Apache 2'nin / var / www içindeki www-data kullanıcısı için izinleri en iyi kullanma şekli nedir?

Kimse dosyaları işlemek için güzel bir çözüm var /var/wwwmı? Ad Tabanlı Sanal Konakları çalıştırıyoruz ve Apache 2 kullanıcısı www-data .

İki normal kullanıcımız ve root'umuz var. Yani dosyaları karıştırırken yapmak zorunda değilsiniz /var/www...

chown -R www-data:www-data

... her zaman, bununla baş etmenin iyi bir yolu nedir?

Ek soru: Daha sonra izinleri ne kadar zorlarsın?

Bu, işbirlikçi geliştirme ortamlarında her zaman bir sorun olmuştur.

@ Zoredache'nin cevabını genişletmeye çalışmak , bunu kendim hallederim:

• Yeni bir grup oluşturun (www-pub) ve kullanıcıları bu gruba ekleyin

  groupadd www-pub

  usermod -a -G www-pub usera ##, mevcut gruplara eklemek için -a öğesini kullanmalıdır

  usermod -a -G www-pub userb

  groups usera ## kullanıcı için ekran grupları

• / Var / www altındaki herşeyin sahipliğini root olarak değiştirin: www-pub

  chown -R root:www-pub /var/www Özyinelemeler için ## -R

• Tüm klasörlerin izinlerini 2775 olarak değiştirin.

  chmod 2775 /var/www ## 2 = set grubu kimliği, 7 = işletme sahibi (root) için rwx, grup için 7 = grup (www-pub), 5 = dünya için rx (apache www-data kullanıcısı dahil)

  Grup kimliğini ayarla ( SETGID ) bit (2), grubun (www-pub) bu ​​klasörde oluşturulan tüm yeni dosyalara / klasörlere kopyalanmasına neden olur. Diğer seçenekler, kullanıcı kimliğini kopyalamak için SETUID (4) ve sadece sahibinin dosyaları silmesine izin verdiğini düşündüğüm STICKY (1).

  Orada bir var -Rözyinelemeli seçenek, ama bu dosya ve klasörler arasında ayrım olmayacak, böylece zorunda bulmak kullanmak şöyle:

  find /var/www -type d -exec chmod 2775 {} +

• Tüm dosyaları 0664 olarak değiştir

  find /var/www -type f -exec chmod 0664 {} +

• Kullanıcılarınız için umask değerini 0002 olarak değiştirin.

  Umask, varsayılan dosya oluşturma izinlerini kontrol eder, 0002, dosyaların 664 ve dizinlerin 775 olacağı anlamına gelir. Bunun ayarlanması ( benim durumumun umaskaltındaki satırı düzenleyerek /etc/profile), bir kullanıcı tarafından oluşturulan dosyaların www- deki diğer kullanıcılar tarafından yazılabileceği anlamına gelir. chmodonlara ihtiyaç duymadan grup .

Bunları bir dosya ve dizin oluşturarak ve sahibini, grubunu ve izinlerini doğrulayarak test edin ls -l.

Not: Gruplarınızdaki değişikliklerin yürürlüğe girmesi için oturumu kapatmanız / oturum açmanız gerekir!

İzinleri nasıl yapılandırmak istediğinizden tam olarak emin değilim, ancak bu size bir başlangıç ​​noktası verebilir. Muhtemelen daha iyi yollar var. Her iki kullanıcının da / var / www / altındaki herhangi bir şeyi değiştirmesini istediğinizi farz ediyorum.

• Yeni bir grup oluşturun (www-pub) ve kullanıcıları bu gruba ekleyin.
• Kök için / var / www altındaki her şeyin sahipliğini değiştirin: www-pub.
• Tüm klasörlerin izinlerini 2775 olarak değiştirin.
• Tüm dosyaları 0664 olarak değiştirin.
• Kullanıcılarınız için umask değerini 0002 olarak değiştirin.

Bu, kullanıcılarınızdan herhangi biri tarafından oluşturulan herhangi bir yeni dosyanın kullanıcı adı: www-pub 0664 olması ve oluşturulan dizinin kullanıcı adı: www-pub 2775 olması anlamına gelir. Apache, 'diğer kullanıcılar' bileşeni üzerinden her şeye okuma erişimi sağlar. Dizinlerdeki SETGID biti, klasörün sahibi olan gruba ait olarak oluşturulan tüm dosyaları zorlar. Yazma bitinin, gruptaki herkesin dosyaları düzenleyebilmesi için ayarlandığından emin olmak için umask'ın ayarlanması gerekir.

Ne kadar hardcore gelince izinlere geçiyorum. Tamamen siteye / sunucuya bağlıdır. Sadece 1-2 editör varsa ve onları işleri çok fena kırmalarına engellemem gerekiyorsa, o zaman kolay gideceğim. Eğer iş daha karmaşık bir şeye ihtiyaç duyarsa, o zaman daha karmaşık bir şey kurardım.

