[sisyphus] Fwd: Re: [Comm] start-stop-daemon

[sisyphus] Fwd: Re: [Comm] start-stop-daemon

[Fred]

[-- Attachment #1: Type: text/plain, Size: 718 bytes --]

Приветствую,

вот пересылаю в Сизифус по рекомендации  Дмитрия Левина.

Заранее спасибо :)

----------  Пересланное письмо  ----------


> от Самого:
> root]# service smb status
> smbd is running
> nmbd is running
>
> от себя, любимого:
> fred]$ service smb status
> smbd is stopped
> nmbd is stopped
>
> Лихо!
> Я опять чего-то не прочитал о каких-нибудь изменениях? :)
> Укажите, плз.
> А то у меня мониторящий скриптик крутится, там на  service smb status
> кой-чего завязано. Не от рута ж его теперь пускать...

Да, есть такой момент.
Пишите в sisyphus@, в этом списке рассылки я вам на этот в целом
неплохой вопрос не отвечу - policy запрещает.


--
ldv

-------------------------------------------------------



[-- Attachment #2:   --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (GNU/Linux)

iD8DBQE+0O1M9viEa8HiNCkRArZ8AJ9tt6ICOP7w2jBc2mSUzT/0xF/avACfRReI
JLQ01JJHecIm88QUQ/fyrBk=
=s6oF
-----END PGP SIGNATURE-----

Re: [sisyphus] Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2113 bytes --]

On Sun, May 25, 2003 at 09:37:24PM +0400, Fred wrote:
> > от Самого:
> > root]# service smb status
> > smbd is running
> > nmbd is running
> >
> > от себя, любимого:
> > fred]$ service smb status
> > smbd is stopped
> > nmbd is stopped
> >
> > Лихо!
> > Я опять чего-то не прочитал о каких-нибудь изменениях? :)
> > Укажите, плз.
> > А то у меня мониторящий скриптик крутится, там на  service smb status
> > кой-чего завязано. Не от рута ж его теперь пускать...
> 
> Да, есть такой момент.
> Пишите в sisyphus@, в этом списке рассылки я вам на этот в целом
> неплохой вопрос не отвечу - policy запрещает.

Начиная с того момента, как эта часть initscripts переехала в пакет
service, в реализации произошли существенные изменения, см. моё
развёрнутое письмо на эту тему в архиве devel@.

В частности, status вычисляется более аккуратно, ввиду чего пользователь
не может достоверно установить, запущен ли рутом тот или иной сервис.
Впрочем, с меньшей степенью достоверности (а именно, с той же, что и
раньше) найти процесс можно.

Рассмотрим вкратце эту ситуацию на примере crond, который, в отличие от
smb, запущен практически у всех:
# /etc/init.d/crond status
crond is running
$ /etc/init.d/crond status
crond is dead, but stale PID file exists
$ sh -x /etc/init.d/crond status 2>&1 |grep '^+ start-stop-daemon'
+ start-stop-daemon --stop --test --exec /usr/sbin/crond --pidfile /var/run/crond.pid --user root
$ /sbin/start-stop-daemon --stop --test --exec /usr/sbin/crond --pidfile /var/run/crond.pid --user root
No /usr/sbin/crond found running; none killed.
# /sbin/start-stop-daemon --stop --test --exec /usr/sbin/crond --pidfile /var/run/crond.pid --user root
Would send signal 15 to 3014.

Из приведённого примера видно, что start-stop-daemon(8) не нашёл процесс /usr/sbin/crond.
То же самое говорит и pidof(8):
$ echo "pid=$(pidof /usr/sbin/crond)"
pid=
# echo "pid=$(pidof /usr/sbin/crond)"
pid=3014

В то же самое время:
$ pidof crond
3014
$ /sbin/start-stop-daemon --stop --test --name crond --pidfile /var/run/crond.pid --user root
Would send signal 15 to 3014.

