Un file vuole appartenere a due utenti. Come? Il collegamento reale non riesce

Due programmi setuid /usr/bin/bare /usr/bin/baz, condividono un singolo file di configurazione foo. La modalità del file di configurazione è 0640, poiché contiene informazioni riservate. L'unico programma viene eseguito come bar:bar(ovvero, come barra utente , barra di gruppo ); l'altro come baz:baz. Cambiare utenti non è un'opzione e persino cambiare gruppi non sarebbe preferibile.

Desidero collegare a fondo il singolo file di configurazione come /etc/bar/fooe /etc/baz/foo. Tuttavia, questo non riesce perché il file deve, per quanto ne so, appartenere root:baro a root:baz.

Soluzione potenziale: creare un nuovo gruppo i barbazcui membri sono bare baz. Facciamo fooparte di root:barbaz.

Mi sembra una soluzione piuttosto pesante. Non esiste un modo più semplice e semplice per condividere il file di configurazione footra i due programmi?

Per ora, sto mantenendo due copie identiche del file. Funziona, ma ovviamente è sbagliato. Quale sarebbe giusto?

Per informazioni: ho poca esperienza con i gruppi Unix e nessuno con setgid (2).

È possibile utilizzare gli ACL in modo che il file possa essere letto dalle persone di entrambi i gruppi.

chgrp bar file
chmod 640 file
setfacl -m g:baz:r-- file

Ora entrambi bare i bazgruppi possono leggere il file.

Ad esempio, ecco un file di proprietà di bin: bin con modalità 640.

$ ls -l foo
-rw-r-----+ 1 bin bin 5 Aug 17 12:19 foo

I +mezzi c'è un set di ACL, quindi cerchiamo di dare un'occhiata a questo.

$ getfacl foo
# file: foo
# owner: bin
# group: bin
user::rw-
group::r--
group:sweh:r--
mask::r--
other::---

Possiamo vedere la riga group:sweh:r--: ciò significa che le persone del gruppo swehpossono leggerlo.

Ehi, sono io!

$ id
uid=500(sweh) gid=500(sweh) groups=500(sweh)

E sì, posso leggere il file.

$ cat foo
data

Potresti voler riconsiderare queste affermazioni:

Soluzione potenziale: creare un nuovo gruppo barbaz i cui membri sono bare baz. Facciamo fooparte di root:barbaz.

Mi sembra una soluzione piuttosto pesante. Non esiste un modo più semplice e semplice per condividere il file di configurazione footra i due programmi?

Perché è pesante creare un nuovo gruppo? Ciò presenta i seguenti vantaggi rispetto agli ACL:

• Sebbene sia stato definito ipotetico con comandi /usr/bin/bare /usr/bin/baz, è importante che questi due programmi possano condividere un file di configurazione. Ciò suggerisce che i programmi sono naturalmente correlati. La creazione di un nuovo gruppo per loro sembrerebbe descrivere una relazione che esiste realmente e dovrebbe innescare un comportamento (come le autorizzazioni per leggere il file di configurazione comune).
• Risolvere questo problema tramite i gruppi è portabile su ogni Unix, il che significa che puoi fare affidamento sullo stesso meccanismo, lavorando esattamente allo stesso modo, su qualsiasi sistema Unix o simile a Unix. Gli ACL sono molto più complessi e la portabilità può essere un problema.

Personalmente vedo gli ACL come la soluzione più pesante qui e i gruppi come il modo Unix più semplice e tradizionale.

Penso che questo sarebbe un uso tipico degli elenchi di controllo di accesso (ACL). Aggiungi entrambi gli utenti (o gruppi) all'ACL del file di configurazione:

/etc/foo  root:root rw-------  # Traditional Unix ownership and permission for foo

$ setfacl -m user: bar: rw- / etc / foo # Permette alla barra degli utenti di leggere e scrivere pippo
$ setfacl -m user: baz: rw- / etc / foo # Permette anche all'utente baz di leggere e scrivere pippo

Potrebbe essere necessario installare prima il pacchetto acl.

Imposta la modalità del file 0660(o anche 0440se la scrittura non è richiesta) e la proprietà bar:baz. Quindi un processo può accedere al file grazie alle autorizzazioni dell'utente, l'altro grazie alle autorizzazioni del gruppo. Funziona anche su file system in cui gli ACL non lo fanno.

Inoltrerò questo dato che non è ancora stato menzionato. Anche se questo probabilmente non è quello che vuoi, potrebbe essere la risposta per altre persone con una domanda simile.

Il "nuovo" "modo" cloud è quello di avere tutta la configurazione gestita da un sistema di gestione della configurazione (come chef , burattino o ansible ). Non importa quindi che sul server siano presenti due file distinti ma identici, poiché entrambi sono una copia del singolo file dal sistema di gestione della configurazione.

Il principale vantaggio di farlo in questo modo è che la tua configurazione è sottoposta a versione (insieme a tutto il resto delle tue configurazioni) e che la distribuzione di un nuovo server identico o quasi identico diventa così facile che ot può essere automatizzato.

(Per la cronaca, dal momento che non stai usando la gestione della configurazione, andrei con il sistema di gruppo come nella risposta di @ drg).