Directory Permissies *wanted: iemand met verstand van ACLs*

[MikevanEngelen]

Beste mensen,

Ik ben bezig met het instellen van een linux machine... En het probleem is wat ik op dit moment tegen aan loop is dat ik niet meerder (lees 1 extra user) meer rechten kan geven op een bepaalde gebruiker ipv alleen de 'owner'.
Ik heb gekeken bij ACL's en als deze zouden werken zouden geen foutmelding geven.

Ik heb dus een home directory van iemand en wil 1 iemand toevoegen om ook te kunnen lezen & schrijven in die dir... Niet dus meerdere groepen, of meerdere mensen.

Kunnen jullie me helpen ?

[x-force]

Probeer eens de FAQ te lezen

[MikeN]

Enige manier om dat te doen zonder ACL's (welke nogal wat werk vereisen om te installeren) is de desbetreffende extra gebruiker een eigen groep geven:

code:

groupadd blaat
usermod -G blaat user

en vervolgens de home-dir van de user zo in te stellen dat die groep er rechten in heeft:

code:

chgrp blaat /home/user2
chmod g+rwx /home/user2

_{(Typo's voorbehouden )}

Wil je de user echt niet in een aparte groep gooien dan zul je met ACL's moeten gaan werken waarbij het van de distro afhangt of deze al aanwezig zijn of dat je deze compleet handmatig zal moeten installen (kernel recompilen, ACL's opzetten etc.)

[ Voor 3% gewijzigd door MikeN op 07-10-2003 10:10 ]

[MikevanEngelen]

Het volgende is de situatie:
Heb leerlingen die hun eigen home directory hebben. Dan is er 1 leraar die via een directory listing in alle directory's kunnen kijken, schrijven, en verwijderen. Tenminste dat is me bedoeling.
Een user heeft als naam bv. "bak" en als groep "groep7" de leraar zit in zijn eigen groep. Dus in dit geval "els" als user & group.

Nu wil ik dus dat "els" -ook- kan lezen & schrijven & deleten. Maar het probleem als ik met chmod gewoon die permissies instel, is het direct voor de gehele groep(en andere users uit de "groep7" mogen dus weer niet in ander mans directory komen(laat staan lezen of verwijderen), het zelfde geld ook voor 'other', ik wil echt puur "els" extra rechten geven om ook daar in te mogen browsen/schrijven/verwijderen.

Toch wel bedankt voor het snelle reageren.

[Creepy]

MikevanEngelen schreef op 07 October 2003 @ 11:00:
Nu wil ik dus dat "els" -ook- kan lezen & schrijven & deleten. Maar het probleem als ik met chmod gewoon die permissies instel, is het direct voor de gehele groep(en andere users uit de "groep7" mogen dus weer niet in ander mans directory komen(laat staan lezen of verwijderen), het zelfde geld ook voor 'other', ik wil echt puur "els" extra rechten geven om ook daar in te mogen browsen/schrijven/verwijderen.

Toch wel bedankt voor het snelle reageren.

Als je de homedir van de scholieren nu als owner de scholier heeft en als group de group van els dan ben je er toch? Dan kunnen de scholieren niet in de homedir van een ander en kan de group els toch lezen en schrijven in die directories.

voorbeeld: drwxrwx--- bak els bak/

Denk ik nu te simpel of begrijp ik je verkeerd?

[ Voor 4% gewijzigd door Creepy op 07-10-2003 11:07 ]

[MikeN]

MikevanEngelen schreef op 07 October 2003 @ 11:00:
Nu wil ik dus dat "els" -ook- kan lezen & schrijven & deleten. Maar het probleem als ik met chmod gewoon die permissies instel, is het direct voor de gehele groep(en andere users uit de "groep7" mogen dus weer niet in ander mans directory komen(laat staan lezen of verwijderen), het zelfde geld ook voor 'other', ik wil echt puur "els" extra rechten geven om ook daar in te mogen browsen/schrijven/verwijderen.

Nee niet heel group7 mag in die dir als jij de group van de dir insteld op els en niet op group7. Daarvoor is het chgrp commando. Probeer het nou maar gewoon zoals ik gepost heb, dat zal echt werken Misschien is het ook handig iets meer over unix permissies te lezen.

