Otorgue al usuario acceso de lectura / escritura a un solo directorio

Estoy ejecutando un servidor y necesito dar acceso de lectura / escritura a un directorio particular a un solo usuario. He intentado lo siguiente:

sudo adduser abcd
sudo groupadd abcdefg
chown -R .abcdefg /var/www/allowfolder
chmod -R g+rw /var/www/allowfolder
usermod -a -G comments abcd

Lo anterior parece funcionar, sin embargo, le da al usuario acceso de solo lectura al resto del servidor.

¿Cómo puedo configurar permisos para que el usuario solo pueda leer y escribir en una carpeta en particular? El usuario también debería poder ejecutar programas como mysql.

LCA negativas

Puede evitar que un usuario acceda a ciertas partes del sistema de archivos estableciendo listas de control de acceso . Por ejemplo, para garantizar que el usuario abcdno pueda acceder a ningún archivo en /home:

setfacl -m user:abcd:0 /home

Este enfoque es simple, pero debe recordar bloquear el acceso a todo a lo que no desea abcdpoder acceder.

Chroot

Para obtener un control positivo sobre lo que abcdpuede ver, configure un chroot , es decir, restrinja al usuario a un subárbol del sistema de archivos.

Debe crear todos los archivos que necesita el usuario (por ejemplo, mysqly todas sus dependencias, si desea que el usuario pueda ejecutar mysql) bajo el chroot. Digamos que el camino al chroot es /home/restricted/abcd; el mysqlprograma debe estar disponible en /home/restricted/abcd. Un enlace simbólico que apunta fuera del chroot no es bueno porque la búsqueda del enlace simbólico se ve afectada por la cárcel chroot. En Linux, puede hacer un buen uso de los montajes de enlace:

mount --rbind /bin /home/restricted/abcd/bin
mount --rbind /dev /home/restricted/abcd/dev
mount --rbind /etc /home/restricted/abcd/dev
mount --rbind /lib /home/restricted/abcd/lib
mount --rbind /proc /home/restricted/abcd/proc
mount --rbind /sbin /home/restricted/abcd/sbin
mount --rbind /sys /home/restricted/abcd/sys
mount --rbind /usr /home/restricted/abcd/usr

También puede copiar archivos (pero luego deberá asegurarse de que estén actualizados).

Para restringir al usuario al chroot, agregue una ChrootDirectorydirectiva a /etc/sshd_config.

Match User abcd
    ChrootDirectory /home/restricted/abcd

Puedes probarlo con: chroot --userspec=abcd /home/restricted/abcd/ /bin/bash

Marco de seguridad

También puede usar marcos de seguridad como SELinux o AppArmor. En ambos casos, debe escribir una configuración bastante delicada, para asegurarse de no dejar ningún agujero.

Debe utilizar chroot. El chrootcomando cambia el directorio raíz que ven todos los procesos secundarios. Daré un ejemplo para demostrar cómo funciona.

Esto fue escrito en el acto; En realidad no estoy frente a una máquina UNIX en este momento. En este ejemplo, hay un directorio llamado dircon tres archivos: a, b, c, y ls. Los primeros tres son archivos regulares. lses un enlace directo al lsbinario real para que podamos enumerar archivos mientras estamos en el chroot.

Voy a chrootdentro dir. (Tenga en cuenta que probablemente estoy olvidando algunos directorios en el directorio raíz).

Aquí está la configuración, en forma de salida de shell:

$ pwd
/home/alex/test
$ l
dir
$ ls dir
a b c ls
$ ./ls dir # does the same thing
a b c ls
$ ls /
bin boot dev etc home mnt media proc sbin sys usr var

Ahora voy a chrootentrar dir. El /bin/bashargumento elige qué proceso se debe ejecutar con el nuevo directorio raíz. Por defecto es /bin/sh.

$ chroot /bin/bash dir
$ # this prompt is now from a subprocess running in the new root directory
$ PATH=/ ls
a b c ls
$ pwd
/

Ahora salimos de chroot:

$ exit
$ # this prompt is now from the original bash process, from before the chroot
$ pwd
/home/alex/test

Espero que esto ilustra cómo funciona el chrootcomando. Básicamente, lo que tiene que hacer para resolver su problema es ejecutar un chrootcomando como ese usuario cada vez que inicie sesión. ¿Quizás ponerlo en un script de inicio?

Un enlace fijo a un archivo continuará funcionando dentro de un chrootarchivo, incluso si no se puede acceder a ese archivo por otros medios (esto funciona porque los enlaces directos apuntan a inodes, no a rutas). Entonces, para permitir que el usuario acceda, por ejemplo, al mysqlcomando, debe ejecutar:

ln /usr/bin/mysql /path/to/chroot/target