[devel] Проблемы привилегий и ролей

[Evgeny Sinelnikov]

2008/2/22 Dmitry V. Levin <ldv на altlinux.org>:
> On Thu, Feb 21, 2008 at 09:25:34AM +0300, Evgeny Sinelnikov wrote:
>  [...]
>
> > 3) При входе в систему, кроме стандартных групп из /etc/group, новый модуль
>  > добавляет пользователю дополнительные привилегии (тоже группы) из файла
>  > /etc/roles:
>  > users: xgrp, cdwriter
>  > wheel: webmaster, kqemu
>  > То есть, всем, кто входят в группу users, будут дополнительно назначены xgrp
>  > и cdwriter, а всем, кто входит в группу wheel - webmaster и kqemu.
>
>  Т.е. предлагается грубая система разграничения доступа по супергруппам
>  взамен тонкого разграничения доступа по группам.
>  Какая может быть пользая от такого упрощения?

Исходная схема  по группам не упраздняется, а расширяется схемой по
супергруппам.
Для демонстрации снова привожу свой пример:
Группа sambа, назначается тем, кто умеет писать в каталог
/var/lib/samba/usershare, настроим для этого самбу как показано здесь
(http://gentoo.ovibes.net/nautilus-share/mediawiki-1.4.4/index.php/Accueil).
Да, на этот каталог можно добавить ACL, а можно добавлять
пользователей в группу samba вручную. Одно от другого, по факту
необходимости выполнять дополнительные действия, никак не отличимо. И
то, и другое крайне не удобно. Хочется сделать так:

    * назначаем роли users привилегию samba, по умолчанию
    * при добавлении новых пользователей они автоматически добавляются
в группу users, а поскольку группе users, как роли, назначена
привилегия samba, то она автоматически к ним применяется
    * при установке пакета предоставляющего эту привилегию, она
назначется роли users. И все, кто входят группу users автоматически,
после перелогина, получают эту привилегию
    * при желании изментить политику привилегии samba, она передаётся
другой роли или назначается отдельным пользователям как группа

-- 
Sin (Sinelnikov Evgeny)