[devel] Jabber packaging: used users, team group

[devel] Jabber packaging: used users, team group

[Mikhail Yakshin]

Приветствую!

В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
вопрос: есть серверы, есть компоненты - под какими unix-пользователями
их запускать?

Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
связанные сервера и есть смысл держать их под отдельными пользователями
(jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
собственные спулы, собственные логи и т.п.

pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
единого пользователя, например, "jabber", которые будет владеть всеми
каталогами всех jabber-related пакетов, и под которым, собственно, будут
запускаться все сервисы?

У кого какие мнения есть на этот счет?

Попутно возникла еще более прямолинейная мысль - создать Jabber
Development Team. Кандидаты на вхождение - я так понимаю:

alexsid@
greycat@
mithraen@
pma@
zerg@

Цель пока единственная - паковать jabber-* от имени такой team?

-- 
WBR, Mikhail Yakshin AKA GreyCat

Re: [devel] Jabber packaging: used users, team group

[Alexey Sidorov]

Mikhail Yakshin пишет:
> Приветствую!
> 
> В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
> вопрос: есть серверы, есть компоненты - под какими unix-пользователями
> их запускать?
> 
> Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
> связанные сервера и есть смысл держать их под отдельными пользователями
> (jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
> собственные спулы, собственные логи и т.п.
> 
> pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
> единого пользователя, например, "jabber", которые будет владеть всеми
> каталогами всех jabber-related пакетов, и под которым, собственно, будут
> запускаться все сервисы?
> 
Не знаю, насколько это умно, но что если каждый из них запускается под своим пользователем, но все
эти пользователи входят в одну группу (jabber? jabberd?) ?

-- 
Alexey Sidorov
	mailto:alex@reutman.ru
	JID: alex@reutman.ru
	ICQ: 5052225

Re: [devel] Jabber packaging: used users, team group

[Mikhail Yakshin]

Alexey Sidorov пишет:
> Mikhail Yakshin пишет:
>> Приветствую!
>>
>> В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
>> вопрос: есть серверы, есть компоненты - под какими unix-пользователями
>> их запускать?
>>
>> Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
>> связанные сервера и есть смысл держать их под отдельными пользователями
>> (jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
>> собственные спулы, собственные логи и т.п.
>>
>> pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
>> единого пользователя, например, "jabber", которые будет владеть всеми
>> каталогами всех jabber-related пакетов, и под которым, собственно, будут
>> запускаться все сервисы?
>>
> Не знаю, насколько это умно, но что если каждый из них запускается под своим пользователем, но все
> эти пользователи входят в одну группу (jabber? jabberd?) ?

Угу %) Это будет уже третий предлагаемый вариант :) Причем, по-моему, он
совмещает в себе недостатки обоих:

1) пользователей заводить по одному на джаббер-компонент придется,
2) теоретически пониженная безопасность из-за разделяемой группы,
3) необходимость таки создавать общую группу (т.е. таскать это в пакете
вроде jabber-common)

Плюсов, кроме некоей логической группировки, я толком не вижу.

В общем, на самом деле очень хотелось бы услышать мнение security@ на
эту тему.

-- 
WBR, Mikhail Yakshin

Re: [devel] Jabber packaging: used users, team group

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 904 bytes --]

On Mon, Mar 26, 2007 at 01:34:20PM +0400, Mikhail Yakshin wrote:
> В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
> вопрос: есть серверы, есть компоненты - под какими unix-пользователями
> их запускать?
> 
> Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
> связанные сервера и есть смысл держать их под отдельными пользователями
> (jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
> собственные спулы, собственные логи и т.п.
> 
> pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
> единого пользователя, например, "jabber", которые будет владеть всеми
> каталогами всех jabber-related пакетов, и под которым, собственно, будут
> запускаться все сервисы?
> 
> У кого какие мнения есть на этот счет?

Если сервера не связанные, то и псевдопользователи должны быть не связанные.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] [wiki] Re: Jabber packaging: used users, team group

[Michael Shigorin]

On Mon, Mar 26, 2007 at 02:05:06PM +0400, Dmitry V. Levin wrote:
> > вопрос: есть серверы, есть компоненты - под какими
> > unix-пользователями их запускать?
> Если сервера не связанные, то и псевдопользователи должны быть
> не связанные.

