하나의 디렉토리에만 사용자에게 읽기 / 쓰기 액세스 권한 부여

서버를 실행 중이며 단일 사용자에게 특정 디렉토리에 대한 읽기 / 쓰기 액세스 권한을 부여해야합니다. 나는 다음을 시도했다.

sudo adduser abcd
sudo groupadd abcdefg
chown -R .abcdefg /var/www/allowfolder
chmod -R g+rw /var/www/allowfolder
usermod -a -G comments abcd

위의 방법은 작동하는 것처럼 보이지만 사용자에게 나머지 서버에 대한 읽기 전용 액세스 권한을 부여합니다.

사용자가 특정 폴더를 읽고 쓸 수 있도록 권한을 설정하는 방법은 무엇입니까? 사용자는 또한 다음과 같은 프로그램을 실행할 수 있어야합니다 mysql.

부정적인 ACL

액세스 제어 목록 을 설정하여 사용자가 파일 시스템의 특정 부분에 액세스하지 못하게 할 수 있습니다 . 예를 들어, 사용자 abcd가 다음에있는 파일에 액세스 할 수 없도록하려면 다음을 수행하십시오 /home.

setfacl -m user:abcd:0 /home

이 방법은 간단하지만 액세스하고 싶지 않은 모든 항목에 대한 액세스를 차단해야합니다 abcd.

root

abcd볼 수 있는 것을 긍정적으로 제어하려면 chroot를 설정하십시오 . 즉, 파일 시스템의 하위 트리로 사용자를 제한하십시오.

chroot 아래에서 사용자가 필요로하는 모든 파일 (예 : mysql사용자가 실행할 수있는 경우 모든 종속 항목) 을 만들어야합니다 mysql. chroot의 경로는 다음과 같습니다 /home/restricted/abcd. 아래에서 mysql프로그램을 사용할 수 있어야합니다 /home/restricted/abcd. chroot 외부에있는 기호 링크는 기호 링크 조회가 chroot jail의 영향을 받기 때문에 좋지 않습니다. Linux에서는 바인드 마운트를 잘 활용할 수 있습니다.

mount --rbind /bin /home/restricted/abcd/bin
mount --rbind /dev /home/restricted/abcd/dev
mount --rbind /etc /home/restricted/abcd/dev
mount --rbind /lib /home/restricted/abcd/lib
mount --rbind /proc /home/restricted/abcd/proc
mount --rbind /sbin /home/restricted/abcd/sbin
mount --rbind /sys /home/restricted/abcd/sys
mount --rbind /usr /home/restricted/abcd/usr

파일을 복사 할 수도 있습니다 (그러나 최신 상태인지 확인해야합니다).

사용자를 chroot로 제한하려면에 ChrootDirectory지시문을 추가하십시오 /etc/sshd_config.

Match User abcd
    ChrootDirectory /home/restricted/abcd

다음과 같이 테스트 할 수 있습니다. chroot --userspec=abcd /home/restricted/abcd/ /bin/bash

보안 프레임 워크

SELinux 또는 AppArmor와 같은 보안 프레임 워크를 사용할 수도 있습니다. 두 경우 모두 구멍을 남기지 않도록 상당히 섬세한 구성을 작성해야합니다.

을 사용해야합니다 chroot. 이 chroot명령은 모든 하위 프로세스가 보는 루트 디렉토리를 변경합니다. 작동 방식을 보여주는 예를 들어 보겠습니다.

이것은 그 자리에 쓰여졌습니다. 나는 현재 유닉스 머신 앞에 있지 않다. 이 예에서,라는 디렉토리 거기에 dir세 개의 파일 : a, b, c,와 ls. 처음 세 개는 일반 파일입니다. chroot에있는 동안 파일을 나열 할 수 있도록 ls실제 ls바이너리에 대한 하드 링크 입니다.

에 chroot들어가 겠습니다 dir. (아마도 루트 디렉토리의 일부 디렉토리를 잊어 버렸을 것입니다.)

쉘 출력 형식의 설정은 다음과 같습니다.

$ pwd
/home/alex/test
$ l
dir
$ ls dir
a b c ls
$ ./ls dir # does the same thing
a b c ls
$ ls /
bin boot dev etc home mnt media proc sbin sys usr var

이제에 chroot들어가 겠습니다 dir. /bin/bash처리하는 것을 인수이 선택하는 새로운 루트 디렉토리에 실행해야합니다. 기본값은 /bin/sh입니다.

$ chroot /bin/bash dir
$ # this prompt is now from a subprocess running in the new root directory
$ PATH=/ ls
a b c ls
$ pwd
/

이제 우리는 chroot:

$ exit
$ # this prompt is now from the original bash process, from before the chroot
$ pwd
/home/alex/test

이것이 chroot명령의 작동 방식을 보여주기를 바랍니다 . 기본적으로 문제를 해결하기 위해해야 ​​할 일은 chroot로그인 할 때마다 해당 사용자로 명령 을 실행하는 것입니다. 아마도 시작 스크립트에 넣었습니까?

파일에 대한 하드 링크 chroot는 다른 방법으로 파일에 액세스 할 수없는 경우에도 내부에서 계속 작동 합니다 (하드 링크가 경로가 아니라 inode를 가리 키기 때문에 작동합니다). 따라서 사용자가 mysql명령 에 액세스 할 수 있도록하려면 다음을 실행하십시오.

ln /usr/bin/mysql /path/to/chroot/target