Utilizzo di ACL su file system di sola lettura / remoto


9

Vorrei definire ACL locali da utilizzare su un filesystem montato in remoto. Il filesystem è montato tramite autofs e sshfs FUSE.

L'idea è che potremmo impostare un utente imprigionato su un server di salto con accesso per leggere file su altri server nell'ambiente e utilizzare i comandi standard senza molta esposizione e sicuramente senza concedere l'accesso ssh.
Il problema è che sshfs funzionerà sempre come lo stesso utente, quindi i file all'interno del percorso sul sistema remoto sarebbero esposti indipendentemente dall'utente per cui sono stati esposti.

Ho esplorato la codifica del controllo di sicurezza in sshfs, ma prima di proseguire su questa strada mi piacerebbe vedere se qualsiasi altro pacchetto può aggiungere il supporto ACL a un filesystem altrimenti di sola lettura.

Modifica: @peterph Come imposteresti i tuoi ACL per la condivisione NFS quando il filesystem remoto è di sola lettura?

sshfs è stato davvero facile da smontare, quindi ho aggiunto il controllo ACL direttamente in sshfs pochi giorni dopo averlo scritto. Gli utenti vengono imprigionati all'accesso tramite OpenSSH e jailkit e da lì accedono all'automount sshfs di sola lettura come utente non privilegiato. Ogni stat o lettura di dir / file genera un evento syslog. Ha funzionato come un incantesimo e gli utenti non hanno alcun diritto al di fuori della casella imprigionata.


4
bindfs non supporta gli ACL. rofs non è mantenuto e non credo che supporti ciò che vuoi comunque. Preferirei un approccio più semplice: consentire a ciascun utente di montare un filesystem sshfs per sé e dare a ciascun utente un account solo SFTP separato sul server. È più semplice mantenere sicure le configurazioni semplici rispetto ai dispositivi Rube Goldberg.
Gilles 'SO- smetti di essere malvagio' il

Risposte:


1

C'è un motivo per non utilizzare NFS con supporto ACL? È possibile effettuare il tunneling tramite SSH / VPN o utilizzare NFSv4 che supporta la crittografia da solo.

Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.