Ну вот, выводы делайте сами.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 803 bytes --]

On Sun, May 25, 2003 at 10:59:17PM +0400, Dmitry V. Levin wrote:
> Ну вот, выводы делайте сами.

Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?

Мне вот что не нравится: вместе со всем (здравым) privsep'ом
увеличивается количество ситуаций, когда для того, чтобы "это"
все-таки работало, надо получить euid == 0.

Напомню касательно /boot и /lib/modules (там, кстати, может пойти
вариант wheelonly в качестве штатного): действия, которые в
большинстве дистрибутивов _не_ требуют привилегий root для
консультативных действий, у нас их _требуют_.  Это не всегда
оптимально.

Пускать sudo service вместо /sbin/service привыкнуть можно, как
уже привык пускать sudo ls -l /boot -- но неправильно это.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1288 bytes --]

On Sun, May 25, 2003 at 10:19:48PM +0300, Michael Shigorin wrote:
> On Sun, May 25, 2003 at 10:59:17PM +0400, Dmitry V. Levin wrote:
> > Ну вот, выводы делайте сами.
> 
> Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?

Чего именно? service crond userstatus?

Проблема гораздо глубже, чем кажется на первый взгляд:
$ readlink -v /proc/3014/exe
readlink: /proc/3014/exe: Permission denied
# readlink -v /proc/3014/exe
/usr/sbin/crond

И это даже не ALT-specific.

> Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> увеличивается количество ситуаций, когда для того, чтобы "это"
> все-таки работало, надо получить euid == 0.

Зачем это?

> Напомню касательно /boot и /lib/modules (там, кстати, может пойти
> вариант wheelonly в качестве штатного): действия, которые в
> большинстве дистрибутивов _не_ требуют привилегий root для
> консультативных действий, у нас их _требуют_.  Это не всегда
> оптимально.

Права на /boot и /lib/modules не на что не влияют, кроме того, что
некоторые программы постоянно забывают там файлы с неправильными правами,
и самый простой способ это исправить в рамках дистрибутива - закрыть
каталоги.

> Пускать sudo service вместо /sbin/service привыкнуть можно, как
> уже привык пускать sudo ls -l /boot -- но неправильно это.

:)


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 2215 bytes --]

On Sun, May 25, 2003 at 11:32:35PM +0400, Dmitry V. Levin wrote:
> > > Ну вот, выводы делайте сами.
> > Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?
> Чего именно? service crond userstatus?

Или так, хотя IMO /u/b/s лучше.

> Проблема гораздо глубже, чем кажется на первый взгляд:
> $ readlink -v /proc/3014/exe
> readlink: /proc/3014/exe: Permission denied
> # readlink -v /proc/3014/exe
> /usr/sbin/crond
> 
> И это даже не ALT-specific.

Пользователю-то от этого не легче.  "Работало -- сломалось".
Виноват тот, кто попался под руку, и лишь во вторую очередь --
дистрибутор.  (то, что "проблема глубже" -- не волнует уже
практически никого, и это правильно -- на то он и дистрибутор,
чтобы _изолировать_ пользователя от этой проблемы)

> > Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> > увеличивается количество ситуаций, когда для того, чтобы
> > "это" все-таки работало, надо получить euid == 0.
> Зачем это?

Привести выдержку из своего menu.lst, скажем.  Вне
административного контекста применительно к системе, которая
оказалась под руками в момент оказания помощи.

> Права на /boot и /lib/modules не на что не влияют, кроме того,
> что некоторые программы постоянно забывают там файлы с
> неправильными правами, и самый простой способ это исправить в
> рамках дистрибутива - закрыть каталоги.

Так "самые простые пути" я помню года так с '96--'97 -- route9,
что ли, рэкомендовал для юникс-систем нечто вроде 

chown -R root.root /
chmod -R o-rwx /

...а дальше секьюрно работать рутом.  Типа умный...

