Является ли chmod o = - -R / реальным решением для ограничения пользователей?

Question

мы делаем:

useradd -s / bin / rbash -d / home / dir / user1 -m user_1: user_1

rbash даже не является решением, потому что вы можете просматривать все файлы с помощью Midnight Commander.

затем мы создаем user_1.domain.com и назначаем этого vhost user_1: user_1. Наша цель - отключить этого пользователя, который копается в других каталогах сервера.

Как нам это сделать?

является ли chmod o = - -R / реальным решением для ограничения пользователей?

это не отвечает моей проблеме. Как ограничить пользователей SSH предварительно определенным набором команд после входа в систему?

Answer 1

Во-первых, обычно требуется доступ для чтения к «другим каталогам» сервера. В конце концов, именно здесь находятся двоичные файлы и файлы данных для установленного программного обеспечения.

Если вы хотите запретить доступ к каталогам других пользователей, вы всегда можете установить стандартные маски umask, чтобы только владельцы имели доступ для чтения и позволяли пользователям решать, что включить для удобочитаемости. Или аналогичным образом поместите каждого пользователя в отдельную группу, которая используется по умолчанию в большинстве дистрибутивов Linux.

Если вы хотите запретить доступ всегда, без возможности его включения, вы можете поиграть с MAC-инструментами, такими как AppArmor (простой) или SELinux (сложный), чтобы сделать это. Хотя это требует значительных административных затрат, вам нужно подумать.

Раньше chroot был обычным решением для такого рода проблем, но в последние годы он потерял популярность, так как он не совсем изолирует вещи так, как вы ожидаете.

Наконец, «правильное» решение для изоляции пользователей обычно воспринимается как виртуализация, либо полная система через vmware, kvm, xen и т. Д.… Либо решения с одним ядром, такие как BSD jails или Solaris Zones.