Basisvraagje rechten: X volledige toegang tot bestanden Y&Z

[Eusebius]

Hoe kan ik ervoor zorgen dat X niet alleen lees/schrijfrechten in zijn eigen /home/X-folder heeft, maar ook in andere?

De casus is als volgt: op een server kan ik als X, Y en Z inloggen met SSH en SFTP. Ze hebben, zoals je mag verwachten, allemaal een eigen /home/-folder: /home/X, /home/Y en /home/Z.

Hoe kan X als admin bij Y en Z komen, zonder via SSH met sudo te moeten werken?
Ik heb het geprobeerd door een groep aan te maken, maar daar wordt ik ook niet echt wijzer uit. En ja, ik heb natuurlijk gezocht maar iets met bomen en bos ;-)

De toegang met root heb ik uitgeschakeld.

[peterpv]

lees/schrijfrechter zijn gekoppeld aan de useraccount. SSH/SFTP doet er eigenlijk niet toe want dat is alleen een manier om bij de bestanden te kunnen komen (over een netwerk verbinding).

Ik denk dat je dit toch met groepen moet oplossen, zo doen we dat bv op mijn werk. Je maakt een groep aan bijvoorbeeld met de naam PROJECT1
Vervolgens moet je gebruikers X, Y en Z aan deze groep toevoegen, ze maken dan deel uit van de groep.

Maar dan kan bv gebruiker X nog steeds niet bij Y z'n bestanden. Om dat mogelijk te maken moet Y de directories en bestanden die hij met X en Z wil delen eerst ook deel laten uitmaken van de groep PROJECT1

Doe maar eens een ls -al in /home/Y
en dan zie je dat de bestanden van Y zijn en ook van de groep Y, dus alleen Y kan erbij.
als je dan:

chmod Y:PROJECT1 <bestand>

doet dan wordt de groep PROJECT1 en kunnen de leden van die groep er nu wel bij.

De normale manier van bestanden delen is overigens om de homedirs alleen leesbaar te maken voor anderen. Je hoeft de groep daar niet voor te veranderen, je maakt de bestanden gewoon leesbaar voor iedereen (wel even nadenken natuurlijk dat IEDEREEN ze dan kan inzien)
bv voor gebruiker X:
cd /home/X
chmod -R a+rx .

Om samen te werken aan een project maak je dan (als root) een directory aan bv /home/PROJECT1
en die is dan van root maar van de groep PROJECT1
Zet met chmod /home/PROJECT1 zo dat alle groepsleden mogen lezen en schrijven en "sticky" bitje aan (dan blijft het groeps eigendom behouden):
chmod g+rwxs /home/PROJECT1

[ Voor 27% gewijzigd door peterpv op 15-08-2016 22:48 ]

[Eusebius]

Oke, via een extra groep dus. Tnx

[Hero of Time]

Dat is niet het enige wat je moet doen. Die groep moet de primaire groep zijn van de gebruikers. Als dat niet zo is, en je hebt de map /home/project1, wat van de groep project1 is en gebruiker X maakt hier een bestand of map aan, dan worden de rechten lees/schrijf gebruiker X en alleen lezen voor groep X, niet project1.

Om het nog ingewikkelder te maken heb je ook nog eens te maken met umask. Standaard is deze 022. Umask wil zeggen welke rechten bits er af gaan bij het aanmaken van bestanden en mappen. Maak je een map, dan zijn de rechten 755, voor bestanden is dat 644. Gebruiker mag alles, de rest alleen lezen. De umask kan je via verschillende opties aanpassen. Dit kan globaal via /etc/bashrc of /etc/profile, maar zie net in die laatste dat het in /etc/login.defs wordt geregeld. Het kan ook in de SFTP config gezet worden. Maar de opgegeven login.defs is het beste denk ik.

[Rainmaker]

Hero of Time schreef op maandag 15 augustus 2016 @ 23:24:
Dat is niet het enige wat je moet doen. Die groep moet de primaire groep zijn van de gebruikers. Als dat niet zo is, en je hebt de map /home/project1, wat van de groep project1 is en gebruiker X maakt hier een bestand of map aan, dan worden de rechten lees/schrijf gebruiker X en alleen lezen voor groep X, niet project1.

Dit zou je beter op kunnen lossen met een setgid op de directory.

code:

tmp $ mkdir project1
tmp $ ls
project1
tmp $ chown :plugdev project1 
tmp $ chmod g+s project1
tmp $ touch project1/bla
tmp $ ls -l project1/bla
-rw-r--r-- 1 roel plugdev 0 Aug 17 17:01 project1/bla

[ Voor 3% gewijzigd door Rainmaker op 17-08-2016 17:03 . Reden: PS1 is niet makkelijk copy-pasten in HTML ]

[Hero of Time]

Klopt, dat kan ook nog. Maar voor de 'eenvoud' is het wijzigen van de standaard groep ook mogelijk. Je zit alleen dan wel dat alles wat je aanmaakt in je $HOME die groep krijgt ipv je eigen groep. Maar dat is hier niet aan de orde, ze werken in 1 map en that's it.