Linuxユーザーを所有するファイルに制限する

複数（約100人）の顧客が単一のサーバーにシェルアクセスできる共有Webホスティング会社のサーバーセットアップを想像してください。

多くのWeb "ソフトウェア"は、ファイル0777をchmodすることを推奨しています。私たちの顧客がこれらのチュートリアルに従わずに他の顧客にファイルを公開することに不安を感じています。（私は確かにcmod 0777自分で不必要に使用していません！）顧客が自分のファイルにしかアクセスできないようにし、他のユーザーからの読み取り可能なファイルにアクセスできないようにする方法はありますか？

AppArmorを調べましたが、それはプロセスと非常に密接に結びついており、その環境では失敗するようです。

制限された不変のディレクトリを外の世界と保護されたファイルの間に置きます。例えば

/
 ├─ bin
 ├─ home
 │  └─ joe <===== restricted and immutable
 │     └─ joe <== regular home directory

または/home/joe/restricted/public_html。

唯一のユーザーと、おそらくWebサーバはそれを読むことができる手段を制限付き（例えばモード0700/ 0750またはいくつかのACL）。

不変性chattr +iは、所有権をのようなものに変更したり、変更したりすることができますroot:joe。

Ubuntuでその階層を作成する簡単な方法は、編集/etc/adduser.confしてに設定GROUPHOMESすることyesです。

検討したいオプションがあります（そのためにどの程度の作業を行いたいかによって異なります）。

他の人が既に投稿しているように、「通常」、シェルがアクセスできる人が誰でも読み取り可能なファイルを読むことを防ぐことはできません。

ただし、それらを自分のホームにchrootして、基本的にはシェルアクセスを最初に必要なルートディレクトリ（別名ホームディレクトリ）に制限し、次にユーザーが実行したくないすべてを実行できないようにすることができます。

1人のユーザーにWebファイルへのアクセス権を持たせたときと同じようなアプローチをとりましたが、Webフォルダーの外部にある他のファイルを見るようにしたくありませんでした。

これには多くのオーバーヘッドがあり、セットアップが面倒で、何かを更新するたびに壊れていました。

しかし、今日は、OpenSSHの chrootオプションを使用すると、非常に簡単に実現できると思います。

WikiBooks OpenSSH

POSIXアクセスコントロールリストを使用すると、システム管理者として、通常のユーザーグループとその他のファイルシステムのアクセス許可をオーバーライドすることにより、重大なことをほとんど中断することなく、ユーザーを最悪の無知から保護できます。 。

たとえば、WebコンテンツはでApacheにアクセスできる必要があるため、たとえば（fi）ホームディレクトリを世界中からアクセスできるようにする必要がある場合に特に役立ちます~/public_html/。（ACLを使用すると、逆の操作を行うことができますが、すべてのアクセスを削除し、Apacheユーザーに対して特定の有効なACLを使用します。）

はい、知識のあるユーザーは再びそれらを削除/上書きできますが、それはありそうもないほど一般的ではありませんchmod -R 777 ~/。

aclマウントオプションでファイルシステムをマウントする必要があります：

 mount -o remount,acl /home

多くのディストリビューションでは、デフォルトではユーザーグループが作成され、各ユーザーにはプライマリグループがあります。すべてのユーザーを想像できない名前のセカンダリグループに設定しましたusers。

ACLを使用すると、他のユーザーがホームディレクトリにアクセスできないようにするのは簡単です。

前：

 chmod 0777 /home/user* 

 ls -l /home/user*
 drwxrwxrwx.  2 user1  user1  4096 Jul 11 15:40 user1
 drwxrwxrwx.  2 user2  user2  4096 Jul 11 15:24 user2

次に、usersグループのメンバーの有効なディレクトリアクセス許可を0読み取り、書き込み、またはアクセスなしに設定します。

 setfacl setfacl -m g:users:0 /home/user*

 ls -l 
 drwxrwxrwx+  2 user1  user1  4096 Jul 11 15:40 user1
 drwxrwxrwx+  2 user2  user2  4096 Jul 11 15:24 user2

