[Sysadmins] sudo? Как разграничить доступ?

[Sysadmins] sudo? Как разграничить доступ?

[Maxim Ivanov]

День добрый!

Прошу сильно не пинать, в манах смотрел, в рассылке искал, ни черта не 
нашел.
Если есть ссылка с дельной инструкцией - прошу дать.

Смысл вот в чем:
1) у меня сервера работают больше пяти лет (Alt Linux Master 2.4)
2) я тут один такой был
3) у меня появился помощник
4) ранее, если что было нужно - заходил и правил рутом
5) рутовый пароль не хочу говорить помощнику
6) помощнику нужен полный доступ к /usr/local/tomcat/ и возможность говорить
service tomcat stop
service tomcat start

Само собой, про sudo слышал. Все что удалось найти - совет - "настрой sudo".
Как? Ранее, повторюсь, сей сервис был не нужен. Может, под мои задачи
что-то иное нужно?
Понимаю, что не знаю элементарщины, посыпаю голову пеплом и т.д.
Помогите, а?
_____________________
С уважением,
Максим Иванов

Re: [Sysadmins] [Comm] sudo? Как разграничить доступ?

[Mikhail Gusarov]

[-- Attachment #1: Type: text/plain, Size: 419 bytes --]

Twas brillig at 16:10:02 26.02.2008 UTC+03 when Maxim Ivanov did gyre and gimble:

 MI> Само собой, про sudo слышал. Все что удалось найти - совет -
 MI> "настрой sudo".  Как?

Прочитать man sudoers. Там всё подробно описано.

 MI> Может, под мои задачи что-то иное нужно?

Оно, оно.

-- 

[-- Attachment #2: Type: application/pgp-signature, Size: 188 bytes --]

Re: [Sysadmins] sudo? Как разграничить доступ?

[Yurkovsky Andrey]

Maxim Ivanov wrote:

> Как? Ранее, повторюсь, сей сервис был не нужен. Может, под мои задачи
> что-то иное нужно?
> Понимаю, что не знаю элементарщины, посыпаю голову пеплом и т.д.
> Помогите, а?
Есть большая статья в трех частях "Как обойтись без прав root"
-- 
Yurkovsky Andrey

Re: [Sysadmins] sudo? Как разграничить доступ?

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 900 bytes --]

On Tue, Feb 26, 2008 at 04:10:02PM +0300, Maxim Ivanov wrote:

MI> 6) помощнику нужен полный доступ к /usr/local/tomcat/ и возможность говорить
MI> service tomcat stop
MI> service tomcat start
MI> Само собой, про sudo слышал. Все что удалось найти - совет - "настрой sudo".
MI> Как? Ранее, повторюсь, сей сервис был не нужен. Может, под мои задачи
MI> что-то иное нужно?
MI> Понимаю, что не знаю элементарщины, посыпаю голову пеплом и т.д.
MI> Помогите, а?

Разобраться с sudo достаточно просто :)
И нужен именно sudo :)

Вопрос лишь в том, что подразумевается под "полный доступ к
/usr/local/tomcat". Сделать возможность запускать service tomcat
stop/start с помощью sudo это две строчки в sudoers, а вот насчет "полного
доступа" вопрос сложноватый.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] sudo? Как разграничить доступ?

[Maxim Ivanov]

Денис Смирнов пишет:
> On Tue, Feb 26, 2008 at 04:10:02PM +0300, Maxim Ivanov wrote:
>
> MI> 6) помощнику нужен полный доступ к /usr/local/tomcat/ и возможность говорить
> MI> service tomcat stop
> MI> service tomcat start
> MI> Само собой, про sudo слышал. Все что удалось найти - совет - "настрой sudo".
> MI> Как? Ранее, повторюсь, сей сервис был не нужен. Может, под мои задачи
> MI> что-то иное нужно?
> MI> Понимаю, что не знаю элементарщины, посыпаю голову пеплом и т.д.
> MI> Помогите, а?
>
> Разобраться с sudo достаточно просто :)
> И нужен именно sudo :)
>
> Вопрос лишь в том, что подразумевается под "полный доступ к
> /usr/local/tomcat". Сделать возможность запускать service tomcat
> stop/start с помощью sudo это две строчки в sudoers, а вот насчет "полного
> доступа" вопрос сложноватый.
>
>   
-rw-r--r--  1 tomcat6 tomcat6  11358 Jul 20  2007 LICENSE
-rw-r--r--  1 tomcat6 tomcat6    556 Jul 20  2007 NOTICE
-rw-r--r--  1 tomcat6 tomcat6   6656 Jul 20  2007 RELEASE-NOTES
-rw-r--r--  1 tomcat6 tomcat6   5682 Jul 20  2007 RUNNING.txt
drwxr-xr-x  3 tomcat6 tomcat6    888 Dec  5 15:33 bin
drwxr-xr-x  2 tomcat6 tomcat6    280 Jan  9 12:55 conf
drwxr-xr-x  2 tomcat6 tomcat6    608 Jul 20  2007 lib
drwxr-xr-x  2 tomcat6 tomcat6     80 Dec  5 15:34 logs
drwxr-xr-x  2 tomcat6 tomcat6     80 Jul 20  2007 temp
-rw-r--r--  1 tomcat6 tomcat6 183282 Jan  9 12:59 warm.log
drwxr-xr-x  8 tomcat6 tomcat6    232 Dec  5 15:38 webapps
drwxr-xr-x  3 tomcat6 tomcat6     72 Dec  5 15:34 work