Я понимаю, что это постоянный tradeoff, но в нем _надо_ (a must)
знать меру -- где мизерный выигрыш в безопасности или "простоте
для дистрибутора" оборачивается постоянными неудобствами при (гм)
поддержке пользователей дистрибутива.

(здесь я еще добрый -- мне не приходилось (пока) выковыривать
нужные данные по телефону в тех местах, где пользователи --
_пользователи_ и административных прав им не положено, а ехать
непродуктивно)

> > Пускать sudo service вместо /sbin/service привыкнуть можно, как
> > уже привык пускать sudo ls -l /boot -- но неправильно это.
> :)

:-/

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2454 bytes --]

On Sun, May 25, 2003 at 10:44:28PM +0300, Michael Shigorin wrote:
> On Sun, May 25, 2003 at 11:32:35PM +0400, Dmitry V. Levin wrote:
> > > > Ну вот, выводы делайте сами.
> > > Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?
> > Чего именно? service crond userstatus?
> 
> Или так, хотя IMO /u/b/s лучше.

Можно сделать, чтобы оно запускало
service crond userstatus

Другое дело, что пользователю проверять статус системных сервисов не к
лицу.

> > Проблема гораздо глубже, чем кажется на первый взгляд:
> > $ readlink -v /proc/3014/exe
> > readlink: /proc/3014/exe: Permission denied
> > # readlink -v /proc/3014/exe
> > /usr/sbin/crond
> > 
> > И это даже не ALT-specific.
> 
> Пользователю-то от этого не легче.  "Работало -- сломалось".
> Виноват тот, кто попался под руку, и лишь во вторую очередь --
> дистрибутор.  (то, что "проблема глубже" -- не волнует уже
> практически никого, и это правильно -- на то он и дистрибутор,
> чтобы _изолировать_ пользователя от этой проблемы)

Если пользователь хочет выполнять системые привилегированные задачи, то
это почти так же плохо, как и выполнение рутом пользовательских задач.

Надо менять привычки.

А pidof smbd nmbd никто и не отменял.  Разумеется, и гарантий, что будет
найдено то, что нужно, тоже никто не даст.

> > > Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> > > увеличивается количество ситуаций, когда для того, чтобы
> > > "это" все-таки работало, надо получить euid == 0.
> > Зачем это?
> 
> Привести выдержку из своего menu.lst, скажем.  Вне
> административного контекста применительно к системе, которая
> оказалась под руками в момент оказания помощи.

Это не довод, чтобы рушить систему.

> > Права на /boot и /lib/modules не на что не влияют, кроме того,
> > что некоторые программы постоянно забывают там файлы с
> > неправильными правами, и самый простой способ это исправить в
> > рамках дистрибутива - закрыть каталоги.
> 
> Так "самые простые пути" я помню года так с '96--'97 -- route9,
> что ли, рэкомендовал для юникс-систем нечто вроде 
> 
> chown -R root.root /
> chmod -R o-rwx /
> 
> ...а дальше секьюрно работать рутом.  Типа умный...
> 
> Я понимаю, что это постоянный tradeoff, но в нем _надо_ (a must)
> знать меру -- где мизерный выигрыш в безопасности или "простоте
> для дистрибутора" оборачивается постоянными неудобствами при (гм)
> поддержке пользователей дистрибутива.

На то он и tradeoff.

P.S. хватит философии в sisyphus@


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Fred]

26 Май 2003 00:13, Dmitry V. Levin написал:

Понял, Дмитрий. Спасибо за ответ. В целом. :)

> Другое дело, что пользователю проверять статус системных сервисов не к
> лицу.

На сервере - безусловно.

Ну, мне, видимо, на домашней машине придется чуть скрипт изменить, или таки из 
под Самого его пускать. Не велика проблема заменить на  pidof smbd. 
В скриптике среди прочего есть всего лишь:

 service smb status  1>/dev/null 2>&1
        if [ $? -eq 0 ]
        then
            smbstatus -d | sed -e '1,2d'; line; sleep 10
        else
            sleep 10;

чтоб видно было, кто из "волков" во внутренней сети с меня фильмы в данный 
момент смотрит (качает) :))


--
Всего удивительного.