[MikevanEngelen]

mwa die users zitten juist op dit moment in de groep 'groep7' omdat ik daar met samba ook het een en ander doe.
Als ik ze als 'owner group' ook els ga geven, wat theoretisch wel mogelijk zou zijn, dan heeft zij weer minder permissies met samba. Dat is de rede waarom op dit moment op die manier doe.

Ik los het wel tijdelijk op door de groep other wel lezen, schrijven, en execute te geven, maar dit is niet echt mijn ideale situatie. Ik dacht dat dit probleem op gelost zou kunnen worden dmv ACL's maar heb geen idee hoe die dingen werken. Heb het een en ander geprobeerd met setfacl maar ik kreeg dat operation not supported ?(of iets wat er op leek, deed een voorbeeld van de man file na)

[MikeN]

MikevanEngelen schreef op 07 oktober 2003 @ 11:15:
mwa die users zitten juist op dit moment in de groep 'groep7' omdat ik daar met samba ook het een en ander doe.
Als ik ze als 'owner group' ook els ga geven, wat theoretisch wel mogelijk zou zijn, dan heeft zij weer minder permissies met samba. Dat is de rede waarom op dit moment op die manier doe.

Ik volg je niet echt volledig, maar je bent ervan op de hoogte dat je een user meerdere groepen kan toekennen? En dat je de homedirs van de users moet veranderen van group en niet de users zelf? Verder lijkt het mij dat als je problemen krijgt met samba door deze veranderingen je eens naar je samba config moet gaan kijken, aangezien het nogal vreemd is als je via samba ergens niet bij kan komen maar via de shell, als dezelfde user, wel.

Ik dacht dat dit probleem op gelost zou kunnen worden dmv ACL's maar heb geen idee hoe die dingen werken. Heb het een en ander geprobeerd met setfacl maar ik kreeg dat operation not supported ?(of iets wat er op leek, deed een voorbeeld van de man file na)

Het kan inderdaad opgelost worden met ACL's, alleen daar kun je _genoeg_ over vinden op internet, en dat valt hier niet even in 1 topicje uit te leggen

[Wilke]

Misschien is inderdaad iets te bereiken door sommige gebruikers aan meerdere groepen toe te voegen?

Het kan vrij lastig zijn dat hele rechtenverhaal op orde te krijgen, maar het is mij nu ook niet meer helemaal duidelijk hoe je het nu precies wil hebben. Misschien toch eerst eens wat meer er in verdiepen? Met ACL's kan sowieso veel meer dan met het gewone Unix rechtensysteem, maar voordat je dat gaat proberen, zou ik eerst zeker willen weten dat het nodig is.

Als het probleem ook opgelost is door een extra groep te maken en bepaalde gebruikers zowel in die groep als in hun 'oorspronkelijke' groep te plaatsen, dan is dat ws. makkelijker...

(zie groupadd, /etc/group)

[Eijkb]

Kleine algemene tip: in dezes moet je niet uitgaan van je eigen logica maar vanuit het systeem dat Linux hanteert. Ben hier zelf ook al tegenaan gelopen.

Leerlingen -> in de groep groep7
Lerares -> in de groep groep7 en groep leraren (bv).

Met bovenstaande commando´s kan je de groep leraren read/write en execute rechten geven op de dir´s binnen groep7.

[MikevanEngelen]

Ik zal het echt zo compleet mogelijk uit te leggen.
Ik heb een domainlogon server gemaakt met samba.

De leerlingen zijn opgeslagen met hun voorletter en twee letters van hun achternaam.
De leerlingen zijn per groep geselecteerd.
Per groep zijn ongeveer 25 leerlingen. Oftewel er zitten dus 25 leerlingen in "groep7".
Met samba gebruik ik "groep7" om policies te kunnen gebruiken.

Het is niet de bedoeling dat de gebruikers bij mekaar in de directory's kunnen lezen / schrijven / verwijderen. De gebruikers hebben volledig recht in hun eigen directory welke ze krijgen als ze inloggen (h:).

