Eine Datei soll zwei Benutzern gehören. Wie? Die harte Verknüpfung schlägt fehl

Zwei setuid-Programme /usr/bin/barund /usr/bin/bazteilen sich eine einzige Konfigurationsdatei foo. Der Modus der Konfigurationsdatei ist 0640, da er vertrauliche Informationen enthält. Das ein Programm läuft als bar:bar(die, wie Benutzer bar, Gruppe bar ); der andere als baz:baz. Das Ändern von Benutzern ist keine Option, und selbst das Ändern von Gruppen ist nicht vorzuziehen.

Ich möchte die einzelne Konfigurationsdatei als /etc/bar/foound fest verlinken /etc/baz/foo. Dies schlägt jedoch fehl, da die Datei meines Wissens entweder zu root:baroder zu gehören muss root:baz.

Mögliche Lösung: Erstellen Sie eine neue Gruppe, barbazderen Mitglieder barund sind baz. Gehören foozu root:barbaz.

Das sieht für mich nach einer ziemlich schwierigen Lösung aus. Gibt es keine bessere und einfachere Möglichkeit, die Konfigurationsdatei foozwischen den beiden Programmen zu teilen ?

Im Moment verwalte ich zwei identische Kopien der Datei. Das funktioniert, ist aber offensichtlich falsch. Was wäre richtig?

Zur Information: Ich habe wenig Erfahrung mit Unix-Gruppen und keine mit setgid (2).

Sie können ACLs verwenden, damit die Datei von Personen in beiden Gruppen gelesen werden kann.

chgrp bar file
chmod 640 file
setfacl -m g:baz:r-- file

Jetzt können beide barund bazGruppen die Datei lesen.

Hier ist zum Beispiel eine Datei von bin: bin im Modus 640.

$ ls -l foo
-rw-r-----+ 1 bin bin 5 Aug 17 12:19 foo

Das +bedeutet, dass es einen ACL-Satz gibt. Schauen wir uns diesen an.

$ getfacl foo
# file: foo
# owner: bin
# group: bin
user::rw-
group::r--
group:sweh:r--
mask::r--
other::---

Wir können die Zeile sehen group:sweh:r--: Das bedeutet, dass die Mitglieder der Gruppe swehsie lesen können.

Hey das bin ich!

$ id
uid=500(sweh) gid=500(sweh) groups=500(sweh)

Und ja, ich kann die Datei lesen.

$ cat foo
data

Sie können diese Aussagen überdenken:

Mögliche Lösung: Erstellen Sie eine neue Gruppe barbaz, deren Mitglieder barund sind baz. Gehören foozu root:barbaz.

Das sieht für mich nach einer ziemlich schwierigen Lösung aus. Gibt es keine bessere und einfachere Möglichkeit, die Konfigurationsdatei foozwischen den beiden Programmen zu teilen ?

Warum ist es schwerfällig, eine neue Gruppe zu gründen? Dies hat folgende Vorteile gegenüber ACLs:

• Obwohl Sie dies als eine Hypothese mit Befehlen /usr/bin/barund formuliert haben /usr/bin/baz, ist es relevant, dass diese beiden Programme eine Konfigurationsdatei gemeinsam nutzen können. Dies legt nahe, dass die Programme natürlich verwandt sind. Das Erstellen einer neuen Gruppe für sie scheint eine Beziehung zu beschreiben, die tatsächlich besteht, und sollte Verhalten auslösen (z. B. Berechtigungen zum Lesen der allgemeinen Konfigurationsdatei).
• Die Lösung dieses Problems über Gruppen ist für jedes Unix portierbar , dh Sie können sich auf denselben Mechanismus verlassen, der auf jedem Unix- oder Unix-ähnlichen System genauso funktioniert. ACLs sind weitaus komplexer und die Portabilität kann ein Problem darstellen.

Persönlich sehe ich ACLs als die schwerfällige Lösung und Gruppen als den einfacheren, traditionellen Unix-Weg.

Ich würde denken, dass dies eine typische Verwendung für Access Control Lists (ACLs) wäre. Fügen Sie der ACL der Konfigurationsdatei beide Benutzer (oder Gruppen) hinzu:

/etc/foo  root:root rw-------  # Traditional Unix ownership and permission for foo

$ setfacl -m user: bar: rw- / etc / foo # Ermöglicht der Benutzerleiste, foo zu lesen und zu schreiben
$ setfacl -m Benutzer: baz: rw- / etc / foo # Ermöglicht auch Benutzer baz, foo zu lesen und zu schreiben

Möglicherweise müssen Sie zuerst das acl-Paket installieren.

Stellen Sie den Dateimodus 0660(oder auch 0440wenn das Schreiben nicht erforderlich ist) und das Eigentumsrecht ein bar:baz. Dann kann ein Prozess dank Benutzerberechtigungen auf die Datei zugreifen, der andere dank Gruppenberechtigungen. Dies funktioniert auch auf Dateisystemen, in denen ACLs dies nicht tun.

Ich werde dies einreichen, da es noch nicht erwähnt wird. Auch wenn dies wahrscheinlich nicht das ist, was Sie wollen, kann es die Antwort für andere Menschen mit einer ähnlichen Frage sein.

Die "neue" "Cloud" -Methode besteht darin, die gesamte Konfiguration von einem Konfigurationsverwaltungssystem (z. B. Chefkoch , Marionette oder Ansible ) verwalten zu lassen. In diesem Fall spielt es keine Rolle, dass Sie zwei unterschiedliche, aber identische Dateien auf dem Server haben, da beide eine Kopie der einzelnen Datei aus dem Konfigurationsverwaltungssystem sind.

Der Hauptvorteil dieser Vorgehensweise besteht darin, dass Ihre Konfiguration (zusammen mit allen anderen Konfigurationen) versioniert ist und die Bereitstellung eines neuen identischen oder nahezu identischen Servers so einfach wird, dass keine Automatisierung möglich ist.

(Da Sie das Konfigurationsmanagement nicht verwenden, würde ich für das Gruppensystem wie in der Antwort von @ drg vorgehen.)