Fred.

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 656 bytes --]

On Mon, May 26, 2003 at 02:05:27AM +0400, Fred wrote:
> Ну, мне, видимо, на домашней машине придется чуть скрипт изменить, или таки из 
> под Самого его пускать. Не велика проблема заменить на  pidof smbd. 
> В скриптике среди прочего есть всего лишь:
> 
>  service smb status  1>/dev/null 2>&1
>         if [ $? -eq 0 ]
>         then
>             smbstatus -d | sed -e '1,2d'; line; sleep 10
>         else
>             sleep 10;
> 
> чтоб видно было, кто из "волков" во внутренней сети с меня фильмы в данный 
> момент смотрит (качает) :))

В вашем случае хватит и pidof:
if pidof smbd >/dev/null 2>&1; then
	do_whatever_you_need
fi
sleep 10


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 2213 bytes --]

On Mon, May 26, 2003 at 12:13:20AM +0400, Dmitry V. Levin wrote:
> Можно сделать, чтобы оно запускало service crond userstatus
> Другое дело, что пользователю проверять статус системных
> сервисов не к лицу.

Это еще почему?  Этак мы еще до -o noexec на /home из коробки
доберемся.  И останется только повеситься.

> > Пользователю-то от этого не легче.  "Работало -- сломалось".
> Если пользователь хочет выполнять системые привилегированные
> задачи, то это почти так же плохо, как и выполнение рутом
> пользовательских задач.

И какая это привелегированная задача, если "раньше работало"?

Дима, помимо высоких материй есть еще приземленные реалии :-(

> Надо менять привычки.

Зачем?  If it ain't broken, why break it?  (а если даже и broken,
но успешно притворяется работающим)

> А pidof smbd nmbd никто и не отменял.  Разумеется, и гарантий,
> что будет найдено то, что нужно, тоже никто не даст.

Вот.  На таких условиях хочу видеть нормальный service xxx status
от пользователя.

Лучше синица в руке, чем журавль в небе, особенно если для
смотрения на него нужно разрешение в кабмине. :-/

> > > > Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> > > > увеличивается количество ситуаций, когда для того, чтобы
> > > > "это" все-таки работало, надо получить euid == 0.
> Это не довод, чтобы рушить систему.

О чем и речь.  "Увеличение секьюрности" методом goto root only --
это чушь на постном масле.  Надо регулировать доступ -- нарезать
групп и разогнать по ним.  И не восстанавливать это после каждого
dist-upgrade или N-го upgrade.

Да, можно форкнуться.  Но мотивация отсутствует, потому что есть
Debian.

> > chown -R root.root /
> > chmod -R o-rwx /
> > Я понимаю, что это постоянный tradeoff, но в нем _надо_ (a must)
> > знать меру -- где мизерный выигрыш в безопасности или "простоте
> > для дистрибутора" оборачивается постоянными неудобствами при (гм)
> > поддержке пользователей дистрибутива.
> 
> На то он и tradeoff.
> 
> P.S. хватит философии в sisyphus@

Хорошо.  В devel?

Для меня эти вопросы являются *очень* больными и достаточно
важными.  Почему -- сейчас объясню лично.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1372 bytes --]

On Mon, May 26, 2003 at 10:28:48AM +0300, Michael Shigorin wrote:
> On Mon, May 26, 2003 at 12:13:20AM +0400, Dmitry V. Levin wrote:
> > Можно сделать, чтобы оно запускало service crond userstatus
> > Другое дело, что пользователю проверять статус системных
> > сервисов не к лицу.
> 
> Это еще почему?  Этак мы еще до -o noexec на /home из коробки
> доберемся.  И останется только повеситься.

Хм, noexec на /home из коробки - это была бы неплохая опция
для installer'а, стоит повесить FR.

