[devel] Проблемы привилегий и ролей
Led
=?iso-8859-1?q?ledest_=CE=C1_gmail=2Ecom?=
Пт Фев 22 02:46:48 MSK 2008
Friday, 22 February 2008 00:51:43 Evgeny Sinelnikov написав:
> 2008/2/22 Dmitry V. Levin <ldv на altlinux.org>:
> > On Thu, Feb 21, 2008 at 09:25:34AM +0300, Evgeny Sinelnikov wrote:
> > [...]
> >
> > > 3) При входе в систему, кроме стандартных групп из /etc/group, новый
> > > модуль
> > >
> > > добавляет пользователю дополнительные привилегии (тоже группы) из
> > > файла /etc/roles:
> > > users: xgrp, cdwriter
> > > wheel: webmaster, kqemu
> > > То есть, всем, кто входят в группу users, будут дополнительно
> > > назначены xgrp и cdwriter, а всем, кто входит в группу wheel -
> > > webmaster и kqemu.
> >
> > Т.е. предлагается грубая система разграничения доступа по супергруппам
> > взамен тонкого разграничения доступа по группам.
> > Какая может быть пользая от такого упрощения?
>
> Исходная схема по группам не упраздняется, а расширяется схемой по
> супергруппам.
> Для демонстрации снова привожу свой пример:
> Группа sambа, назначается тем, кто умеет писать в каталог
> /var/lib/samba/usershare, настроим для этого самбу как показано здесь
> (http://gentoo.ovibes.net/nautilus-share/mediawiki-1.4.4/index.php/Accueil)
>. Да, на этот каталог можно добавить ACL, а можно добавлять
> пользователей в группу samba вручную. Одно от другого, по факту
> необходимости выполнять дополнительные действия, никак не отличимо. И
> то, и другое крайне не удобно. Хочется сделать так:
>
> * назначаем роли users привилегию samba, по умолчанию
> * при добавлении новых пользователей они автоматически добавляются
> в группу users, а поскольку группе users, как роли, назначена
> привилегия samba, то она автоматически к ним применяется
> * при установке пакета предоставляющего эту привилегию, она
> назначется роли users. И все, кто входят группу users автоматически,
> после перелогина, получают эту привилегию
> * при желании изментить политику привилегии samba, она передаётся
> другой роли или назначается отдельным пользователям как группа
Звучит вроде бы и логично, но... ИМХО теряется чёткий контроль...
--
Led
Подробная информация о списке рассылки Devel