права доступа
Здравствуйте debian-russian, Offtop, но может кто сталкивался? Имеется Woody 3.0, Samba, примерная структура каталогов. 1\ 2 3\ | 31 | 32 | 33\ | | 331 | | 332 | | 333\ | | | 3331 | | | 3332 | | | | | 334 | 34 | 35 4 5 6\ | 61 | 62 | 63 | 64 | 65 | 7 8 9 Необходимо организовать доступ следующего характера: Есть пользователи - u1,u2,u3,u4,u5 группы - g1,g2 Пользователь u1 имеет доступ на чтение и запись и поиск по всем этим каталогам, группа g1 имеет доступ на чтение и поиск по всем каталогам. Как при этих условиях дать доступ u2 только на просмотр и поиск каталога 333 и ниже u3 только на просмотр и поиск каталога 3332 u4 только на просмотр и поиск каталога 34 u5 только на просмотр и поиск каталога 62 Возможно ли это вообще? -- С Уважением, Комаров Алексей mailto:[EMAIL PROTECTED]
права доступа
Приветствую всех! В общем в рамках дипломного проекта была разработана система автоматического тестирования лабораторных работ по С++. Смысл в том что Апач должен вызвать некий скрипт с параметрами, который собирает проекты и запускает тесты. проблема в том, что то факт что на сервере собираются и запускаются программы из исходников ни чем хорошим не пахнет. Причем к серверу доступа нет(хостинг арендуется). Сам сервер крутится под каким-то из линухов, каким точно админы не говорят. Вопрос собственно в том как можно ограничить права на исполняемые код и с какие права он получит в данной ситуации? З.Ы. апач скорее всего крутится в chroot'e но это не точно! -- В смысле осмысления бессмысленного смысл тоже имеет определенную осмысленность!!!
Re: права доступа
В сообщении от 29 Май 2003 21:00 Комаров Алексей написал: > Здравствуйте debian-russian, > > Offtop, но может кто сталкивался? > Имеется Woody 3.0, Samba, примерная структура каталогов. > > 1\ > 2 > 3\ > > | 31 > | 32 > | 33\ > | > | | 331 > | | 332 > | | 333\ > | | > | | | 3331 > | | | 3332 > | | | > | | > | | 334 > | > | 34 > | 35 > > 4 > 5 > 6\ > > | 61 > | 62 > | 63 > | 64 > | 65 > > 7 > 8 > 9 > Необходимо организовать доступ следующего характера: > Есть пользователи - u1,u2,u3,u4,u5 > группы - g1,g2 а где еспользуется g2 ??? > Пользователь u1 имеет доступ на чтение и запись и поиск по всем этим > каталогам, группа g1 имеет доступ на чтение и поиск по всем каталогам. > Как при этих условиях дать доступ > u2 только на просмотр и поиск каталога 333 и ниже > u3 только на просмотр и поиск каталога 3332 > u4 только на просмотр и поиск каталога 34 > u5 только на просмотр и поиск каталога 62 > > Возможно ли это вообще? Мой вариант решения :-) владельцем всех и вся является пользователь u1 для всех каталогов в дереве выставляются права drwxr-x--- а дальше самое интересное -создаем еще четыре группы gu2, gu3, gu4, gu5 -устанавливаем группу для каталогов 333 и ниже (за исключением 3332) в gu2 -устанавливаем группу для каталога 3332 в gu3 -устанавливаем группу для каталога 34 в gu4 -устанавливаем группу для каталога 62 в gu5 -для всех остальных каталогов усанавливаем группу g1 теперь разбираемся с пользователями: -добавляем в групу ug2 пользователя u2 и всех пользователей из g1 -добавляем в групу ug3 пользователей u2, u3 и всех пользователей из g1 -добавляем в групу ug4 пользователя u4 и всех пользователей из g1 -добавляем в групу ug5 пользователя u5 и всех пользователей из g1 на сколько я понимаю после этого все пользователи будут иметь права доступа такие, какие описаны в задании :-) это чистый UNIX way решения эадачи. для самбы можно мапить виндовых юзеров в юниксовые юзеры и групы, что добавляет дополнительную гибкость...