Собственно, интересует доступ к каталогу
webapps и файлу warm.log.
Программисты должны иметь возможность
выкладывать новую версию своего нетленного творения,
смотреть логи. Ну, может, чего-то еще....
Я в их дела не лезу. Потому и сказал, что на весь каталог.
__________________
С уважением,
Максим Иванов

Re: [Sysadmins] sudo? Как разграничить доступ?

[Marat Khayrullin]

В сообщении от Wednesday 27 February 2008 12:53:52 Maxim Ivanov написал(а):
>
> Собственно, интересует доступ к каталогу
> webapps и файлу warm.log.
> Программисты должны иметь возможность
> выкладывать новую версию своего нетленного творения,
> смотреть логи. Ну, может, чего-то еще....
> Я в их дела не лезу. Потому и сказал, что на весь каталог.

Через sudo разрешить запускать команду "su - tomcat6"

Re: [Sysadmins] sudo? Как разграничить доступ?

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 1371 bytes --]

On Wed, Feb 27, 2008 at 12:53:52PM +0300, Maxim Ivanov wrote:
 MI> -rw-r--r--  1 tomcat6 tomcat6  11358 Jul 20  2007 LICENSE
 MI> -rw-r--r--  1 tomcat6 tomcat6    556 Jul 20  2007 NOTICE
 MI> -rw-r--r--  1 tomcat6 tomcat6   6656 Jul 20  2007 RELEASE-NOTES
 MI> -rw-r--r--  1 tomcat6 tomcat6   5682 Jul 20  2007 RUNNING.txt
 MI> drwxr-xr-x  3 tomcat6 tomcat6    888 Dec  5 15:33 bin
 MI> drwxr-xr-x  2 tomcat6 tomcat6    280 Jan  9 12:55 conf
 MI> drwxr-xr-x  2 tomcat6 tomcat6    608 Jul 20  2007 lib
 MI> drwxr-xr-x  2 tomcat6 tomcat6     80 Dec  5 15:34 logs
 MI> drwxr-xr-x  2 tomcat6 tomcat6     80 Jul 20  2007 temp
 MI> -rw-r--r--  1 tomcat6 tomcat6 183282 Jan  9 12:59 warm.log
 MI> drwxr-xr-x  8 tomcat6 tomcat6    232 Dec  5 15:38 webapps
 MI> drwxr-xr-x  3 tomcat6 tomcat6     72 Dec  5 15:34 work
 MI> Собственно, интересует доступ к каталогу
 MI> webapps и файлу warm.log.
 MI> Программисты должны иметь возможность
 MI> выкладывать новую версию своего нетленного творения,
 MI> смотреть логи. Ну, может, чего-то еще....
 MI> Я в их дела не лезу. Потому и сказал, что на весь каталог.

Раз все это от юзера tomcat6 -- можно им всем просто позволить с помощью
sudo получать привилегии этого самого tomcat6.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] sudo? Как разграничить доступ?