Добавлено к http://www.freesource.info/wiki/Altlinux/Policy/UidGid

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Jabber packaging: used users, team group

[Mikhail A. Pokidko]

26.03.07, Dmitry V. Levin написал(а):
> On Mon, Mar 26, 2007 at 01:34:20PM +0400, Mikhail Yakshin wrote:
> > В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
> > вопрос: есть серверы, есть компоненты - под какими unix-пользователями
> > их запускать?
> >
> > Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
> > связанные сервера и есть смысл держать их под отдельными пользователями
> > (jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
> > собственные спулы, собственные логи и т.п.
> >
> > pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
> > единого пользователя, например, "jabber", которые будет владеть всеми
> > каталогами всех jabber-related пакетов, и под которым, собственно, будут
> > запускаться все сервисы?
> >
> > У кого какие мнения есть на этот счет?
>
> Если сервера не связанные, то и псевдопользователи должны быть не связанные.
3 сервера + 4 компонента-транспорта = 7 отдельных пользователей?


-- 
Mikhail A. Pokidko
ALTLinux Team
e-mail: pma@altlinux.org
jid: solar@gmail.ru

Re: [devel] Jabber packaging: used users, team group

[Mikhail Yakshin]

Mikhail A. Pokidko пишет:
> 26.03.07, Dmitry V. Levin написал(а):
>> On Mon, Mar 26, 2007 at 01:34:20PM +0400, Mikhail Yakshin wrote:
>>> В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
>>> вопрос: есть серверы, есть компоненты - под какими unix-пользователями
>>> их запускать?
>>>
>>> Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
>>> связанные сервера и есть смысл держать их под отдельными пользователями
>>> (jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
>>> собственные спулы, собственные логи и т.п.
>>>
>>> pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
>>> единого пользователя, например, "jabber", которые будет владеть всеми
>>> каталогами всех jabber-related пакетов, и под которым, собственно, будут
>>> запускаться все сервисы?
>>>
>>> У кого какие мнения есть на этот счет?
>> Если сервера не связанные, то и псевдопользователи должны быть не связанные.
> 3 сервера + 4 компонента-транспорта = 7 отдельных пользователей?

Получается, так. На самом деле - в реальной системе все вместе-то
деплоиться не будет, так что там будет 1 сервер + несколько транспортов.
В принципе, терпимо. Тогда предлагаю примерно такое дополнение к Jabber
policy:

=== 7. Пользователи ===

В соответствии с [/Altlinux/Policy/UidGid], предлагается для каждого
сервера и компонента иметь отдельного псевдопользователя,
соответствующего имени пакета. Для серверов, как правило, имеющих в
своем названии "jabber" это будет просто ejabberd, jabberd14, jabberd2 и
т.п., для компонентов предлагается использование префикса "jabber-" -
jabber-jit, jabber-mrim, jabber-muc, jabber-pyicq-t и т.п.

-- 
WBR, Mikhail Yakshin AKA GreyCat

Re: [devel] Jabber packaging: used users, team group

[Michael Shigorin]

On Mon, Mar 26, 2007 at 04:33:07PM +0400, Mikhail Yakshin wrote:
> === 7. Пользователи ===
> В соответствии с [/Altlinux/Policy/UidGid], предлагается для каждого
> сервера и компонента иметь отдельного псевдопользователя,
> соответствующего имени пакета. Для серверов, как правило, имеющих в
> своем названии "jabber" это будет просто ejabberd, jabberd14, jabberd2 и
> т.п., для компонентов предлагается использование префикса "jabber-" -
> jabber-jit, jabber-mrim, jabber-muc, jabber-pyicq-t и т.п.

1) s/-/_/g
2) кажется, были нюансы с длиной логина
3) наблюдается мода псевдопользователей начинать с "_"
   (уж не знаю, откуда пошла -- для своих вроде бы независимо
   стал применять; сейчас наблюдаю и в других дистро)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Jabber packaging: used users, team group

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 858 bytes --]

On Mon, Mar 26, 2007 at 04:00:23PM +0300, Michael Shigorin wrote:
> On Mon, Mar 26, 2007 at 04:33:07PM +0400, Mikhail Yakshin wrote:
> > === 7. Пользователи ===
> > В соответствии с [/Altlinux/Policy/UidGid], предлагается для каждого
> > сервера и компонента иметь отдельного псевдопользователя,
> > соответствующего имени пакета. Для серверов, как правило, имеющих в
> > своем названии "jabber" это будет просто ejabberd, jabberd14, jabberd2 и
> > т.п., для компонентов предлагается использование префикса "jabber-" -
> > jabber-jit, jabber-mrim, jabber-muc, jabber-pyicq-t и т.п.
> 
> 1) s/-/_/g
> 2) кажется, были нюансы с длиной логина
> 3) наблюдается мода псевдопользователей начинать с "_"
>    (уж не знаю, откуда пошла -- для своих вроде бы независимо
>    стал применять; сейчас наблюдаю и в других дистро)

openbsd?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Jabber packaging: used users, team group

[Mikhail Yakshin]

Michael Shigorin пишет:
> On Mon, Mar 26, 2007 at 04:33:07PM +0400, Mikhail Yakshin wrote:
>> === 7. Пользователи ===
>> В соответствии с [/Altlinux/Policy/UidGid], предлагается для каждого
>> сервера и компонента иметь отдельного псевдопользователя,
>> соответствующего имени пакета. Для серверов, как правило, имеющих в
>> своем названии "jabber" это будет просто ejabberd, jabberd14, jabberd2 и
>> т.п., для компонентов предлагается использование префикса "jabber-" -
>> jabber-jit, jabber-mrim, jabber-muc, jabber-pyicq-t и т.п.
> 
> 1) s/-/_/g

Согласен.