Re: права доступа
On Fri, May 30, 2003 at 09:58:47AM +0400, Комаров Алексей wrote: > Hello Dimitry, > > Вы писали 30 мая 2003 г., 8:40:42: > > >> Возможно ли это вообще? > DNN> Мой вариант решения :-) > DNN> владельцем всех и вся является пользователь u1 > DNN> для всех каталогов в дереве выставляются права drwxr-x--- > DNN> а дальше самое интересное > DNN> -создаем еще четыре группы gu2, gu3, gu4, gu5 > DNN> -устанавливаем группу для каталогов 333 и ниже (за исключением 3332) в > gu2 > DNN> -устанавливаем группу для каталога 3332 в gu3 > DNN> -устанавливаем группу для каталога 34 в gu4 > DNN> -устанавливаем группу для каталога 62 в gu5 > DNN> -для всех остальных каталогов усанавливаем группу g1 > DNN> теперь разбираемся с пользователями: > DNN> -добавляем в групу ug2 пользователя u2 и всех пользователей из g1 > DNN> -добавляем в групу ug3 пользователей u2, u3 и всех пользователей из g1 > DNN> -добавляем в групу ug4 пользователя u4 и всех пользователей из g1 > DNN> -добавляем в групу ug5 пользователя u5 и всех пользователей из g1 > > DNN> на сколько я понимаю после этого все пользователи будут иметь права > доступа > DNN> такие, какие описаны в задании :-) > DNN> это чистый UNIX way решения эадачи. для самбы можно мапить виндовых > юзеров в > DNN> юниксовые юзеры и групы, что добавляет дополнительную гибкость... > Это первое, что пришло мне в голову, но пользователей и групп гараздо > больше (извиняюсь, что сразу не написал) и разветвленность каталогов, > соответственно, тоже больше. Я сегодня попробую использовать симлинки. > Т.е. прва на все дам 755. Самбе скажу кого можно пускать на общую > шару, т.е. только u1 и g1, а другим пользователям просто скину > симлинки в домашние каталоги (эта идея только сегодня пришла в голову, > хотя, как сказал Фоменко: "В некоторые головы мысль призодит умирать" > :)). Думаю, что должно сработать. > сорри за (может быть) глупый вопрос - а Самба понимает что такое симлинки?.. просто интересно.. > > > > > > -- > С Уважением, > Комаров Алексей mailto:[EMAIL PROTECTED] > > > -- > To UNSUBSCRIBE, email to [EMAIL PROTECTED] > with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED] > -- Gerasimov Dmitry e-mail: matrix AT podlipki DOT ru pgp9MJ68vAdaK.pgp Description: PGP signature
Re: права доступа
On Fri, May 30, 2003 at 09:58:47AM +0400, Комаров Алексей wrote: > Hello Dimitry, > > Вы писали 30 мая 2003 г., 8:40:42: > > >> Возможно ли это вообще? > DNN> Мой вариант решения :-) > DNN> владельцем всех и вся является пользователь u1 > DNN> для всех каталогов в дереве выставляются права drwxr-x--- > DNN> а дальше самое интересное > DNN> -создаем еще четыре группы gu2, gu3, gu4, gu5 > DNN> -устанавливаем группу для каталогов 333 и ниже (за исключением 3332) в > gu2 > DNN> -устанавливаем группу для каталога 3332 в gu3 > DNN> -устанавливаем группу для каталога 34 в gu4 > DNN> -устанавливаем группу для каталога 62 в gu5 > DNN> -для всех остальных каталогов усанавливаем группу g1 > DNN> теперь разбираемся с пользователями: > DNN> -добавляем в групу ug2 пользователя u2 и всех пользователей из g1 > DNN> -добавляем в групу ug3 пользователей u2, u3 и всех пользователей из g1 > DNN> -добавляем в групу ug4 пользователя u4 и всех пользователей из g1 > DNN> -добавляем в групу ug5 пользователя u5 и всех пользователей из g1 > > DNN> на сколько я понимаю после этого все пользователи будут иметь права > доступа > DNN> такие, какие описаны в задании :-) > DNN> это чистый UNIX way решения эадачи. для самбы можно мапить виндовых > юзеров в > DNN> юниксовые юзеры и групы, что добавляет дополнительную гибкость... > Это первое, что пришло мне в голову, но пользователей и групп гараздо > больше (извиняюсь, что сразу не написал) и разветвленность каталогов, > соответственно, тоже больше. Я сегодня попробую использовать симлинки. > Т.е. прва на все дам 755. Самбе скажу кого можно пускать на общую > шару, т.е. только u1 и g1, а другим пользователям просто скину > симлинки в домашние каталоги (эта идея только сегодня пришла в голову, > хотя, как сказал Фоменко: "В некоторые головы мысль призодит умирать" > :)). Думаю, что должно сработать. > мой предыдущий вопрос про симлинки и самбу снят. :-). Торможу под конец недели. Всё она понимает. > > > > > > -- > С Уважением, > Комаров Алексей mailto:[EMAIL PROTECTED] > > > -- > To UNSUBSCRIBE, email to [EMAIL PROTECTED] > with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED] > -- Gerasimov Dmitry e-mail: matrix AT podlipki DOT ru pgp0hy4BBxNCu.pgp Description: PGP signature