Het is dus op dit moment zo wanneer gebruikers theoretisch geen h: krijgen, kunnen ze wel in hun eigen home dir komen door \\serv-delta\username (bijvoorbeeld aba) te typen.
Maar als ik de groep "groep7" met chmod schrijf / lees rechten geef dan zouden ze theoretisch ook naar andermans home directory kunnen connecten (\\serv-delta\andereusername) dat is dus iets wat ik wil voorkomen.
De users krijgen hun directory als volgt: /home/groepnummer/username

Echter er is 1 leraar per groep, en die ene leraar moet dus wel schrijven/lezen/verwijderen in de directory's van de leerlingen. Maar een andere leraar (uit bijvoorbeeld groep8) mag dus niet weer in alle directory's kunnen lezen van groep7.

De docenten die inloggen krijgen een T: waar ze dus kunnen lezen/schrijven/verwijderen in de directory's van de leerlingen. Oftewel de leraar van groep7 moet alleen kunnen l/s/v in de directory: /home/groep7/usernames
Dus niet in de andere groep nummer. Dus het leek mij als ik met chmod de rechten zo aanpas dat /home/groep7 de leraar kan lezen/schrijven/verwijderen.

Ik hoop dat ik het op deze manier beetje duidelijker maak.
Het moet zo veilig mogelijk zijn, vandaar dat ik het op deze manier moet doen, en dus niet een standaard groepje leraren aanmaak, omdat als ik een groepje zou toevoegen met leraren, zouden de leraren in mekaars groepen kunnen kijken... Dat is dus niet de bedoeling.

Ik hoopte eigelijk dat ik hier wel een (kleine) uitleg zou krijgen van iemand die practische ervaring heeft met ACL's. Omdat ik denk dat dit zo 'advanced' is dat ik daar toch wel op uitkom. *Correct me if i'm wrong*

Verder toch bedankt tot nu toe!

[Wilke]

Dat is zeker duidelijk! Inderdaad denk ik dat dit een beetje klunzen wordt als het met de 'gewone' unix permissions moet. Ik zou zo niet eens een manier kunnen bedenken waarop het uberhaupt *kan*. Dus: ACL's. Helaas heb ik daar zelf nog nooit iets mee gedaan, dus ik zal de topictitel aanpassen in plaats daarvan

Sowieso is een ander probleem met dit systeem nog, dat de 'groepen' elk jaar voor 95% doorschuiven (een enkele zittenblijver daargelaten). Daar al over nagedacht? Kan een vervelend klusje worden in de zomervakantie...

offtopic:
Waarom maar 3 letters gebruiken als loginnaam? Dat is gewoon wachten op het eerste naamgevingsconflict, en bovendien is het zo niet erg duidelijk wie wie is. Aangezien de kinderen vanaf groep 3 (als ik me goed herinner ) ongeveer hun naam wel kunnen spellen moet een paar letters meer toch ook wel kunnen?

[odysseus]

Een vervelende manier om het op te lossen:
- geef *elke* gebruiker zijn eigen username en zijn eigen, gelijknamige group
- geef alle bestanden van de leerlingen dezelfde rechten bij user en group
- voeg de leraar toe aan de groep van elke leerling die hij lesgeeft

Dat laatste kun je het best doen met een klein scriptje en een logische opbouw van de usernames. Elke leerling krijgt als username bijvoorbeeld '7aba' (om even bij je voorbeeld te blijven; ik ben het met Wilke eens dat de usernames handiger kunnen). Vervolgens schrijf je gewoon een script dat 'leraar groep 7' toevoegt aan elk account dat met een 7 begint:

code:

for i in `grep ^7 /etc/passwd`; do addgroup leraarname $i; done

Je kan het nog wat handiger maken door de username van de leraar iets als 7taba te laten zijn (met 't' voor 'teacher') .

* odysseus geeft toe dat het niet handig is, maar het bespaart een hoop gedoe met ACL's .

[_fm]

Nog een zonder acl oplossing volgens mij:

leerlingen hebben primary group groep7 -> zo blijven je policies werken
van iedere homedir (van de leerlingen in groep7) zet je de group op bgroep7 en de rechten 770 -> zo kunnen de leerlingen niet bij elkaars homedir, en de andere leraren niet bij de homedirs van de leerlingen die niet in hun bgroep zitten
de leraar van de groep maak je lid van bgroep7.