Равно как и
nodev на /usr
nosuid,nodev на /var
noexec,nosuid,nodev на /tmp
nosuid,nodev на /home

> > > Пользователю-то от этого не легче.  "Работало -- сломалось".
> > Если пользователь хочет выполнять системые привилегированные
> > задачи, то это почти так же плохо, как и выполнение рутом
> > пользовательских задач.
> 
> И какая это привелегированная задача, если "раньше работало"?

Раньше работало неправильно, и root находил "левые" процессы, я об этом
писал в devel@

> > А pidof smbd nmbd никто и не отменял.  Разумеется, и гарантий,
> > что будет найдено то, что нужно, тоже никто не даст.
> 
> Вот.  На таких условиях хочу видеть нормальный service xxx status
> от пользователя.
> 
> Лучше синица в руке, чем журавль в небе, особенно если для
> смотрения на него нужно разрешение в кабмине. :-/

Я подумаю, как это лучше сделать.  FR на пакет service, please.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Serhiy Brytskyy]

>
>
>>Это еще почему?  Этак мы еще до -o noexec на /home из коробки
>>доберемся.  И останется только повеситься.
>>    
>>
>
>Хм, noexec на /home из коробки - это была бы неплохая опция
>для installer'а, стоит повесить FR.
>
>Равно как и
>nodev на /usr
>nosuid,nodev на /var
>noexec,nosuid,nodev на /tmp
>nosuid,nodev на /home
>  
>
Угу, а еще лучше # chown -R root:root /; chmod -R 600 *

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Igor Homyakov]

* Dmitry V. Levin <ldv @ altlinux . org> [030526 13:54]:

> nosuid,nodev на /var
при условии что /dev/(null|zero) никому не нужен (а это так ?)

-- 
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [sisyphus] fstab

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 253 bytes --]

On Mon, May 26, 2003 at 02:05:09PM +0400, Igor Homyakov wrote:
> > nosuid,nodev на /var
> при условии что /dev/(null|zero) никому не нужен (а это так ?)

При чем тут /dev/, я же написал про /var.
Опять же, речь идёт не о default'е, а об опции.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] fstab

[Igor Homyakov]

* Dmitry V. Levin <ldv @ altlinux . org> [030526 15:42]:
> On Mon, May 26, 2003 at 02:05:09PM +0400, Igor Homyakov wrote:
> > > nosuid,nodev на /var
> > при условии что /dev/(null|zero) никому не нужен (а это так ?)

> При чем тут /dev/, я же написал про /var.

я уже ответил на этот вопрос Алексею Морозову


-- 
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [sisyphus] [JT] start-stop-daemon

[Alexey Morozov]

On Mon, May 26, 2003 at 02:05:09PM +0400, Igor Homyakov wrote:
> > nosuid,nodev на /var
> при условии что /dev/(null|zero) никому не нужен (а это так ?)
Нет, что Вы. Самый полезный из имеющихся у меня на машине дивайсов.
Я серьезно.

Re: [sisyphus] [JT] start-stop-daemon

[Igor Homyakov]

* Alexey Morozov <morozov @ novosoft . ru> [030526 14:39]:
> On Mon, May 26, 2003 at 02:05:09PM +0400, Igor Homyakov wrote:
> > > nosuid,nodev на /var
> > при условии что /dev/(null|zero) никому не нужен (а это так ?)
> Нет, что Вы. Самый полезный из имеющихся у меня на машине дивайсов.

я имел в виду /var/lib/$DAEMON/dev/null Ест ли у нас демоны которым
нужен /dev/null в их CE ?

> Я серьезно.
я тоже.