Re: права доступа
On Fri, May 30, 2003 at 10:17:21AM +0400, Gerasimov Dmitry wrote: > сорри за (может быть) глупый вопрос - а Самба понимает что такое > симлинки?.. просто интересно.. Понимает -- With Best Regards, Maxim Tyurin JID:[EMAIL PROTECTED]
Re: права доступа
Павел Марченко -> debian-russian @ Tue, 29 Apr 2008 13:06:22 +0300: ПМ> В общем в рамках дипломного проекта была разработана система ПМ> автоматического тестирования лабораторных работ по С++. Смысл в том ПМ> что Апач должен вызвать некий скрипт с параметрами, который ПМ> собирает проекты и запускает тесты. проблема в том, что то факт ПМ> что на сервере собираются и запускаются программы из исходников ни ПМ> чем хорошим не пахнет. Имеется в виду "из чужих исходников"? Разумеется, не пахнет. ПМ> Причем к серверу доступа нет(хостинг арендуется). Сам сервер ПМ> крутится под каким-то из линухов, каким точно админы не ПМ> говорят. Вопрос собственно в том как можно ограничить права на ПМ> исполняемые код и с какие права он получит в данной ситуации? Только виртуальная машина. Без выхода в сеть. Тем самым, разумеется, никак не shared hosting. -- Artem Chuprina RFC2822: Jabber: [EMAIL PROTECTED] Save the environment. Create a closure today. -- Cormac Flanagan -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: права доступа
Павел Марченко wrote: В общем в рамках дипломного проекта была разработана система автоматического тестирования лабораторных работ по С++. Смысл в том что Апач должен вызвать некий скрипт с параметрами, который собирает проекты и запускает тесты. проблема в том, что то факт что на сервере собираются и запускаются программы из исходников ни чем хорошим не пахнет. Причем к серверу доступа нет(хостинг арендуется). Сам сервер крутится под каким-то из линухов, каким точно админы не говорят. Вопрос собственно в том как можно ограничить права на исполняемые код и с какие права он получит в данной ситуации? З.Ы. апач скорее всего крутится в chroot'e но это не точно! Если бы ваша задача имела тривиальное решение без применения виртуализации, это был бы прорыв :-) Вам нужен сервер с OpenVZ или чем-то аналогичным. OpenVZ хорош тем, что там очень легко скриптом можно создать любое количество виртуальных машин и оно не будет тормозить. -- Alex -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: права доступа
спасибо буду пробовать 29 апреля 2008 г. 18:05 пользователь alex kuklin <[EMAIL PROTECTED]> написал: > Павел Марченко wrote: > > > В общем в рамках дипломного проекта была разработана система > > автоматического тестирования лабораторных работ по С++. Смысл в том что Апач > > должен вызвать некий скрипт с параметрами, который собирает проекты и > > запускает тесты. проблема в том, что то факт что на сервере собираются и > > запускаются программы из исходников ни чем хорошим не пахнет. Причем к > > серверу доступа нет(хостинг арендуется). Сам сервер крутится под каким-то из > > линухов, каким точно админы не говорят. Вопрос собственно в том как можно > > ограничить права на исполняемые код и с какие права он получит в данной > > ситуации? > > З.Ы. апач скорее всего крутится в chroot'e но это не точно! > > > Если бы ваша задача имела тривиальное решение без применения > виртуализации, это был бы прорыв :-) > Вам нужен сервер с OpenVZ или чем-то аналогичным. > OpenVZ хорош тем, что там очень легко скриптом можно создать любое > количество виртуальных машин и оно не будет тормозить. > > -- > Alex > > -- В смысле осмысления бессмысленного смысл тоже имеет определенную осмысленность!!!