+看板がACLの設定の存在を示しています。そして、次のgetfaclことを確認できます。

getfacl /home/user1
getfacl: Removing leading '/' from absolute path names
# file: home/user1
# owner: user1
# group: user1
user::rwx
group::rwx
group:users:---
mask::rwx
other::rwx

group:users:---グループは、効果的に他のビーイングのための定期的なアクセス許可にもかかわらず、何のアクセス権を持たないことを示しother::rwx

そしてuser1としてテストします：

[user1@access ~]$ ls -la /home/user2
ls: cannot open directory /home/user2: Permission denied

共有システムでの2番目の一般的な解決策は、オートマウンタがホームディレクトリを必要に応じてマウントし、シェルアクセス専用のサーバーを使用することです。これは決して簡単なことではありませんが、通常、同時にログインするのは少数のユーザーのみです。つまり、それらのユーザーのホームディレクトリのみが表示され、アクセス可能です。

Linux Containers（LXC）は、chrootと個別のシステムの最適な組み合わせになる可能性があります。

1. 仮想化ではなく、高度なchrootに似ていますが、1つのサーバーに異なるオペレーティングシステムを組み合わせることができます。

2. ユーザーに完全なオペレーティングシステムを提供し、そこで彼をchrootできるため、ユーザーがログインすると、彼は自分のコンテナーに移動します。また、プロセッサとメモリの使用量を制限することもできます。

LXCの作者であるStéphaneGraberが、あなたが始めるのに役立つ素晴らしいチュートリアルを持っています。

たとえば、ユーザーが自分のhomeディレクトリにのみアクセスできるようにする場合は、次のようにする必要があります。

cd /home
sudo chmod 700 *

現在/home/usernameは所有者のみに表示されます。これをすべての新規ユーザーのデフォルトにするには、編集/etc/adduser.confして設定DIR_MODEします0700の0755デフォルトにには、デフォルトの代わりにます。

もちろん、デフォルトのDIR_MODEを変更したい場合、ディストリビューションによって異なります。私が投稿したものは動作します Ubuntu。ます。

編集する

以下のよう@Dani_lが正しく述べたように、この答えは、世界読めるそれらをしないで作るのが正しいです。

ただつまんないように-いいえ、ありません。
@Marekは正しい答えを出しましたが、あなたの質問は間違っています-「誰でも読める」ファイルに誰もアクセスできないようにすることはできません。
誰でも読めるか、そうでないかのどちらかです。@Marekの答えは、それらを世界中で読めないようにするという点で正しいです。

私はこれまでに与えられた答えの中で「制限されたシェル」について言及していない。

ln / bin / bash / bin / rbash

これをログインシェルとして設定します。

Webサーバーがホストされているすべてのドメインで同じユーザーおよびグループとして実行されている場合、セットアップを安全にすることは（不可能ではないにしても）困難です。

ユーザーとWebサーバーは特定のファイルにアクセスできるようにしますが、他のユーザーにはアクセスできないようにします。しかし、Webサーバーがそれらにアクセスできるようになるとすぐに、別のユーザーが自分のWebサイト内のファイルへのシンボリックリンクを置くことでそれらを読むことができます。

各Webサイトを個別のユーザーとして実行できる場合、それはかなり単純になります。各顧客のシステムには、Webサーバー用とシェルアクセス用の2人のユーザーがいます。

これら2人のユーザーを含むグループを作成します。次に、そのグループとユーザーrootでディレクトリを作成します。そのディレクトリには権限が必要です。つまり750、ルートにはフルアクセス権があり、グループには読み取りおよび実行アクセス権があります。そのディレクトリ内で、2人のユーザーそれぞれにホームディレクトリを作成できます。これは、ユーザーのホームディレクトリがの形式/home/usernameではなく、少なくとも1つ以上のディレクトリコンポーネントを持つフォームを持つことを意味します。これは問題ではありません。特定の規則に従ってホームディレクトリに名前を付ける必要はありません。

名前ベースの仮想ホストを使用している場合、異なるユーザーおよびグループでWebサイトを実行するのは難しい場合があります。IPベースのvhostでのみ分離を機能させることができ、各サイトに十分なIPがない場合は、各WebサイトをIPv6アドレスでホストし、すべてのサイトにリバースプロキシを配置できますIPv4アドレス。