-- 
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [sisyphus] [JT] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 535 bytes --]

On Mon, May 26, 2003 at 03:12:09PM +0400, Igor Homyakov wrote:
> * Alexey Morozov [030526 14:39]:
> > On Mon, May 26, 2003 at 02:05:09PM +0400, Igor Homyakov wrote:
> > > > nosuid,nodev на /var
> > > при условии что /dev/(null|zero) никому не нужен (а это так ?)
> > Нет, что Вы. Самый полезный из имеющихся у меня на машине дивайсов.
> 
> я имел в виду /var/lib/$DAEMON/dev/null Ест ли у нас демоны которым
> нужен /dev/null в их CE ?

Я фиксил всех таких демонов, которые мне попадались.
Возможно, какие-то мне не попались.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] [JT] start-stop-daemon

[Igor Homyakov]

* Dmitry V. Levin <ldv @ altlinux . org> [030526 16:15]:
> On Mon, May 26, 2003 at 03:12:09PM +0400, Igor Homyakov wrote:

> > я имел в виду /var/lib/$DAEMON/dev/null Ест ли у нас демоны которым
> > нужен /dev/null в их CE ?

> Я фиксил всех таких демонов, которые мне попадались.
> Возможно, какие-то мне не попались.

вопрос скорее для devel@ 

Распространенная практика когда после закрытия дискрипторов 1,2,3
открывается /dev/null, не мешает этому ? (и если да, то как это фиксить)

то есть код примерно такого вида 
for(i= 0; i < 3; i++)
  if(close(i) == -1 || open("/dev/null", O_RDWR) != i)
    error("Cannot reopen standard file descriptor (%d) -- %s\n", i, STRERROR);
  
-- 
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Ildar Mulyukov]

Полностью согласен с Дмитрием. Давно пора тщательно задекларировать 
группы и раздать права. Конечно, не стоит особенно заострять внимание на 
частностях (отдельные пакеты создают свои группы), хотя тоже надо явно 
прописать политику. Но главное - это системные группы пользователей со 
своими правами - группа консольных пользователей, группа имеющих доступ 
к raw-devices, группа мОгущих монтировать диски и т.д. В будущем - 
системные тулы для раздачи прав (поправка: для внесения пользователей в 
группы)
Это моё мнение, прошу воспринять великодушно.
С уважением, Ильдар.


Dmitry V. Levin пишет:
> On Mon, May 26, 2003 at 10:28:48AM +0300, Michael Shigorin wrote:
> 
>>On Mon, May 26, 2003 at 12:13:20AM +0400, Dmitry V. Levin wrote:
>>
>>>Можно сделать, чтобы оно запускало service crond userstatus
>>>Другое дело, что пользователю проверять статус системных
>>>сервисов не к лицу.
>>
>>Это еще почему?  Этак мы еще до -o noexec на /home из коробки
>>доберемся.  И останется только повеситься.
> 
> 
> Хм, noexec на /home из коробки - это была бы неплохая опция
> для installer'а, стоит повесить FR.
> 
> Равно как и
> nodev на /usr
> nosuid,nodev на /var
> noexec,nosuid,nodev на /tmp
> nosuid,nodev на /home
> 
> 
>>>>Пользователю-то от этого не легче.  "Работало -- сломалось".
>>>
>>>Если пользователь хочет выполнять системые привилегированные
>>>задачи, то это почти так же плохо, как и выполнение рутом
>>>пользовательских задач.
>>
>>И какая это привелегированная задача, если "раньше работало"?
> 
> 
> Раньше работало неправильно, и root находил "левые" процессы, я об этом
> писал в devel@
> 
> 
>>>А pidof smbd nmbd никто и не отменял.  Разумеется, и гарантий,
>>>что будет найдено то, что нужно, тоже никто не даст.
>>
>>Вот.  На таких условиях хочу видеть нормальный service xxx status
>>от пользователя.
>>
>>Лучше синица в руке, чем журавль в небе, особенно если для
>>смотрения на него нужно разрешение в кабмине. :-/
> 
> 
> Я подумаю, как это лучше сделать.  FR на пакет service, please.
> 
> 
> --
> ldv

-- 
Ildar  Mulyukov,
   free SW designer/programmer
================================================
email: ildar@users.sourceforge.net

projects: http://os-development.sourceforge.net/

home: http://www.faki.mipt.ru/~ildar
================================================

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 1855 bytes --]

On Mon, May 26, 2003 at 01:00:54PM +0400, Dmitry V. Levin wrote:
> > Это еще почему?  Этак мы еще до -o noexec на /home из коробки
> > доберемся.  И останется только повеситься.
> Хм, noexec на /home из коробки - это была бы неплохая опция для
> installer'а, стоит повесить FR.