Of zie ik hier iets over het hoofd?

[ Voor 5% gewijzigd door _fm op 08-10-2003 13:23 . Reden: toegevoegd: (van de leerlingen in groep7) ]

[Creepy]

_fm schreef op 08 October 2003 @ 13:22:
Nog een zonder acl oplossing volgens mij:

leerlingen hebben primary group groep7 -> zo blijven je policies werken
van iedere homedir (van de leerlingen in groep7) zet je de group op bgroep7 en de rechten 770 -> zo kunnen de leerlingen niet bij elkaars homedir, en de andere leraren niet bij de homedirs van de leerlingen die niet in hun bgroep zitten
de leraar van de groep maak je lid van bgroep7.

Of zie ik hier iets over het hoofd?

Ik kwam met dezelfde oplossing (zie een aantal posts hierboven ). Maar die sloeg waarschijnlijk nergens op, of is onzichtbaar voor iedereen want een reactie daarop is nog steeds niet geweest

[Vae Victis]

De users krijgen hun directory als volgt: /home/groepnummer/username

Echter er is 1 leraar per groep, en die ene leraar moet dus wel schrijven/lezen/verwijderen in de directory's van de leerlingen. Maar een andere leraar (uit bijvoorbeeld groep8) mag dus niet weer in alle directory's kunnen lezen van groep7.

Je maakt voor een leraar een home dir aan:
leraar1: /home/leraar1
leraar1 mag daar alles doen.
In die dir maak je dus subdirs zoals je wilt vor elke leerling.
leerling1: /home/leraar1/leerling1
leraar1 is lid van leraren groep en van groep1
leerling1 is lid van groep1 en van leerling1

De rechten van die dirs zijn:
drwx--x--x leraar1 nogroup /home/leraar1
drwxrwx--x leraar1 leerling1 /home/leraar1/leerling1

Met andige script kun je leerlingen naar een andere groep (leraar) verplaatsen.

Wat ook kan, en maby makkelijker. is 1 hoofddir en voor elke leerling subdirs.
drwxrwx--x root leraren /home/groepen
drwxrwx--x leraar1 leerling1 /home/groepen/leerling1
Zo hoef je als een leerling naar een ander groep gaat alleen de rechten van de laatste dir veranderen. (naar goeie leraar)
Scheelt copieren etc.

* Vae Victis heeft geen idee of het werkt

[Wilke]

Vae Victis schreef op 08 October 2003 @ 13:47:
Je maakt voor een leraar een home dir aan:
leraar1: /home/leraar1
leraar1 mag daar alles doen.

Maar niet als je subdirs van andere users gaat maken enzo he

* Vae Victis heeft geen idee of het werkt

Nee, dit werkt dus niet

Andere oplossingen die hierboven staan lijken me wel mogelijk: elke user z'n eigen groep, leraar toevoegen aan alle "groepen" die bij z'n leerlingen horen. Da's ook makkelijker 'klassen doorschuiven", je hoeft dan alleen de groeprechten van alle docenten te bewerken in principe.

Overigens hoef je geen rare dingen te doen met voorvoegsels in de usernames (zoals 7aba), zoals je hierboven kunt lezen had hij per groep al een directory (/home/groep7/user1, etc.), dus je kunt heel eenvoudig eens scriptje maken dat de docent toevoegt aan alle 'groepen' uit die dir.

Ik kan me zowaar voorstellen dat dit gaat werken:

Voorbeeldje:

dir	owner
/home/docent5	docent5.docenten
/home/docent6	docent6.docenten
/home/groep5/user1	user1.user1
/home/groep5/user2	user2.user2
/home/groep6/user3	user3.user3
/home/groep6/user4	user4.user4

En dan in /etc/group:

docent5::1000:docenten,user1,user2
docent6::1001:docenten,user3,user4

Heeft dit nog nadelige gevolgen voor de werking van de Samba policies? Het lijkt me toch dat dit moet kunnen, of niet?

[Vae Victis]

Wilke schreef op 08 October 2003 @ 14:11:
Maar niet als je subdirs van andere users gaat maken enzo he
Nee, dit werkt dus niet

Als je subdirs maakt zul je idd de rechten goed moeten zetten. (maar dat moet geen probleem zijn)
owner is dan leraar en group is een group met als enige member de leerling.