[Alexander Yereschenko]

Доброе!
В сообщении от 27 февраля 2008 Maxim Ivanov написал(a):
> Денис Смирнов пишет:
> > On Tue, Feb 26, 2008 at 04:10:02PM +0300, Maxim Ivanov wrote:
> > Вопрос лишь в том, что подразумевается под "полный доступ к
> > /usr/local/tomcat". Сделать возможность запускать service tomcat
> > stop/start с помощью sudo это две строчки в sudoers, а вот насчет
> > "полного доступа" вопрос сложноватый.
>
> -rw-r--r--  1 tomcat6 tomcat6  11358 Jul 20  2007 LICENSE
> -rw-r--r--  1 tomcat6 tomcat6    556 Jul 20  2007 NOTICE
> -rw-r--r--  1 tomcat6 tomcat6   6656 Jul 20  2007 RELEASE-NOTES
> -rw-r--r--  1 tomcat6 tomcat6   5682 Jul 20  2007 RUNNING.txt
> drwxr-xr-x  3 tomcat6 tomcat6    888 Dec  5 15:33 bin
> drwxr-xr-x  2 tomcat6 tomcat6    280 Jan  9 12:55 conf
> drwxr-xr-x  2 tomcat6 tomcat6    608 Jul 20  2007 lib
> drwxr-xr-x  2 tomcat6 tomcat6     80 Dec  5 15:34 logs
> drwxr-xr-x  2 tomcat6 tomcat6     80 Jul 20  2007 temp
> -rw-r--r--  1 tomcat6 tomcat6 183282 Jan  9 12:59 warm.log
> drwxr-xr-x  8 tomcat6 tomcat6    232 Dec  5 15:38 webapps
> drwxr-xr-x  3 tomcat6 tomcat6     72 Dec  5 15:34 work
>
>
> Собственно, интересует доступ к каталогу
> webapps и файлу warm.log.
> Программисты должны иметь возможность
> выкладывать новую версию своего нетленного творения,
> смотреть логи. Ну, может, чего-то еще....
> Я в их дела не лезу. Потому и сказал, что на весь каталог.

Внести этих программистов в группу tomcat6
И пусть уже несут ответственность за его работоспособность (к вопросу о 
случайно измененных/удаленных файлах)


--
Alexander

Re: [Sysadmins] sudo? Как разграничить доступ?

[Alexander Yereschenko]

Доброе!
В сообщении от 27 февраля 2008 Alexander Yereschenko написал(a):

> > -rw-r--r--  1 tomcat6 tomcat6 183282 Jan  9 12:59 warm.log
> > drwxr-xr-x  8 tomcat6 tomcat6    232 Dec  5 15:38 webapps
> > drwxr-xr-x  3 tomcat6 tomcat6     72 Dec  5 15:34 work
> >
> >
> > Собственно, интересует доступ к каталогу
> > webapps и файлу warm.log.
> > Программисты должны иметь возможность
> > выкладывать новую версию своего нетленного творения,
> > смотреть логи. Ну, может, чего-то еще....
> > Я в их дела не лезу. Потому и сказал, что на весь каталог.
>
> Внести этих программистов в группу tomcat6
> И пусть уже несут ответственность за его работоспособность (к вопросу о
> случайно измененных/удаленных файлах)

Да, и конечно выставить chmod -R g+w warm.log webapps

Может еще им (программистам) придется  более внимательно следить за 
правами/владельцем-группой созданных самостоятельно файлов...

--
Alexander

Re: [Sysadmins] sudo? Как разграничить доступ?

[Andrey Alexandrov]

Или как вариант разобраться с setfacl

27.02.08, Alexander Yereschenko<ave@zetetika.com.ua> написал(а):
> Доброе!
>  В сообщении от 27 февраля 2008 Alexander Yereschenko написал(a):
>
>
>  > > -rw-r--r--  1 tomcat6 tomcat6 183282 Jan  9 12:59 warm.log
>  > > drwxr-xr-x  8 tomcat6 tomcat6    232 Dec  5 15:38 webapps
>  > > drwxr-xr-x  3 tomcat6 tomcat6     72 Dec  5 15:34 work
>  > >
>  > >
>  > > Собственно, интересует доступ к каталогу
>  > > webapps и файлу warm.log.
>  > > Программисты должны иметь возможность
>  > > выкладывать новую версию своего нетленного творения,
>  > > смотреть логи. Ну, может, чего-то еще....
>  > > Я в их дела не лезу. Потому и сказал, что на весь каталог.
>  >
>  > Внести этих программистов в группу tomcat6
>  > И пусть уже несут ответственность за его работоспособность (к вопросу о
>  > случайно измененных/удаленных файлах)
>
>
> Да, и конечно выставить chmod -R g+w warm.log webapps
>
>  Может еще им (программистам) придется  более внимательно следить за
>  правами/владельцем-группой созданных самостоятельно файлов...
>
>
>  --
>  Alexander
>  _______________________________________________
>  Sysadmins mailing list
>  Sysadmins@lists.altlinux.org
>  https://lists.altlinux.org/mailman/listinfo/sysadmins
>


-- 
С ув. Андрей Александров