Re[2]: права доступа
Hello Dimitry, Вы писали 30 мая 2003 г., 8:40:42: >> Возможно ли это вообще? DNN> Мой вариант решения :-) DNN> владельцем всех и вся является пользователь u1 DNN> для всех каталогов в дереве выставляются права drwxr-x--- DNN> а дальше самое интересное DNN> -создаем еще четыре группы gu2, gu3, gu4, gu5 DNN> -устанавливаем группу для каталогов 333 и ниже (за исключением 3332) в gu2 DNN> -устанавливаем группу для каталога 3332 в gu3 DNN> -устанавливаем группу для каталога 34 в gu4 DNN> -устанавливаем группу для каталога 62 в gu5 DNN> -для всех остальных каталогов усанавливаем группу g1 DNN> теперь разбираемся с пользователями: DNN> -добавляем в групу ug2 пользователя u2 и всех пользователей из g1 DNN> -добавляем в групу ug3 пользователей u2, u3 и всех пользователей из g1 DNN> -добавляем в групу ug4 пользователя u4 и всех пользователей из g1 DNN> -добавляем в групу ug5 пользователя u5 и всех пользователей из g1 DNN> на сколько я понимаю после этого все пользователи будут иметь права доступа DNN> такие, какие описаны в задании :-) DNN> это чистый UNIX way решения эадачи. для самбы можно мапить виндовых юзеров в DNN> юниксовые юзеры и групы, что добавляет дополнительную гибкость... Это первое, что пришло мне в голову, но пользователей и групп гараздо больше (извиняюсь, что сразу не написал) и разветвленность каталогов, соответственно, тоже больше. Я сегодня попробую использовать симлинки. Т.е. прва на все дам 755. Самбе скажу кого можно пускать на общую шару, т.е. только u1 и g1, а другим пользователям просто скину симлинки в домашние каталоги (эта идея только сегодня пришла в голову, хотя, как сказал Фоменко: "В некоторые головы мысль призодит умирать" :)). Думаю, что должно сработать. -- С Уважением, Комаров Алексей mailto:[EMAIL PROTECTED]
Права доступа к USB
ФС смартфона монтируется так (строка в /etc/fstab): obexfs#-u1/media/nokia fuse user,fsname=obexfs#-u10 0 Доступ к каталогу могу получить только от имени рута. Я так понимаю надо что-то изменить в /etc/udev/rules.d/40-permissions.rules. И наверно надо обратить внимание на usb_device/usb. Но что изменить? Или себя в какую-то из групп в /etc/group добавить? И интересует как можно автоматизировать процесс монтирования, т.е. аналогично флешке. Находил что нужно установить пакет autofs и в /etc/auto.misc вписать такую строку: myobex -fstype=fuse,allow_other:obexfs#-u1 Но ничего не происходит при подключении =/ -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: Права доступа к USB
>> fuser? > В ответ ничего не говорит при "прощупывании" появляющихся нодов, > соответственно их никто не использует... lsof sudo lsof | grep /path sudo lsof -p -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: Права доступа к USB
,--[Andrey Vasilenko 24/06/2008 21:11 (GMT +3) | ФС смартфона монтируется так (строка в /etc/fstab): | | obexfs#-u1/media/nokia fuse user,fsname=obexfs#-u10 0 | | Доступ к каталогу могу получить только от имени рута. Я так понимаю надо | что-то изменить в /etc/udev/rules.d/40-permissions.rules. И наверно надо | обратить внимание на usb_device/usb. Но что изменить? Или себя в какую-то | из групп в /etc/group добавить? | | И интересует как можно автоматизировать процесс монтирования, | т.е. аналогично флешке. Находил что нужно установить пакет autofs и в | /etc/auto.misc вписать такую строку: | myobex -fstype=fuse,allow_other:obexfs#-u1 | Но ничего не происходит при подключении =/ `- Полагаю, надо добавить себя в группу fuse и монтировать юзером. -- Best regards, Mikhail signature.asc Description: This is a digitally signed message part.
Re: Права доступа к USB
On Tue, 24 Jun 2008 21:37:27 +0400 Mikhail A Antonov <[EMAIL PROTECTED]> пишет: > Полагаю, надо добавить себя в группу fuse и монтировать юзером. > > -- > Best regards, > Mikhail Я есть в группе fuse, всё-равно на попытку монтирования от юзера отвечает: $ obexftp -u 1 /media/nokia Superuser privileges are required to access USB. Try `obexftp --help' for more information. Nothing to do. Use --help for help. -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: Права доступа к USB
Так, с правами разобрался, вот такая строка в /etc/fstab будет труЪ:
obexfs#-u1/media/nokia fuse rw,user,allow_other,fsname=obexfs 0 0
Ну и в /etc/udev/rules.d/40-permissions.rules в конце у меня такая строчка:
BUS=="usb", SYSFS{idVendor}=="0421", SYSFS{idProduct}=="0421", GROUP=""
где idVendor и idProduct смотрятся с помощью lsusb.
Вопрос с автомонтированием остаётся открытым.
