কোনও ব্যবহারকারীকে কিছু অন্যান্য ব্যবহারকারীর হোম ডিরেক্টরি পড়ার অনুমতি দিন

Question

আমি সিস্টেম প্রশাসনে নতুন এবং আমার কাছে অনুমতি সম্পর্কিত কোয়েরি রয়েছে। আমি একদল নামের administration। ইনসাইড administrationগ্রুপ, আমি ব্যবহারকারীগণ আছে user1, user2, user3, superuser। সমস্ত ব্যবহারকারী administrationগ্রুপে আছেন are অন্যান্য ব্যবহারকারীদের ডিরেক্টরি superuserদেখতে সক্ষম হতে এখন আমার অনুমতি দেওয়া দরকার /home। যাইহোক, আমি চাই না user1, user2, user3নিজে ছাড়া অন্য কোনও ব্যবহারকারী বাড়িতে দেখতে। (এটি হ'ল user1কেবলমাত্র user1বাড়িঘর ইত্যাদি দেখতে পারা উচিত )।

আমি ব্যবহারকারী এবং গোষ্ঠী তৈরি করেছি এবং সমস্ত ব্যবহারকারীকে গ্রুপে নিয়োগ করেছি assigned আমি এখনকারের জন্য অনুমতিগুলি কীভাবে নির্দিষ্ট করব superuser?

অন্য কথায়, আমি দুটি গ্রুপ (বলুন NormalUsersএবং Superuser) রাখার কথা ভাবছি । NormalUsersগ্রুপ ব্যবহারকারীদের থাকবে user1, user2এবং user3। Superuserগ্রুপটিতে কেবল ব্যবহারকারী থাকবে Superuser। এখন, Superuserগ্রুপের ব্যবহারকারীদের ফাইলে আমার সম্পূর্ণ অ্যাক্সেস থাকা দরকার NormalUsers। লিনাক্স এ কি সম্ভব?

Comments

এটি আপনার আগের প্রশ্নের চেয়ে আলাদা কীভাবে ?

— গিলস 'অশুভ হওয়া বন্ধ করুন'

আমার আগের প্রশ্নে, আমি / etc / sudoers ফাইল সম্পাদনা এবং আংশিক প্রশাসক হিসাবে ব্যবহারকারীকে তৈরি করার বিষয়ে আরও বেশি আগ্রহী ছিলাম। এখানে, আমি একটি স্থানীয় ব্যবহারকারীর অনুমতিগুলি সংশোধন করার চেষ্টা করছি। হ্যাঁ, এটি অর্জন করার চেষ্টা করছি তার অনুরূপ, তবে আমি এখানে একটি ভিন্ন পদ্ধতির কাছে যাওয়ার চেষ্টা করছি।

— রমেশ

Answer 1

ব্যবহারকারীরা যদি সহযোগিতা করেন তবে আপনি অ্যাক্সেস কন্ট্রোল তালিকা (এসিএল) ব্যবহার করতে পারেন । user1(এবং বন্ধুদের) এর হোম ডিরেক্টরিতে একটি এসিএল সেট করুন যা এতে পাঠ্য অ্যাক্সেসকে মঞ্জুরি দেয় superuser। নতুন তৈরি করা ফাইলগুলির জন্য এবং বিদ্যমান ফাইলগুলিতে এসিএলকেও ডিফল্ট এসিএল সেট করুন।

setfacl -R -m user:superuser:rx ~user1
setfacl -d -R -m user:superuser:rx ~user1

user1 তিনি চাইলে তার ফাইলগুলিতে এসিএল পরিবর্তন করতে পারেন।

আপনি যদি সর্বদা ফাইলগুলির ফাইলগুলিতে superuserপঠন অ্যাক্সেস দিতে চান তবে আপনি বাইন্ডফuser1 সহ বিভিন্ন অনুমতি সহ ব্যবহারকারীদের হোম ডিরেক্টরিগুলির অন্য একটি ভিউ তৈরি করতে পারেন ।

mkdir -p ~superuser/spyglass/user1
chown superuser ~superuser/spyglass
chmod 700 ~superuser/spyglass
bindfs -p a+rX-w ~user1 ~superuser/spyglass/user1

~ সুপারউজার / স্পাইগ্লাস / ইউজার 1 এর মাধ্যমে অ্যাক্সেস করা ফাইলগুলি বিশ্ব-পঠনযোগ্য। অনুমতি ব্যতীত, হোম ডিরেক্টরিতে ~superuser/spyglass/user1একটি দৃশ্য user1। যেহেতু superuserএকমাত্র ব্যবহারকারী যিনি অ্যাক্সেস করতে পারবেন ~superuser/spyglassকেবলমাত্র superuserএটির দ্বারা উপকৃত হতে পারবেন।

Comments

আমার সিস্টেম অন, অনুমতি ও ব্যবহারকারীর নাম অদলবদল করা হয়: setfacl -R -m user:superuser:rx ~user1।

— অরলিয়ান ওমস

Answer 2

আপনি স্বেচ্ছাসেবীর গোষ্ঠীতে একটি নির্দিষ্ট ডিরেক্টরিতে অ্যাক্সেস দেওয়ার জন্য ACL গুলি ব্যবহার করতে পারেন।

