อนุญาตให้ผู้ใช้อ่านโฮมไดเร็กตอรี่ของผู้ใช้คนอื่น ๆ

ฉันยังใหม่ต่อการดูแลระบบและฉันมีคำถามเกี่ยวกับการอนุญาต administrationฉันมีกลุ่มที่เรียกว่า ภายในadministrationกลุ่มผมมีผู้ใช้user1, user2, ,user3 superuserผู้ใช้ทั้งหมดอยู่ในadministrationกลุ่ม ตอนนี้ฉันต้องให้สิทธิ์แก่ผู้ใช้superuserเพื่อให้สามารถดู/homeไดเรกทอรีของผู้ใช้รายอื่น แต่ผมไม่ต้องการuser1, user2, user3เพื่อดูบ้านของผู้ใช้อื่น ๆ อื่นที่ไม่ใช่ตัวเอง (นั่นคือuser1ควรจะสามารถเห็นuser1บ้านของคนอื่นได้เท่านั้น)

ฉันสร้างผู้ใช้และกลุ่มและมอบหมายผู้ใช้ทั้งหมดให้กับกลุ่ม ฉันจะระบุการอนุญาตสำหรับsuperuserตอนนี้ได้อย่างไร

กล่าวอีกนัยหนึ่งฉันคิดว่ามีสองกลุ่ม (พูดNormalUsersและSuperuser) NormalUsersกลุ่มจะมีผู้ใช้user1, และuser2 กลุ่มเดียวจะมีผู้ใช้ ตอนนี้ฉันจำเป็นต้องมีการเข้าถึงไฟล์ของผู้ใช้ในกลุ่มอย่างสมบูรณ์ เป็นไปได้ใน Linux?user3SuperuserSuperuserSuperuserNormalUsers

หากผู้ใช้มีความร่วมมือคุณสามารถใช้รายการควบคุมการเข้าถึง (ACL) ตั้ง ACL ในไดเรกทอรีบ้านของuser1(และเพื่อน) superuserที่ทุนอ่านเข้าถึง ตั้งค่า ACL เริ่มต้นเช่นกันสำหรับไฟล์ที่สร้างขึ้นใหม่และ ACL ในไฟล์ที่มีอยู่

setfacl -R -m user:superuser:rx ~user1
setfacl -d -R -m user:superuser:rx ~user1

user1 สามารถเปลี่ยน ACL ในไฟล์ของเขาได้หากต้องการ

หากคุณต้องการที่จะมักจะให้superuserการเข้าถึงแบบอ่านไปuser1ของไฟล์ที่คุณสามารถสร้างมุมมองของผู้ใช้อื่นไดเรกทอรีบ้านกับสิทธิ์ที่แตกต่างกันกับbindfs

mkdir -p ~superuser/spyglass/user1
chown superuser ~superuser/spyglass
chmod 700 ~superuser/spyglass
bindfs -p a+rX-w ~user1 ~superuser/spyglass/user1

ไฟล์ที่เข้าถึงผ่าน ~ superuser / spyglass / user1 สามารถอ่านได้ทั่วโลก นอกจากสิทธิ์~superuser/spyglass/user1เป็นมุมมองของuser1โฮมไดเร็กตอรี่ของ เนื่องจากsuperuserเป็นผู้ใช้รายเดียวที่สามารถเข้าถึง~superuser/spyglassได้เท่านั้นsuperuserจึงจะได้รับประโยชน์จากสิ่งนี้

คุณสามารถใช้ ACL เพื่อให้สิทธิ์การเข้าถึงไดเรกทอรีเฉพาะกับกลุ่มใดก็ได้

ตัวอย่างเช่นถ้าคุณวิ่งsetfacl -m g:dba:rwx /home/fooสมาชิกของกลุ่ม dba จะมีสิทธิ์ rwx อยู่โดยไม่คำนึงว่ากลุ่มใดเป็นเจ้าของไดเรกทอรี

คุณอาจต้องการตั้งค่า "เริ่มต้น" ACL (ACL สำหรับวัตถุที่สร้างขึ้นใหม่ภายในไดเรกทอรี) เพื่อรวมสิทธิ์นี้ด้วย

น่าเสียดายที่มันไม่มีวิธีการใด ๆ ที่จะทำสิ่งนี้โดยตรงบน vanilla Linux

คุณอาจจะสามารถสร้างกลุ่มใหม่ใน sudoers สำหรับผู้ดูแลระบบบางส่วนด้วยรายการสีขาวของคำสั่งที่ยอมรับได้ที่คุณต้องการให้พวกเขาทำงาน

อย่างไรก็ตามเพื่อให้ได้สิ่งที่คุณต้องการอย่างแท้จริงคุณจะต้องใช้ Apparmor หรือ SELinux เพื่อให้ได้สิ่งที่คุณต้องการ น่าเสียดายที่ไม่มีเครื่องมือเหล่านี้ติดตั้งและใช้งานได้ง่ายและตัวอย่างอยู่นอกขอบเขตของคำตอบอย่างรวดเร็วที่นี่