From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Fri, 16 Jan 2004 14:36:04 +0200 From: Michael Shigorin To: sisyphus@altlinux.ru Subject: Re: [POLICY] uid/gid creation (was: [sisyphus] tftp...) Message-ID: <20040116123604.GV7231@osdn.org.ua> Mail-Followup-To: sisyphus@altlinux.ru, devel@altlinux.ru References: <200401142032.35587.a_s_y@sama.ru> <200401161040.36210.a_s_y@sama.ru> <20040116091718.GD7231@osdn.org.ua> <200401161503.52162.a_s_y@sama.ru> Mime-Version: 1.0 Content-Type: multipart/signed; micalg=pgp-sha1; protocol="application/pgp-signature"; boundary="mkHYMT4O8DyWoHkb" Content-Disposition: inline In-Reply-To: <200401161503.52162.a_s_y@sama.ru> User-Agent: Mutt/1.4.1i Cc: devel@altlinux.ru X-BeenThere: sisyphus@altlinux.ru X-Mailman-Version: 2.1.3 Precedence: list Reply-To: sisyphus@altlinux.ru List-Id: List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Fri, 16 Jan 2004 12:36:08 -0000 Archived-At: List-Archive: --mkHYMT4O8DyWoHkb Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit 2 devel: кажется, набросалась альфа политики по добавлению псевдопользователей. Требуются комментарии ldv@, в первую очередь. On Fri, Jan 16, 2004 at 03:03:51PM +0400, Sergey wrote: > Вообще, в спеке, который я за основу взял (PLD Linux), использован > такой вот вариант (недоработан по поводу GID почему-то...): Да, у меня в sympa.spec в итоге тоже так сделано (вспомнил!). Он происходит, кажется, от Mdk'шного с mixin'ами других. > %pre -n utftpd > if [ -n "`id -u tftp 2>/dev/null`" ]; then > if [ "`id -u tftp`" != "114" ]; then > echo "Error: user tftp doesn't have uid=114. Correct this before installing utftpd." 1>&2 > exit 1 > fi > else > echo "Adding user tftp UID=114." > /usr/sbin/useradd -u 114 -r -d /dev/null -s /dev/null -c "TFTP User" -g tftp tftp 1>&2 > fi > > В таком случае оно тоже не цепляется за другие пакеты особо... ...но, с другой стороны, при этом повышается скрытая чувствительность к беспределу в виде просто useradd -r (в т.ч. из уже установленных альтовских пакетов, которые так делают). > Что касается локального системного администратора... Это, как > раз, наоборот хорошо, как мне кажется, когда есть возможность > переставить систему и вернуть только пользовательские > настройки, рассчитывая, что ID не поменяются, вне зависимости > от порядка доустановки пакетов. Так о чем и речь. > > Сергей, эта тема уже обсуждалась -- если возьметесь написать > > предложение по пресловутой политике, ура. > Да я тут наобещал уже список Intel Etherexpress PRO, которые с > e100 работают, да ifup по поводу VLAN посмотреть. Пока опасаюсь > еще что-то обещать... :-) Ну так TODO и вычеркивать :-) Помогает. Можете на http://www.linux-os.ru/forums/arrangements/ забросить для себя и других на напоминание и выявление общих интересов. (2 avl: кстати про общие интересы: не хочешь сделать cards.atmsk.ru или cards.linux-os.ru на базе cards.sf.net?) > Могу только предложить вести публично (или в пакете > соответствующем) некий список UID/GID Да, в таком случае это понадобится, но будет скорее таким себе RFC, а не жесткой технологической зависимостью. Причем _проверять_ получится: списки в /usr/lib/rpm/ и завернуть процедуру добавления в компактный макрос -- тогда значения, которые ему передаются (имя/номер пользователя/группы) можно будет проверять на уникальность по референсному списку. Честно говоря, хотелось бы при этом минимизировать namespace clash с обычными пользовательскими аккаунтами каким-то префиксом/суффиксом: ведь пользовательские аккаунты вида "lp@" или "rpc@" (по инициалам) вполне можно себе представить, а проблема будет потихоньку заостряться с углублением privilege separation, особенно если майнтейнеры будут занимать короткие имена/акронимы. (если копнуть -- то здесь проблема с тем, что и люди, и проекты обычно стремятся иметь id в разумно краткой, уникальной и запоминающейся форме; а в /etc/passwd пользователи, представляющие людей, и псевдопользователи, представляющие проекты, как раз и пересекаются) > и, возможно, в useradd/groupadd проверку с предупреждением > вставить по поводу использования значений в предопределенной > области. Так -r? -- ---- WBR, Michael Shigorin ------ Linux.Kiev http://www.linux.kiev.ua/ --mkHYMT4O8DyWoHkb Content-Type: application/pgp-signature Content-Disposition: inline -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.1 (GNU/Linux) iD8DBQFAB9q0bsPDprYMm3IRArz8AJ0cKZCjh3VI0Bbf6f2FsyiWF8pDqgCcD6/p x0bWEB2X1wTcHVZ157+Ybx0= =SApV -----END PGP SIGNATURE----- --mkHYMT4O8DyWoHkb--