иметь id в разумно краткой, уникальной и
запоминающейся форме; а в /etc/passwd пользователи,
представляющие людей, и псевдопользователи, представляющие
проекты, как раз и пересекаются)

> и, возможно, в useradd/groupadd проверку с предупреждением
> вставить по поводу использования значений в предопределенной
> области.  

Так -r?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: [POLICY] uid/gid creation (was: [sisyphus] tftp...)

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1131 bytes --]

On Fri, Jan 16, 2004 at 02:36:04PM +0200, Michael Shigorin wrote:
> 2 devel: кажется, набросалась альфа политики по добавлению
> псевдопользователей.
> 
> Требуются комментарии ldv@, в первую очередь.
> 
> On Fri, Jan 16, 2004 at 03:03:51PM +0400, Sergey wrote:
> > Вообще, в спеке, который я за основу взял (PLD Linux), использован 
> > такой вот вариант (недоработан по поводу GID почему-то...):
> 
> Да, у меня в sympa.spec в итоге тоже так сделано (вспомнил!).
> Он происходит, кажется, от Mdk'шного с mixin'ами других.
> 
> > %pre -n utftpd
> > if [ -n "`id -u tftp 2>/dev/null`" ]; then
> >         if [ "`id -u tftp`" != "114" ]; then
> >                 echo "Error: user tftp doesn't have uid=114. Correct this before installing utftpd." 1>&2
> >                 exit 1
> >         fi
> > else
> >         echo "Adding user tftp UID=114."
> >         /usr/sbin/useradd -u 114 -r -d /dev/null -s /dev/null -c "TFTP User" -g tftp tftp 1>&2
> > fi
> > 
> > В таком случае оно тоже не цепляется за другие пакеты особо... 

Мне категорически не нравится прибивание идентификаторов гвоздями для
каждого нового пакета.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: [POLICY] uid/gid creation (was: [sisyphus] tftp...)

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 419 bytes --]

On Fri, Jan 16, 2004 at 03:47:50PM +0300, Dmitry V. Levin wrote:
> Мне категорически не нравится прибивание идентификаторов
> гвоздями для каждого нового пакета.

Чем?

Тоже не в восторге (AANA пора заводить :) -- но другие пути
ухудшают переносимость принадлежащих этим псевдопользователям
данных для администратора. :(

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: [POLICY] uid/gid creation

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 503 bytes --]

On Fri, Jan 16, 2004 at 03:01:55PM +0200, Michael Shigorin wrote:
> On Fri, Jan 16, 2004 at 03:47:50PM +0300, Dmitry V. Levin wrote:
> > Мне категорически не нравится прибивание идентификаторов
> > гвоздями для каждого нового пакета.
> 
> Чем?

Создает проблемы типа "что делать, если этот идентификатор уже занят".

> Тоже не в восторге (AANA пора заводить :) -- но другие пути
> ухудшают переносимость принадлежащих этим псевдопользователям
> данных для администратора. :(

Почему ухудшают?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: [POLICY] uid/gid creation

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 2086 bytes --]

On Fri, Jan 16, 2004 at 04:05:02PM +0300, Dmitry V. Levin wrote:
> > > Мне категорически не нравится прибивание идентификаторов
> > > гвоздями для каждого нового пакета.
> > Чем?
> Создает проблемы типа "что делать, если этот идентификатор уже
> занят".

Вот.  Если:

- все использующие функциональность пакеты соответствуют полиси;
- установлены только соответствующие полиси пакеты

-- все в порядке.  Если:

1) uid и/или gid, на которые претендует устанавливаемый "new-style"
   пакет, занят (useradd -r или ручное редактирование)
   a) "old-style" пакетом (необязательно старой версией этого же);
   b) ручным добавлением системного пользователя.
2) user/group, на которые претендует он же -- занят
   a) аналогично (useradd в %pre "old-style");
   b) аналогично (необязательно -r).

2* отсекается разделением пространств имен или минимизируется
политикой именования; в любом случае обработка ошибок рантайма
остается нужной.

1a -- это phase-out.
1b -- разве что документированием.

Обработка в рантайме предлагается таким образом: соответствующая
часть макроса %useradd по крайней мере выводит сообщение вида

--- почти то же самое
Error: user %add_username doesn't have uid=%add_uid.
Correct this before installing %name.
Consult Administrator's Manual ($TOPICNAME) on how-to.
---

Возможно, имеет смысл выводить cut-n-paste строчку для
find | xargs chown, но не уверен (и пример из головы выскользнул).

> > Тоже не в восторге (AANA пора заводить :) -- но другие пути
> > ухудшают переносимость принадлежащих этим псевдопользователям
> > данных для администратора. :(
> Почему ухудшают?