উদাহরণস্বরূপ, আপনি যদি দৌড়ে যান setfacl -m g:dba:rwx /home/fooতবে ডিবিএ গ্রুপের সদস্যদের ডিরেক্টরিতে কোনও গ্রুপের মালিক না হয়েও এতে rwx অনুমতি থাকবে।

আপনি সম্ভবত এই অনুমতিটি অন্তর্ভুক্ত করতে "ডিফল্ট" এসিএল (ডিরেক্টরিতে নতুন তৈরি করা সামগ্রীর জন্য এসিএল) সেট করতেও চাইবেন।

Comments

হ্যাঁ, ঠিক..আমিও এটি খুঁজে পেয়েছি তবে এখনও নিশ্চিত নয় যে এলডিএপি ব্যবহারকারীদের জন্য সার্ভারে এসিএল প্রদান করা ভাল ধারণা কিনা।

— রমেশ

@ রামেশ ওয়েল, যদি তারা সিস্টেমে ব্যবহারকারী হন (কারণ আপনি এনএসএস-এলডিপ, এসএসডি ইত্যাদি ব্যবহার করেন) তবে কেন তা ঠিক হবে না তা আমি নিশ্চিত নই।

— ডারোবার্ট

আমি এটি পরীক্ষার বিছানায় প্রতিলিপি দেওয়ার চেষ্টা করছিলাম। ব্যবহারকারী হিসাবে লগ ইন করার সময় (উদাহরণস্বরূপ foo), আমি "অনুমতিগুলি 644 তে সেট করা উচিত" হিসাবে একটি সতর্কতা বার্তা দেখছি। আমি বিশ্বাস করি সতর্কতা উপেক্ষা করা যেতে পারে। তবে, আমি চাই না যে ল্যাব ব্যবহারকারীরা তাদের ব্যবহারকারী অ্যাকাউন্টগুলির সাথে আপস করা হয়েছে তা জানতে। আমি যখন setfacl কমান্ডে rwx পরিবর্তন করে কেবল r তে পরিণত করি, তখন আমি foo এর ডিরেক্টরিটি দেখতে পাচ্ছি না।

— রমেশ

@ রমেশ আপনাকে ডিরেক্টরিগুলি দিয়ে যাওয়ার জন্য + এক্সের প্রয়োজন x আমি নিশ্চিত না যে আপনাকে কী বলছে যে একটি ডিরেক্টরি 644 হওয়া উচিত, এটি নির্বোধ, এটি 755 বা অনুরূপ হওয়া উচিত। তবে যে কোনও উপায়েই, ব্যবহারকারীরা এল এর অনুমতি ক্ষেত্রে একটি + দেখতে পাবে এবং এটি দেখার জন্য গেটফ্যাকল চালাতে পারে - এটি গোপন নয়।

— ডারোবার্ট

ঠিক আছে, আমি সতর্কতা বার্তাটি পেয়েছিলাম, ব্যবহারকারীর OME হোম ডিরেক্টরিটি অবশ্যই ব্যবহারকারীর মালিকানাধীন এবং অন্য ব্যবহারকারীদের দ্বারা লিখিতযোগ্য নয়। আমি সেটাকল কমান্ডে লেখার অনুমতিটি সরিয়েছি এবং এখন আমি সতর্কতা বার্তাটি দেখতে পাচ্ছি না।

— রমেশ

Answer 3

দুর্ভাগ্যক্রমে, ভ্যানিলা লিনাক্সে সরাসরি এটি করার কোনও উপায় নেই।

আপনি আংশিক-প্রশাসকদের জন্য গ্রহণযোগ্য কমান্ডগুলির একটি সাদা তালিকা সহ আপনি যেগুলি চালনার অনুমতি দিতে চান সেগুলি সহ sudoers এ একটি নতুন গোষ্ঠী তৈরি করতে সক্ষম হতে পারেন।

তবে, আপনি যা চাইছেন ঠিক তা অর্জন করতে আপনার যা চান তা অর্জন করতে আপনাকে অ্যাপ্পর্মার বা সেলইনক্স ব্যবহার করতে হবে। দুর্ভাগ্যক্রমে, এই সরঞ্জামগুলির কোনওটিই সেট আপ এবং ব্যবহার করা সহজ নয় এবং উদাহরণগুলি এখানে একটি উত্তরের উত্তরের বাইরে far

Comments

লিনাক্স কিছু সময়ের জন্য এসিএলকে সমর্থন করেছে। এসিএলগুলি আপনাকে এটি করতে দেয়।

— ডারোবার্ট

হ্যাঁ, আমি সবেমাত্র সেই সমাধানটি পেয়েছি এবং উত্তরটি আপডেট করেছি। তবে এটি এখনও সার্ভারে ব্যবহার করা যাবে কিনা তা আমি জানি না এবং তাও এলডিএপি ব্যবহারকারীদের জন্য।

— রমেশ

@डरবার্ট আমি যা বুঝি সেগুলি থেকে এক সাথে অ্যাক্সেস সীমাবদ্ধ করতে এসিএল ব্যবহার করার সময় সুডোর মাধ্যমে কাউকে রুট স্তরের অনুমতি দেওয়া অসম্ভব। এটি অর্জনের জন্য আপনাকে সেলইনাক্স বা অন্য কোনও ম্যাক ব্যবহার করতে হবে।

— সুইস

আমি মনে করি যখন ওপি ব্যবহারকারী "সুপারইউসার" বলবে তখন তার অর্থ আক্ষরিক - মূল নয়।

— ডারোবার্ট