Предоставьте пользователю доступ для чтения / записи только к одному каталогу

Я использую сервер, и мне нужно предоставить доступ на чтение / запись к определенному каталогу одному пользователю. Я пробовал следующее:

sudo adduser abcd
sudo groupadd abcdefg
chown -R .abcdefg /var/www/allowfolder
chmod -R g+rw /var/www/allowfolder
usermod -a -G comments abcd

Вышеприведенное, кажется, работает, однако оно предоставляет пользователю доступ только для чтения к остальной части сервера.

Как настроить разрешения, чтобы пользователь мог только читать и писать в определенную папку? Пользователь также должен иметь возможность запускать такие программы, как mysql.

Отрицательные ACL

Вы можете запретить пользователю доступ к определенным частям файловой системы, настроив списки контроля доступа . Например, чтобы гарантировать, что пользователь abcdне может получить доступ к любому файлу в /home:

setfacl -m user:abcd:0 /home

Этот подход прост, но вы должны помнить, чтобы заблокировать доступ ко всему, что вы не хотите abcdиметь доступ.

корневой

Чтобы получить положительный контроль над тем, что abcdвидите, установите chroot , то есть ограничьте пользователя поддеревом файловой системы.

Вам нужно сделать все файлы, которые нужны пользователю (например, mysqlи все его зависимости, если вы хотите, чтобы пользователь мог запускаться mysql) под chroot. Скажите, что путь к chroot есть /home/restricted/abcd; mysqlпрограмма должна быть доступна под /home/restricted/abcd. Символическая ссылка, указывающая вне chroot, бесполезна, потому что поиск символической ссылки затронут тюрьмой chroot. Под Linux вы можете использовать bind mounts:

mount --rbind /bin /home/restricted/abcd/bin
mount --rbind /dev /home/restricted/abcd/dev
mount --rbind /etc /home/restricted/abcd/dev
mount --rbind /lib /home/restricted/abcd/lib
mount --rbind /proc /home/restricted/abcd/proc
mount --rbind /sbin /home/restricted/abcd/sbin
mount --rbind /sys /home/restricted/abcd/sys
mount --rbind /usr /home/restricted/abcd/usr

Вы также можете копировать файлы (но тогда вам нужно позаботиться о том, чтобы они были в курсе).

Чтобы ограничить пользователя chroot, добавьте ChrootDirectoryдирективу /etc/sshd_config.

Match User abcd
    ChrootDirectory /home/restricted/abcd

Вы можете проверить это с: chroot --userspec=abcd /home/restricted/abcd/ /bin/bash

Рамки безопасности

Вы также можете использовать каркасы безопасности, такие как SELinux или AppArmor. В обоих случаях вам нужно написать довольно деликатную конфигурацию, чтобы убедиться, что вы не оставляете никаких дыр.

Вы должны использовать chroot. Команда chrootизменяет корневой каталог, который видят все дочерние процессы. Я приведу пример, чтобы продемонстрировать, как это работает.

Это было написано на месте; Я сейчас не перед машиной UNIX. В этом примере есть директория dirс тремя файлами: a, b, c, и ls. Первые три являются обычными файлами. lsявляется жесткой ссылкой на настоящий lsдвоичный файл, так что мы можем перечислять файлы, находясь в chroot.

Я собираюсь chrootв dir. (Обратите внимание, что я, вероятно, забыл некоторые каталоги в корневом каталоге.)

Вот настройка в форме вывода оболочки:

$ pwd
/home/alex/test
$ l
dir
$ ls dir
a b c ls
$ ./ls dir # does the same thing
a b c ls
$ ls /
bin boot dev etc home mnt media proc sbin sys usr var

Теперь я буду chrootв dir. В /bin/bashвыбирает аргумент , что процесс должен быть запущен с новой корневой директории. По умолчанию оно /bin/sh.

$ chroot /bin/bash dir
$ # this prompt is now from a subprocess running in the new root directory
$ PATH=/ ls
a b c ls
$ pwd
/

Теперь мы выходим из chroot:

$ exit
$ # this prompt is now from the original bash process, from before the chroot
$ pwd
/home/alex/test

Я надеюсь, что это иллюстрирует, как chrootработает команда. В основном, что вам нужно сделать, чтобы решить вашу проблему, это запускать chrootкоманду от имени этого пользователя каждый раз, когда он входит в систему. Возможно, поместить ее в сценарий запуска?

Жесткая ссылка на файл будет продолжать работать внутри chroot, даже если к этому файлу нельзя получить доступ другими способами (это работает, потому что жесткие ссылки указывают на inode, а не на пути). Итак, чтобы позволить пользователю получить доступ, например, к mysqlкоманде, вы должны выполнить:

ln /usr/bin/mysql /path/to/chroot/target