> 2) кажется, были нюансы с длиной логина

Кто может рассказать подробнее?

> 3) наблюдается мода псевдопользователей начинать с "_"
>    (уж не знаю, откуда пошла -- для своих вроде бы независимо
>    стал применять; сейчас наблюдаю и в других дистро)

Я в курсе, просто есть некая ненулевая legacy - как с этим быть? У нас
уже вроде бы куча систем, в которых есть пользователи "jabberd",
"ejabberd" и т.п.? Переименовать?

-- 
WBR, Mikhail Yakshin AKA GreyCat

Re: [devel] Jabber packaging: used users, team group

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 280 bytes --]

On Mon, Mar 26, 2007 at 07:17:05PM +0400, Mikhail Yakshin wrote:
> Michael Shigorin пишет:
[...]
> > 2) кажется, были нюансы с длиной логина
> 
> Кто может рассказать подробнее?

До сих пор сохранились программы, у которых длина лимитирована.
Например, ps.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Jabber packaging: used users, team group

[Mikhail Yakshin]

Dmitry V. Levin пишет:
> On Mon, Mar 26, 2007 at 01:34:20PM +0400, Mikhail Yakshin wrote:
>> В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
>> вопрос: есть серверы, есть компоненты - под какими unix-пользователями
>> их запускать?
>>
>> Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
>> связанные сервера и есть смысл держать их под отдельными пользователями
>> (jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
>> собственные спулы, собственные логи и т.п.
>>
>> pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
>> единого пользователя, например, "jabber", которые будет владеть всеми
>> каталогами всех jabber-related пакетов, и под которым, собственно, будут
>> запускаться все сервисы?
>>
>> У кого какие мнения есть на этот счет?
> 
> Если сервера не связанные, то и псевдопользователи должны быть не связанные.

Сервера связанные только по TCP/IP друг с другом. Собственно,
"компоненты" - это даже не TCP/IP-сервера, т.к. они обычно не делают
listen. Это такой специальный клиент для Jabber-сервера, который
работает и запускается не от конкретного пользователя для его нужд, а
глобально в системе для всех, демонизируясь.

Короче говоря, для большей ясности, хотелось бы чуть подробнее услышать
определение "связанных серверов".

-- 
WBR, Mikhail Yakshin

Re: [devel] Jabber packaging: used users, team group

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1703 bytes --]

On Mon, Mar 26, 2007 at 02:14:09PM +0400, Mikhail Yakshin wrote:
> Dmitry V. Levin пишет:
> > On Mon, Mar 26, 2007 at 01:34:20PM +0400, Mikhail Yakshin wrote:
> >> В процессе обсуждения упаковки jabber-пакетов возник такой дискуссионный
> >> вопрос: есть серверы, есть компоненты - под какими unix-пользователями
> >> их запускать?
> >>
> >> Я лично придерживаюсь мнения, что это все абсолютно отдельные, ничем не
> >> связанные сервера и есть смысл держать их под отдельными пользователями
> >> (jabberd2, ejabberd, jabber-jit, jabber-mrim и т.п.) - у них у каждого
> >> собственные спулы, собственные логи и т.п.
> >>
> >> pma@ в личной беседе озвучил противоположную мысль - а не завести ли нам
> >> единого пользователя, например, "jabber", которые будет владеть всеми
> >> каталогами всех jabber-related пакетов, и под которым, собственно, будут
> >> запускаться все сервисы?
> >>
> >> У кого какие мнения есть на этот счет?
> > 
> > Если сервера не связанные, то и псевдопользователи должны быть не связанные.
> 
> Сервера связанные только по TCP/IP друг с другом. Собственно,
> "компоненты" - это даже не TCP/IP-сервера, т.к. они обычно не делают
> listen. Это такой специальный клиент для Jabber-сервера, который
> работает и запускается не от конкретного пользователя для его нужд, а
> глобально в системе для всех, демонизируясь.
> 
> Короче говоря, для большей ясности, хотелось бы чуть подробнее услышать
> определение "связанных серверов".

В данном случае под связью имеется в виду
- файловая система (общие файлы или каталоги для IPC)
- SYSV IPC
- сигналы, посылаемые процессам
короче говоря, то, на что распространяются unix permissions.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]