--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: Права доступа к USB
On Wed, 25 Jun 2008 01:08:24 +0400
Andrey Vasilenko <[EMAIL PROTECTED]> пишет:
> Так, с правами разобрался, вот такая строка в /etc/fstab будет труЪ:
>
> obexfs#-u1/media/nokia fuse rw,user,allow_other,fsname=obexfs 0 0
>
> Ну и в /etc/udev/rules.d/40-permissions.rules в конце у меня такая строчка:
>
> BUS=="usb", SYSFS{idVendor}=="0421", SYSFS{idProduct}=="0421", GROUP=""
>
> где idVendor и idProduct смотрятся с помощью lsusb.
>
> Вопрос с автомонтированием остаётся открытым.
Проблему почти решил. Придумал такое правило и оно, как ни странно, сработало :)
-start-
#This rule mount my smartphone on /media/nokia
action=="add", kernel=="ttyACM0", run+="/bin/mkdir /media/nokia"
action=="add", kernel=="ttyACM0", run+="/bin/chmod 777 /media/nokia"
action=="add", kernel=="ttyACM0", run+="/usr/bin/obexfs -u 1 /media/nokia"
action=="remove", kernel=="ttyACM0", run+="/bin/fusermount -u /media/nokia"
action=="remove", kernel=="ttyACM0", run+="/bin/rm -rf /media/nokia"
-end-
Всё замечательно, монтируется/отмонтируется автоматом, но заходить в каталог я
могу только от рута =/ Такая строчка в 40-permissions.rules положение не
спасает:
kernel=="ttyACM0", GROUP="xen", MODE="0666"
Есть идеи?
--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: Права доступа к USB
On Sat, 28 Jun 2008 23:28:15 +0400 Andrey Vasilenko <[EMAIL PROTECTED]> пишет: > Проблему почти решил. Придумал такое правило и оно, как ни странно, сработало > :) > > -start- > > #This rule mount my smartphone on /media/nokia > > action=="add", kernel=="ttyACM0", run+="/bin/mkdir /media/nokia" > action=="add", kernel=="ttyACM0", run+="/bin/chmod 777 /media/nokia" > action=="add", kernel=="ttyACM0", run+="/usr/bin/obexfs -u 1 /media/nokia" > action=="remove", kernel=="ttyACM0", run+="/bin/fusermount -u /media/nokia" > action=="remove", kernel=="ttyACM0", run+="/bin/rm -rf /media/nokia" > > -end- > > Всё замечательно, монтируется/отмонтируется автоматом, но заходить в каталог > я могу только от рута =/ Такая строчка в 40-permissions.rules положение не > спасает: > > kernel=="ttyACM0", GROUP="xen", MODE="0666" > > Есть идеи? Прям как сам с собой разговариваю :) Как хотя бы посмотреть кто и с какими нодами в системе работает в данный момент? Просто не понятно когда делаешь так: [EMAIL PROTECTED]:~$ sudo obexftp -u [sudo] password for xen: Found 2 USB OBEX interfaces Interface 0: Manufacturer: Nokia Product: Nokia 3230 Interface description: SYNCML-SYNC Interface 1: Manufacturer: Nokia Product: Nokia 3230 Interface description: PC Suite Services Use '-u interface_number' to connect Nothing to do. Use --help for help. не понятно с чем там потом работа ведётся, ведь подключаться можно будет просто obexftp -u 1 /mountpoint. Для начала хочу точно выяснить как устройство в /dev называться будет чтобы потом уже с пермишанами разбираться. -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: Права доступа к USB
On Sun, Jun 29, 2008 at 08:41:32PM +0400, Andrey Vasilenko wrote: > On Sat, 28 Jun 2008 23:28:15 +0400 > Прям как сам с собой разговариваю :) Как хотя бы посмотреть кто и с какими > нодами в системе работает в данный момент? Просто не понятно когда делаешь > так: fuser? -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: Права доступа к USB
On Mon, 30 Jun 2008 14:17:50 +0400 Иван Лох <[EMAIL PROTECTED]> пишет: > On Sun, Jun 29, 2008 at 08:41:32PM +0400, Andrey Vasilenko wrote: > > On Sat, 28 Jun 2008 23:28:15 +0400 > > Прям как сам с собой разговариваю :) Как хотя бы посмотреть кто и с какими > > нодами в системе работает в данный момент? Просто не понятно когда делаешь > > так: > > fuser? > > > -- > To UNSUBSCRIBE, email to [EMAIL PROTECTED] > with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED] > В ответ ничего не говорит при "прощупывании" появляющихся нодов, соответственно их никто не использует... Я уже и используя strace пытался, как-то там всё очень запутанно получается, но я так понял что используется всё-таки одно из устройств USB из /dev/bus/usb, а не из появляющихся при подключении в корне /dev. -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