Для безлюдных мест и администраторов-фашистов (см. определение по
Немет).

Т.е. я _знаю_, когда сам такое ставлю (и здесь упомянул, вполне
ожидая такую реакцию) -- но это все должно быть тщательно
взвешенными опциями, дефолты которых будут различны в разных
классах установки.

А не забивать гвоздь только потому, что он есть.

> Равно как и
> nodev на /usr
> nosuid,nodev на /var
> noexec,nosuid,nodev на /tmp
> nosuid,nodev на /home

Тоже неплохо, если:
1) управляется (!)
2) документировано (желательно вкратце -- тут же в рулилке в
   стиле pro et contra)

Посему #2616.

> > > > Пользователю-то от этого не легче.  "Работало -- сломалось".
> > > Если пользователь хочет выполнять системые
> > > привилегированные задачи, то это почти так же плохо, как и
> > > выполнение рутом пользовательских задач.
> > И какая это привелегированная задача, если "раньше работало"?
> Раньше работало неправильно, и root находил "левые" процессы, я
> об этом писал в devel@

Я знаю, но при чем тут пользователь, который "левых" процессов не
найдет (точнее, не повредит)?

То, что работало неправильно -- мало кого волновало, пока хоть
как-то работало.  "Нет совершенства в мире под луною".

> > > А pidof smbd nmbd никто и не отменял.  Разумеется, и
> > > гарантий, что будет найдено то, что нужно, тоже никто не
> > > даст.
> > Вот.  На таких условиях хочу видеть нормальный service xxx
> > status от пользователя.
> Я подумаю, как это лучше сделать.  FR на пакет service, please.

#2615

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Alexey Tourbin]

[-- Attachment #1: Type: text/plain, Size: 442 bytes --]

On Mon, May 26, 2003 at 06:49:46PM +0300, Michael Shigorin wrote:
> > Раньше работало неправильно, и root находил "левые" процессы, я
> > об этом писал в devel@
> 
> Я знаю, но при чем тут пользователь, который "левых" процессов не
> найдет (точнее, не повредит)?
> 
> То, что работало неправильно -- мало кого волновало, пока хоть
> как-то работало.  "Нет совершенства в мире под луною".

Нужно чтобы статус от юзера выдавал слово probably.

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Igor Homyakov]

* Alexey Tourbin <at @ altlinux . ru> [030527 07:35]:

> Нужно чтобы статус от юзера выдавал слово probably.

2 ldv@ кстати, очень здравая мысль !

-- 
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Борис Ревякин]

On Tue, 27 May 2003 10:22:58 +0400
Igor Homyakov <homyakov@ramax.spb.ru> wrote:

> 
> * Alexey Tourbin <at @ altlinux . ru> [030527 07:35]:
> 
> > Нужно чтобы статус от юзера выдавал слово probably.
> 
> 2 ldv@ кстати, очень здравая мысль !

Угу, и коэффициент вероятности не забыть указать.
Адепты, понимашь, искуственного интелекта...  ;-(

-- 
С уважением,
  нач.ОАСУ ЗАО "Урупский ГОК"
  Борис Ревякин			mailto:br@gin.ru
  
  
  

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 240 bytes --]

On Tue, May 27, 2003 at 04:55:55AM +0400, Alexey Tourbin wrote:
> Нужно чтобы статус от юзера выдавал слово probably.

Гениально! :)  Agreed.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]