Volgens mij voldoet dit aan eisen van ts.
Leraar kan: schrijven/lezen/verwijderen omdat hij owner is.
En leerling kan hetzelfde omdat die in die groep zit.
Leerlingen kunnen niet bij elkaar in dirs kijken.
Leraren eveneens niet bij andere leraren.

Volgens mij is dit dus best mogelijk, of zie ik iets totaal over het hoofd?

Even jouw table jattend zou het dus zo worden:

dir	owner
/home/leraar5/user1	leraar5.user1
/home/leraar5/user2	leraar5.user2
/home/leraar6/user3	leraar6.user3
/home/leraar6/user4	leraar6.user4

of mijn 2de optie:

dir	owner
/home/groepen	root.leraren
/home/groepen/user1	leraar5.user1
/home/groepen/user2	leraar5.user2
/home/groepen/user3	leraar6.user3
/home/groepen/user4	leraar6.user4

laatste edit:
Denk dat optie 1 het beste in combinatie met samba zal werken.

[ Voor 38% gewijzigd door Vae Victis op 08-10-2003 14:35 ]

[Wilke]

Vae Victis schreef op 08 October 2003 @ 14:23:
Als je subdirs maakt zul je idd de rechten goed moeten zetten. (maar dat moet geen probleem zijn)
owner is dan leraar en group is een group met als enige member de leerling.

Wat ik bedoelde is, dat het geen enkele zin heeft om de homedir van de leerlingen een subdir te laten zijn van die van de docenten. Ik zou dat zelfs ten sterkste afraden. Het is namelijk niet nodig om het te laten werken, en is alleen maar verwarrend lijkt me?

Verder heb je wel gelijk, en moet jouw idee wel werken, denk ik (dus het idee om leraren de 'owner' te laten zijn van de homedir van leerlingen, en de leerlingen elk in een aparte groep te doen die ook leesrechten krijgt op hun "eigen" homedir ).

Het is alleen lastiger dan de oplossing die ik aandroeg bij het verplaatsen van leerlingen naar een andere klas, iets dat toch elk jaar voorkomt. Een group file wat bijwerken is dan een stuk makkelijker lijkt me. Hoewel alle dirs chownen ook mogelijk is, okay.

[igmar]

MikevanEngelen schreef op 07 October 2003 @ 09:54:
Ik heb gekeken bij ACL's en als deze zouden werken zouden geen foutmelding geven.

http://acl.bestbits.at

Kernel patches installeren, libacl + libattr installeren en user tools.

Ik heb dus een home directory van iemand en wil 1 iemand toevoegen om ook te kunnen lezen & schrijven in die dir... Niet dus meerdere groepen, of meerdere mensen.

Kunnen jullie me helpen ?

setfacl -m -d g:groepje:rwx directory
setfacl -m g:groepje:rwx directory

[MikevanEngelen]

Creepy schreef op 07 oktober 2003 @ 11:06:
[...]

Als je de homedir van de scholieren nu als owner de scholier heeft en als group de group van els dan ben je er toch? Dan kunnen de scholieren niet in de homedir van een ander en kan de group els toch lezen en schrijven in die directories.

voorbeeld: drwxrwx--- bak els bak/

Denk ik nu te simpel of begrijp ik je verkeerd?

Is het dan niet zo dat de gebruikers wel kunnen kijken in de home dir van de leraar ?

[MikevanEngelen]

Wilke schreef op 08 October 2003 @ 12:11:
<knip>
Sowieso is een ander probleem met dit systeem nog, dat de 'groepen' elk jaar voor 95% doorschuiven (een enkele zittenblijver daargelaten). Daar al over nagedacht? Kan een vervelend klusje worden in de zomervakantie...

