User Zugriffe auf Ordner verbieten

P

Pickford

New Member
Hey, erstellte User haben ja nur keinen Zugriff auf /root , wo anders können die rein und Dateien anschauen ... Ich will, dass die nur in /home/USER rein können und da alles anschauen. Geht das irgendwie? Wenn ja wie?
 
Mögliche Stichworte: Folder Permissions, Jail, chroot

Solange du nicht ein paar essentielle Infos zu deinem System, der von dir verwendeten Software und zu den hinter der Fragestellung stehenden Intentionen preisgibst, kann man dich nicht besser in die richtige Richtung schubsen.
 
Ohje, das wird bestimmt eine schwere Geburt...

Okay, fangen wir mal ganz klein an, vielleicht bekommen wir es ja hin.
Betriebssystem ist erstmal geklärt, du verwendest Debian Jessie. Läuft auf dem Server irgendein Adminpanel (Plesk, Liveconfig, I-MSCP, Froxlor, o.ä.)?
Wie hast du deine User angelegt?
Ich gehe jetzt einfach mal davon aus, daß du deine User beim FTP-Zugriff auf ihr Home-Verzeichnis beschränken willst...welche FTP-Software wird eingesetzt?

Eine grundsätzliche Frage noch:
Wie schätzt du selber deine Kenntnisse und deine Erfahrungen bei der Einrichtung, Konfiguration, Verwaltung und Pflege eines Servers ein?
Es bringt nämlich nix, wenn hier Fachbegriffe genannt werden, mit denen du eventuell aus Mangel an Wissen garnichts anfangen kannst...
 
Also mit user meine ich die, die ich mit adduser hinzufüge, nicht FTP. und ja benutze Froxlor, da ist es ja quasi auch so, dass die nur in deren Ordner können. Kenne mich halbwegs aus, bis jetzt ist alles verständlich :D
 
Du musst dich hier lediglich mit chown, chgrp und chmod beschäftigen. Das ist im Grunde keine Raketenwissenschaft. Die Kombination dieser Attribute ergeben eindeutig, wer was sehen (bearbeiten, ausführen) darf. Bitte beachte, dass es explizit gewünscht ist, dass ein normaler Systemnutzer unter Linux / Unix auch "Dinge" außerhalb seines Home-Verzeichnisses sieht. Willst du das verhindern, brauchst du eine Jail-Lösung.
 
Ah ok, beim root-Ordner ist ja Oktal rwx------ bzw. 0700 , wenn ich das bei den anderen Ordnern auch so ändere wo die nicht rein sollen ist das Problem schon gelöst, oder? oder kann es sein dass dann Programme irgendwie auch keine Rechte haben und halt irgendwas nicht mehr geht dann? Würde ja das dann bei allen machen: /etc, /var, etc.
 
Last edited by a moderator:
Das kommt drauf an, welche "anderen" Ordner du meinst. Die Rechte z.B. unter /bin, /lib, /usr oder viele Ordner unter /var würden das nicht mögen, wenn du das einfach so machst. Auf viele Sachen auf dem Server muß ein User zumindest lesenden Zugriff haben. Und wenn es dir nur um die Verzeichnisse unter /home geht, da sollten die Rechte standardmäßig so sein, dass nur der User selbst (und root - der dar ja im Prinzip alles) Zugriff drauf hat.
 
naja habe gerade einen user erstellt mit adduser (muss da noch ein parameter hin damit er nur in /home/ kann?) und er kann auch in /var und so.
 
Tu uns bitte den Gefallen und lass doch bitte die Finger von öffentlich erreichbaren (V)Servern, wenn du nicht einmal über Grundkenntnisse verfügst.
 
