[sisyphus] Mailman groups (was: Postfix vs. aliases owner)

[Grigory Batalov <bga@altlinux.org>]

On Fri, 2 Mar 2007 01:45:47 +0300, Dmitry V. Levin wrote:

> > > > Нормально ли, что письмо, полученное постфиксом, обрабатывается от имени
> > > > владельца aliases.cdb?
> > > 
> > > Цитирую local(8):
> > > 
> > > DELIVERY RIGHTS
> > > 	Deliveries to external files and external commands are made with
> > > 	the rights of the receiving user on whose behalf the delivery
> > > 	is made.  In the absence of a user context, the local(8) daemon
> > > 	uses the owner rights of the :include: file or alias database.
> > > 	When those files are owned by the superuser, delivery is made
> > > 	with the rights specified with the default_privs configuration
> > > 	parameter.
> > > 
> > > Таким это поведение было всегда.
> > > 
> > > А в чём, собственно говоря, проблема?
> > 
> >   Это я от неожиданности =). Уже разобрался, как быть.
> 
> И как же быть? ;)

  Этот файл (aliases.cdb) вероятнее всего будут создавать администраторы
  списков или root. Т.е. нужно разрешить запускать mail- и cgi-обработчики
  (у них внутри собственная проверка) группам mailmanadm и postman. Это просто.

  Но есть другая проблема.
  Консольному создателю списков нужен доступ на запись в /etc/mailman/aliases.
  У нас это реализовано группой mailmanadm и правами g+w. Однако, есть ещё
  cgi-программа для создания списков. Она запускается веб-сервером, например,
  apache, с битом SGID mailman, чтобы писать в логи и создавать файлы в
  /var/lib/mailman/lists/ и т.п. При этом она не может обновить aliases, т.к.
  группа этого файла - mailmanadm.

  С другой стороны, даже консольному админу нужно членство в группе mailman,
  т.к. он тоже хочет писать в /var/lib/mailman/lists/ . Консольные скрипты -
  это текст на питоне, так что SUID/SGID им не выставить.

  Пока что я склоняюсь упразднить группу mailmanadm, а админов включать
  в группу mailman.

-- 
 Grigory Batalov,
 ALT Linux Team