Файлові системи

[Praporshic]

mod_php вимкнений, php працює як cgi від імені власника каталогу. Але для того, щоб від імені власника запустити пхп-сценарій апач мусить його прочитати. На користуваціьких домівках стоїть 750 - там живуть ще й поштові користувачі, та інші, кому адміністратор сайту дозволить доступ по фтп. Щоб запускати окремий апач, потрібно забагато ресурсів. Особливо якщо врахувати те, що майже на кожному сервері по ~500 сайтів.

[Володимир Лісівка]

mod_php вимкнений, php працює як cgi від імені власника каталогу. Але для того, щоб від імені власника запустити пхп-сценарій апач мусить його прочитати. На користуваціьких домівках стоїть 750 - там живуть ще й поштові користувачі, та інші, кому адміністратор сайту дозволить доступ по фтп. Щоб запускати окремий апач, потрібно забагато ресурсів. Особливо якщо врахувати те, що майже на кожному сервері по ~500 сайтів.

Якщо права на каталоги - 750, група - daemons (напр.), всі демони мають цю групу але користувачі її не мають і php запускається під власником каталога але без цієї групи, то всі демони матимуть доступ до всіх каталогів, а власники і php скрипти матимуть доступ тільки до свого каталога.

Ну і чим вам допомогло використання ACL, якщо не секрет?

[Praporshic]

Якщо права на каталоги - 750, група - daemons (напр.), всі демони мають цю групу але користувачі її не мають і php запускається під власником каталога але без цієї групи, то всі демони матимуть доступ до всіх каталогів, а власники і php скрипти матимуть доступ тільки до свого каталога.

Ну і чим вам допомогло використання ACL, якщо не секрет?

Тоді адміністратор сайту не матиме доступу до домівок інших користувачів що належать до цього сайту, а він має їх контролювати. Наприкалад: субдоменом керує додатковий користувач, але головний адміністратор повинен мати можливість для контролю субдомена з власними привілеями. Тобто маємо потребу у описі дозволів для: 2-х користувачів (яких неможливо об'єднати в групи), однієї групи та всіх інших. А це виходить за межі стандартних прав "власник, група, інші".

[Володимир Лісівка]

Тоді адміністратор сайту не матиме доступу до домівок інших користувачів що належать до цього сайту, а він має їх контролювати. Наприкалад: субдоменом керує додатковий користувач, але головний адміністратор повинен мати можливість для контролю субдомена з власними привілеями. Тобто маємо потребу у описі дозволів для: 2-х користувачів (яких неможливо об'єднати в групи), однієї групи та всіх інших. А це виходить за межі стандартних прав "власник, група, інші".

Знову ж таки, простежується накладання сутностей і перетинання логіки. Один юзер раптом і не юзер а адмін і йому потрібні додаткові права. :-)

Так як кожного юзера ми кладемо в chroot, то я не бачу сенсу у використанні acl - за межі chroot-а він всеодно не вийде. Можна пускати юзерів на сервер по ключу і дозволити захід адміну під потрібними юзерами по SFTP використовуючи його публічний ключ. Таким чином він матиме повний доступ до піддоменів по SFTP (ми саме так і робим у себе на серверах - вхід по SSH ключу на SFTP під chroot, все крім SFTP заборонено).

Якщо потрібен доступ скриптам з піддоменів до каталогу головного домену - тоді дійсно   . Можна обійти це з допмогою жорстких посилань або mount --bind але це вже збочення - для користувачів з такими замашками простіше підняти віртуальний сервер (в більшості випадків так і роблять).

[Praporshic]

Знову ж таки, простежується накладання сутностей і перетинання логіки. Один юзер раптом і не юзер а адмін і йому потрібні додаткові права. :-)

Адмін у рамках одного сайту.

Так як кожного юзера ми кладемо в chroot, то я не бачу сенсу у використанні acl - за межі chroot-а він всеодно не вийде. Можна пускати юзерів на сервер по ключу і дозволити захід адміну під потрібними юзерами по SFTP використовуючи його публічний ключ. Таким чином він матиме повний доступ до піддоменів по SFTP (ми саме так і робим у себе на серверах - вхід по SSH ключу на SFTP під chroot, все крім SFTP заборонено).

chroot ЛИШЕ для ftp. При заході по ssh chroot не робиться (забагато мороки з nullfs).

Якщо потрібен доступ скриптам з піддоменів до каталогу головного домену - тоді дійсно   . Можна обійти це з допмогою жорстких посилань або mount --bind але це вже збочення - для користувачів з такими замашками простіше підняти віртуальний сервер (в більшості випадків так і роблять).

А потрібно це регулярно. Частенько вони використовують загальну БД чи ще щось, і мають отримувати доступ до чужих каталогів. А віртуальні сервери - наразі він лише один для дуууууже важливого клієнта, до кінця місяця один з сереверів буде роздавати VPS, але не робити ж його для кожного з 1500 клієнтів.