Считайте файлы, принадлежавшие другому пользователю как некорневые
Поскольку @jordanm сказал отбрасывание sudo. Вы можете хороший Ваши собственные процессы для предоставления им более низкого приоритета:
nice -20 matlab
Нет sudo.
- Если в вашем файле [1179959] sudoers[1179960] указана точная и конкретная команда, то она должна быть вызвана точно так же, как указана в файле [1179961] sudoers[1179962], иначе она будет отклонена. Например:
- В данном примере пользователь [1179963] backup[1179964] может выполнить команду точно так, как показано на рисунке:
- Если он вызовет [1179965] sudo rsync. ...[1179966] вместо [1179967]sudo /usr/bin/rsync[1179968] команда не работает, или если флаги или пути разные, команда не работает.
- Если вы делаете это в скрипте, то вы хотите включить использование этих команд без пароля:
- Подробнее смотрите man-страницу [1179969]sudoers(5)[1179970] в разделе [1179971]Cmnd_list[1179972].[1179516].
Тогда ваш скрипт сможет использовать этот исполняемый файл для чтения файлов, не имея привилегий root.[1177064].
ПРЕДУПРЕЖДЕНИЕ:[1177498] Как отметила Стефан в комментариях ниже, владельцы файлов все равно смогут отозвать ACL.
Если у вас есть root доступ к машине, вы можете сделать это с помощью [1177499]ACLs[1177500]:
time prince \
--verbose \
--no-author-style \
--style=http://www.princexml.com/howcome/2008/wikipedia/wiki2.css \
http://en.wikipedia.org/wiki/Color_management \
http://en.wikipedia.org/wiki/Gamut \
http://en.wikipedia.org/wiki/RGB \
http://en.wikipedia.org/wiki/CMYK \
http://en.wikipedia.org/wiki/Color_space \
http://en.wikipedia.org/wiki/ICC_profile \
http://en.wikipedia.org/wiki/Color_calibration\
http://en.wikipedia.org/wiki/Linux_color_management \
--output=prince-colormanagement-wikipedia.pdf
Это даст возможность использовать [1177501]USERNAME[1177502] доступ на чтение ко всем файлам и директориям в разделе [1177503]/путь/к/директорию[1177504].[1177060].
ZFS имеет некоторые механизмы для этого.
Один из механизмов все еще находится в работе и еще не реализован, но позволяет монтировать набор данных с переопределением 'владельца'. В этом случае, вы можете клонировать снэпшот, смонтировать его с переопределением владельца для пользователя резервной копии, создать резервную копию, а затем уничтожить клон. Недостатком является то, что вы не создаете резервную копию файлов с реальным владельцем.
Лучшим решением, вероятно, является ACL в стиле ZFS nfsv4
.У меня есть две идеи, как решить эту проблему с помощью технологий, специфичных для FreeBSD, хотя я не пробовал ни одну из них:
Использовать Capsicum. Это мой предпочтительный метод. Кроме того, поскольку он недавно был перенесен на Linux, он должен работать и там. Это выглядит так:
- Создайте команду drop-cap-write, которая отменяет CAP_WRITE, а затем выполняет команду, заданную в командной строке
- Используйте sudo, чтобы разрешить резервному пользователю выполнять эту команду без пароля
- Как вариант, используйте директиву ForceCommand в sshd_config, чтобы автоматически выполнять эту команду всякий раз, когда резервный пользователь входит в систему. Таким образом, удаленному пользователю не нужно будет указывать drop-cap-write в своем сценарии резервного копирования.
Используйте обязательный контроль доступа. Это не работает в Linux AFAIK, и это более неудобно в настройке. Это будет выглядеть так:
- Создайте backup-jail, чьим корневым каталогом является /. Жестко закодируйте jailid.
- запустите sshd в резервной тюрьме. Разрешите root вход здесь, даже если вы не разрешаете вход root в обычном sshd
- Установите ugidfw_enable="YES" в /etc/rc.conf
- Используйте правило ugidfw, которое выглядит примерно так:
ugidfw add subject uid root jailid BACKUP_JAIL_ID mode rsx