Пусть требуется скопировать данные на другой хост, который
исторически отличался порядком выполнения нефиксированного
добавления системных пользователей/групп.

Для консистентности прав на объекты файловой системы может
потребоваться chown(1).

Если количество систем и/или наборов таких данных (в итоге
псевдопользователей с различным числовым представлением) растет,
получаем квадравардак.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: [POLICY] uid/gid creation

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 518 bytes --]

On Fri, Jan 16, 2004 at 03:40:29PM +0200, Michael Shigorin wrote:
> Возможно, имеет смысл выводить cut-n-paste строчку для
> find | xargs chown, но не уверен (и пример из головы выскользнул).

...как дополнение к "строчке для usermod?"

Или сделать /usr/lib/rpm/fix-perms.sh какой и давать
соответствующий обстановке пример его вызова? (с find на случай,
если потенциально must-chown хозяйство не ограничивается ~user/)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: [POLICY] uid/gid creation

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2211 bytes --]

On Fri, Jan 16, 2004 at 03:40:29PM +0200, Michael Shigorin wrote:
> On Fri, Jan 16, 2004 at 04:05:02PM +0300, Dmitry V. Levin wrote:
> > > > Мне категорически не нравится прибивание идентификаторов
> > > > гвоздями для каждого нового пакета.
> > > Чем?
> > Создает проблемы типа "что делать, если этот идентификатор уже
> > занят".
> 
> Вот.  Если:
> 
> - все использующие функциональность пакеты соответствуют полиси;
> - установлены только соответствующие полиси пакеты
> 
> -- все в порядке.  Если:
> 
> 1) uid и/или gid, на которые претендует устанавливаемый "new-style"
>    пакет, занят (useradd -r или ручное редактирование)
>    a) "old-style" пакетом (необязательно старой версией этого же);
>    b) ручным добавлением системного пользователя.
> 2) user/group, на которые претендует он же -- занят
>    a) аналогично (useradd в %pre "old-style");
>    b) аналогично (необязательно -r).

По-моему, второй вариант реалистичнее.

> Обработка в рантайме предлагается таким образом: соответствующая
> часть макроса %useradd по крайней мере выводит сообщение вида
> 
> --- почти то же самое
> Error: user %add_username doesn't have uid=%add_uid.
> Correct this before installing %name.
> Consult Administrator's Manual ($TOPICNAME) on how-to.
> ---

Ужасно.  Это прямой путь к "apt-get -f install".

> Возможно, имеет смысл выводить cut-n-paste строчку для
> find | xargs chown, но не уверен (и пример из головы выскользнул).

Не имеет.

> > > Тоже не в восторге (AANA пора заводить :) -- но другие пути
> > > ухудшают переносимость принадлежащих этим псевдопользователям
> > > данных для администратора. :(
> > Почему ухудшают?
> 
> Пусть требуется скопировать данные на другой хост, который
> исторически отличался порядком выполнения нефиксированного
> добавления системных пользователей/групп.
> 
> Для консистентности прав на объекты файловой системы может
> потребоваться chown(1).
> 
> Если количество систем и/или наборов таких данных (в итоге
> псевдопользователей с различным числовым представлением) растет,
> получаем квадравардак.

Почему же?  Какая разница для chown, имя или номер?
Тем более что по умолчанию cpio не использует --numeric-uid-gid и
tar не использует --numeric-owner.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: [POLICY] uid/gid creation

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 405 bytes --]

On Sat, Jan 17, 2004 at 02:00:59AM +0300, Dmitry V. Levin wrote:

[here the dragons l^W^W^Wneed to think, unable now]

> Почему же?  Какая разница для chown, имя или номер?
> Тем более что по умолчанию cpio не использует --numeric-uid-gid и
> tar не использует --numeric-owner.

rsync -e ssh использует. :(

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: [POLICY] uid/gid creation

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 972 bytes --]

On Sat, Jan 17, 2004 at 05:23:29PM +0200, Michael Shigorin wrote:
> On Sat, Jan 17, 2004 at 02:00:59AM +0300, Dmitry V. Levin wrote:
[...]
> > Почему же?  Какая разница для chown, имя или номер?
> > Тем более что по умолчанию cpio не использует --numeric-uid-gid и
> > tar не использует --numeric-owner.
> 
> rsync -e ssh использует. :(

Разве?

Вот цитата их rsync(1):

--numeric-ids
  With this option rsync will transfer numeric group and user  ids
  rather  than using user and group names and mapping them at both
  ends.

  By default rsync will use the user name and group name to deter-
  mine  what  ownership  to  give files. The special uid 0 and the
  special group 0 are never mapped via user/group  names  even  if
  the --numeric-ids option is not specified.

  If  the  source system is a daemon using chroot, or if a user or
  group name does not exist on the destination  system,  then  the
  numeric id from the source system is used instead.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]