Изпечатай

[consolebg]

Здравейте,

Имам следното питане:

Създавам нов потребител в системата. Как да направя така че този потребител да не може да вижда нищо друго освен неговата home директория?

Освен това искам да го огранича само до създаване на файлове и директории както и тяхното редактиране. Никаква опция за execute да няма както и да каквито и да било други команди (защото потребителя трябва да може да се логне през ftp или ssh).

Примерно ако си е в неговата home директория да не може да мине едно ниво на зад с cd или с ls, както дори и uname да не може да изпълни.

Евентуално да може да ползва touch да си създаде файл,mkdir, rmdir,cd само между неговите директории cp, само между неговите директории, но без никакъв шанс да изпълни shell или нещо подобно.

Благодаря предварително

[jet]

правиш /home на отделен дял и го монтираш с опция noexec
правиш също:
chmod o-rwx /home

[nslave]

Решението за което се сещам е с chroot jail на потребителя, което ти дава голяма гъвкавост, но и вероятно доста усилия за да го направиш както трябва. Така можеш да му дадеш достъп само до определени команди, които присъстват в bin папката на затвора му. Съответно тъй като ще вижда само затвора си, няма да може да види какви други потребители има на машината, както вероятно и други благини за които не се сещам в момента.

Друг вариант е може би на самият потребител да му се зададе някакъв ограничен шел, така като гледам bash има опция за стартиране в restricted режим. Не съм го пробвал, но вероятно може да ти свърши работа. За целта трябва при създаването на потребителя да му зададеш за шел по подразбиране /bin/rbash или след това да го зададеш в /etc/passwd. Но пак ще иска четене и настройки за да се стигне до това, което целиш.

[aleximilian]

Добра идея е да погледнеш възможностите на ACL