Yardımcı olabilecek POSIX ACL (erişim kontrol listeleri) bulabileceğinizi düşünüyorum. Kullanıcıya göre daha ince taneli izin modeline izin verirler: grup: diğer model. Daha açık olabileceğimden ve ayrıca dosya sisteminin bir dalı için "varsayılan" davranışı ayarlayabildiğim için kafamın içinde düz durmaları daha kolay oldu.

Örneğin, her kullanıcının izinlerini açıkça belirtebilirsiniz:

setfacl -Rm d:u:userA:rwX,u:userA:rwX /var/www
setfacl -Rm d:u:userB:rwX,u:userB:rwX /var/www

Veya paylaşılan bazı gruplara göre yapabilirsiniz:

setfacl -Rm d:g:groupA:rwX,u:groupA:rwX /var/www

Belki de Apache kullanıcınızı salt okunur olarak tutmak istersiniz.

setfacl -Rm d:u:www-data:rX,u:www-data:rX /var/www

Man sayfaları:

• setfacl
• getfacl

Eğitimi

Bu soru tekrar soruldu ve meta üzerinde tartışıldığı gibi , mevcut en iyi uygulamalar sorulduğunda, 2009'da elde edilenden daha iyi yaklaşımlar sağlar. Bu cevap, işbirlikçi web geliştirme ortamlarını güvenli bir şekilde ele almak için bazı güncel çözümler vermeye çalışır .

Güvenli bir web sunucusu ve ortak geliştirme için, dosya izinlerinden daha fazlası vardır:

• Her site için ayrı bir kullanıcıya sahip olmak, yani kullanan tüm sitelere hizmet vermemek www-data. Bu önemlidir, çünkü günümüzde Apache nadiren yalnızca statik içerik dosyaları sunmakta, ancak dinamik web siteleri işletmektedir . Bu cevap en yaygın sunucu sitesi dili olduğu için PHP'ye odaklanır , ancak aynı ilkeler diğerleri için de geçerlidir.

  Tek bir sitede güvenlik sorununuz varsa, aynı kullanıcı olarak çalışan her siteye yayılabilir. Bir saldırgan, veritabanı oturum açma bilgileri dahil olmak üzere kullanıcının gördüğü her şeyi görebilir ve kullanıcının yazma izni olan her siteyi değiştirebilir.

• Kullanım SSH Dosya Aktarım Protokolü (SFTP). FTP kullanımı güvenlik nedeniyle terk edilmek zorunda kalırken (hem şifreleri hem de içeriği düz metin olarak gönderdiği için), güvenli yerine SFTP'nin işbirlikçi web geliştirme için mükemmel bir çözüm olan bir özelliği vardır.

  Siteleri ve site başına bir kullanıcıyı izole ettikten sonra, web geliştiricilerinize erişim sağlamanız gerekir, bu sorunun neyle ilgili olduğu. Onlara bu site kullanıcılarının şifrelerini vermek yerine - veya kişisel kullanıcı hesaplarını başlangıçta önerildiği şekilde kullanarak site dosyalarına erişim - giriş yapmak için SSH anahtarlarını kullanabilirsiniz .

  Her geliştirici keypair üretebilir ve özel anahtarı gizli tutabilir. Ardından, ~/.ssh/authorized_keysgeliştiricinin üzerinde çalıştığı her web sitesi kullanıcı hesabı için ortak anahtar dosyaya eklenir . Bu şifreleri ve girişleri yönetmek için birçok avantaja sahiptir:

  • Her geliştirici, site başına kullanıcı düzenlemesiyle ilgili tüm şifreleri hatırlama veya saklama yükü olmadan herhangi bir sayıda web sitesine erişebilir.

  • Birisi şirketten her çıktığında şifreleri değiştirmeye ve paylaşmaya gerek yoktur.

  • Çok güçlü şifreler kullanabilir veya tamamen şifre tabanlı girişleri devre dışı bırakabilirsiniz.

• PHP-FPM kullanın . PHP'yi kullanıcı olarak çalıştırmak için geçerli yaklaşım budur. Her kullanıcı için yeni bir havuz oluşturun, yani her site için bir havuz. Tek bir sitenin ne kadar kaynak tüketebileceğini de belirtebileceğiniz gibi, hem güvenlik hem de performans açısından en iyisidir.

  Bakınız, bkz. NeverEndingSecurity's Run php-fpm'yi ayrı bir kullanıcı / kullanıcı kimliği ve linux'ta gruplandırın . HowtoForge'ın Ubuntu 16.04'te Apache ile PHP-FPM Kullanması , sunucuda tek bir FPM soketi kullanılmasına rehberlik eden, kullanıcı ayrımı yoluyla güvenliği arttırmak için PHP-FPM kullanmayan öğreticiler var .