Dat is niet zo'n probleem, het gaat om de laaste 4 groepen van een basis school, dus dat zou dan een half uurtje klikken & typen zijn (groep 5, 6, 7,

Elk jaar verwijderen we de home dirs, of changen we ze van naam (dus /home/groep7 wordt dan /home/groep8 en dan kijken we wat er verder verandert moet worden). Over het algemeen verwacht ik daar toch niet zoveel problemen mee...

offtopic:
Waarom maar 3 letters gebruiken als loginnaam? Dat is gewoon wachten op het eerste naamgevingsconflict, en bovendien is het zo niet erg duidelijk wie wie is. Aangezien de kinderen vanaf groep 3 (als ik me goed herinner ) ongeveer hun naam wel kunnen spellen moet een paar letters meer toch ook wel kunnen?

Mwa we zijn op dit moment bezig daar een windows server er uit te gooien, en te testen met een Linux server. Omdat ik van mening was dat het niet duur hoeft (windows servers kosten veel licentie kosten, bovendien kost het resources). Die mensen daar die kijken er nu al van op wat voor vergelijkends er al werkt, wat die (dure) windows machine dus ook doet.

Zoals boven ook al geschreven houden we het maar op de laaste 4 groepen, en dat wordt misschien zelfs 6/7/8 omdat we niet weten of dat de leerlingen het volledige idee wel gaan snappen. 3 letters hebben we nu gekozen omdat het weinig typ werk was, en omdat we voor testen maar tijdelijk 2 groepen gebruikte (7 en en inderdaad daar was al een dubbele.
We zullen dus wel een ander systeem moeten bedenken, maar je moet niet vergeten het moet wel te snappen zijn voor *kinderen*. Groep 7/8 zal er geen moeite mee hebben, maar groepen daarvoor... Dat is echt iets wat we moeten bekijken. Op dit moment is dat voor die leerlingen piece of cake w2k logt daar automatisch in (username am (automatic:p)) en ook het programma wat ze vaak gebruiken "hoe leer ik spellen" start daar automatisch op.

[MikevanEngelen]

Nog wel even voor de duidelijkheid, ik wil best met ACL's werken. En zou het ook totaal niet erg vinden als dat ingewikkeld in mekaar zit.

Tenslotte leer ik daar alleen van, maar het probleem is dat ik op dit moment even in de goede richting geduwt moet worden. Persoonlijk denk ik namelijk wel dat ik met ACL's de oplossing kan vinden. En als het werkt, dat het ook goed werkt !

[Creepy]

MikevanEngelen schreef op 08 October 2003 @ 17:08:
[...]


Is het dan niet zo dat de gebruikers wel kunnen kijken in de home dir van de leraar ?

Niet als je de group rechten er vanaf haalt. En anders deel je de leraar in 2 groepen in.

[MikevanEngelen]

Ok, klinkt wel aardig, maar hoe doe je dit praktisch...
De groep rechten er vanaf halen is dus iets als "chmod 600 /home/groep7/username".

Maar hoe wil jij dat precies verder doen dan (qua commands enzo, hoeft niet precies gewoon de commands zelf)
Die leerlingen moeten in hun groep blijven (dus voor groep7) dat is het gene wat ik het liefst niet verander....

[Verwijderd]

odysseus schreef op 08 oktober 2003 @ 13:05:
Een vervelende manier om het op te lossen:
- geef *elke* gebruiker zijn eigen username en zijn eigen, gelijknamige group
- geef alle bestanden van de leerlingen dezelfde rechten bij user en group
- voeg de leraar toe aan de groep van elke leerling die hij lesgeeft

Dat laatste kun je het best doen met een klein scriptje en een logische opbouw van de usernames. Elke leerling krijgt als username bijvoorbeeld '7aba' (om even bij je voorbeeld te blijven; ik ben het met Wilke eens dat de usernames handiger kunnen). Vervolgens schrijf je gewoon een script dat 'leraar groep 7' toevoegt aan elk account dat met een 7 begint:

code:

for i in `grep ^7 /etc/passwd`; do addgroup leraarname $i; done

Je kan het nog wat handiger maken door de username van de leraar iets als 7taba te laten zijn (met 't' voor 'teacher') .

odysseus is best negatief over zijn eigen idee, maar volgens mij is dit de beste oplossing tot nu toe. Veel makkelijker te onderhouden en logisch leesbaar en heeft geen rare problemen met permissies van subdirs. Dan hoef je ook niet veel moeite te doen met ACL wat nog niet perfect ondersteund word.