Ich habe doch gerade geschrieben, dass jeder User eines Systems zumindest lesenden Zugriff auf die Systemordner wie z.B. /var, /bin, /lib, /usr usw. benötigt. In /var liegen z.B. Unterverzeichnisse der einzelnen Server-Dienste auf deinem Server und die würden alle nicht mehr funktionieren, wenn du ein chmod 0700 /var ausführen würdest. Das wäre also ziemlich fatal. DIe Homeverzeichnisse der einzelnen User sind aber standardmäßig so abgesichert, dass die User z.B. nicht gegenseitig in ihre Home-Verzeichnisse schauen können. Und ein normaler User kann auch z.B. nicht auf den Mail-Spool unter /var (bei Postfix z.B. /var/spool/postfix) zugreifen, da sind schon passende Rechte gesetzt (wenn du sie nicht selber verändert hast).
Wenn du den Zugriff aufs Homeverzeichnis einschränken willst, dann funktioniert das nur mit Hilfe von chroot, was sich im von dir eigensetzten FTP-Daemon oder auch SSH-Daemon konfigurieren läßt. Chroot bedeutet aber auch, dass der jeweilige User nur in sein Home-Verzeichnis (ist dann für ihn /, also das Wurzel-Verzeichnis) schauen kann und in kein anderes (auch nicht ein gemeinsames Verzeichnis für alle User, wenn du sowas z.B. als /commondata angelegt hast).
 
Pickford said:
naja habe gerade einen user erstellt mit adduser (muss da noch ein parameter hin damit er nur in /home/ kann?) und er kann auch in /var und so.
Click to expand...
Ich habe doch schon initial geschrieben, dass das so vorgesehen ist, und ein Nachposter hat erläutert, warum. Das ist keine "Lücke", sondern Linux... Was der User sicher nicht kann ist in Home-Verzeichnisse anderer User zugreifen.
 
Wollen wir doch die Zugriffsrechte mal überprüfen...
Du hast also wenigstens zwei normale User mit adduser angelegt. Ich nenne sie jetzt mal USER1 und USER2, du mußt dann natürlich die richtigen Usernamen einsetzen.
Gib bitte folgende Befehle an der Konsole ein und poste hier die Ausgaben:

Für den ersten User:
Code: 
cd /home/USER1
ls -al
und
Code: 
groups USER1
Und für den zweiten User:
Code: 
cd /home/USER2
ls -al
und
Code: 
groups USER2
Wie gesagt USER1 bzw. USER2 durch die richtigen Usernamen ersetzen.
Und dann bitte noch die Ausgabe von:
Code: 
ip addr show
Dann sind wir hoffentlich schon einen kleinen Schritt weiter :)
 
Debian fragt bei der Installation ab, ob die Verzeichnisse systemweit lesbar sein sollen (Philosophie: Jeder User kann selbst entscheiden, wer welche Sachen in seinem Homeverzeichnis lesen kann). Das wurde entweder mit Ja beantwortet (default) oder so vom Server-Anbieter vorgenommen. Läßt sich mit
Code: 
dpkg-reconfigure adduser
ändern oder durch Anpassen der /etc/adduser.conf. Gilt aber nur für neue User, für die bisherigen mußt du es einmal mit
Code: 
chmod o-rx /home/*
korrigieren.
 
user1:

Code: 
total 8
drwxr-xr-x 2 1004 1004    5 Sep 18 10:58 .
drwxr-xr-x 8    0    0    8 Sep 18 10:59 ..
-rw-r--r-- 1 1004 1004  220 Sep 18 10:58 .bash_logout
-rw-r--r-- 1 1004 1004 3515 Sep 18 10:58 .bashrc
-rw-r--r-- 1 1004 1004  675 Sep 18 10:58 .profile


Code: 
groups: user1: no such user


user2:

Code: 
total 8
drwxr-xr-x 2 1005 1005    5 Sep 18 10:59 .
drwxr-xr-x 8    0    0    8 Sep 18 10:59 ..
-rw-r--r-- 1 1005 1005  220 Sep 18 10:59 .bash_logout
-rw-r--r-- 1 1005 1005 3515 Sep 18 10:59 .bashrc
-rw-r--r-- 1 1005 1005  675 Sep 18 10:59 .profile

Code: 
groups: user2: no such user
 
Das sieht ganz danach aus, als wenn das die Home-Verzeichnisse von Usern sind, die samt zugehöriger Gruppe bereits gelöscht wurden - die UID und GID werden ja nicht zu Name aufgelöst.
Ansonsten habe ich eins drüber was zu den Rechten von Homeverzeichnissen unter Debian gepostet.
 
You must log in or register to reply here.
Back
Top