Zusammenspiel der User und Gruppen

[DebianUser]

Hallo Community.

Ich versuche auf meinem Debian-System lokal einen Server zu simulieren. Worüber ich aber immer wieder stolpere ist das Rechtesystem.

Wie das generell mit den Usern und Gruppen funktioniert ist mir klar, auch das mit den owner-group-others read-write-execute...

Was mir aber immer nicht so klar ist, ist welche Applikation ich am besten unter welchen Rechten laufen lasse.

Ich werde am besten mal konkret...

Remote-Login via SSH
Bisher logge ich mich immer als "root" auf dem System ein. Wenn ich meinen lokalen Server aber mal via DynDNS produktiv ins Internet rüberheben will, sollte ich dann wohl einen Benutzer für den Login anlegen, den ssh-root-login verweigern und dann mit sudo arbeiten, oder?

Apache
Der Apache erstellt sich ja automatisch den User und die Gruppe "www-data". Wenn ich nun also VirtualHosts einrichte und diese bestimmten Usern zuweise, dann müssen diese User doch der Gruppe www-data angehören, richtig?

postfix
Als ich den postfix einfach via aptitude installiert hab, gehörten die ganzen Dateien dem User root und der Gruppe root. Das ist doch mal ein Sicherheitsrisiko, denn wenn jmd. irgendwie den postfix kapert, hat er doch root-rechte, richtig? Also am besten einen User postfix anlegen. Aber muss der in eine bestimmte Gruppe, weil ich weiß nicht inwieweit der postfix ins System verwebt sein muss. Also ob der noch weitere Berechtigungen im System brauch, um einwandfrei zu laufen. Was muss ich hierbei noch beachten?

Typo3
Der Typo3-Kern benötigt die Ausführungsrechte des Apachen. Wie schaut es mit den einzelnen Sites aus, die ich einzelnen Benutzern zuweise? Die müssen doch dann in auch in der Gruppe "www-data" sein, oder nicht?

MySQL
Und wie schauts mit mysql aus? Da wird ja auch direkt ein Benutzer mysql angelegt. Gibt es hier noch was was ich beachten sollte.



Entschuldigt bitte diese trivialen Fragen, aber ich hab im Internet bisher nicht wirklich viel brauchbares für meine konkreten (vielleicht auch dummen) Fragen gefunden. Bin über alle Zusatzinformationen dankbar.

Vielleicht hat ja auch jmd. einen Link zu einer Quelle im Internet, die das ganze etwas ausführlicher beschreibt. Auch über einen LiteraturTip würde ich mich sehr freuen!

Danke!

 

[Roger Wilco]

Remote-Login via SSH
Bisher logge ich mich immer als "root" auf dem System ein. Wenn ich meinen lokalen Server aber mal via DynDNS produktiv ins Internet rüberheben will, sollte ich dann wohl einen Benutzer für den Login anlegen, den ssh-root-login verweigern und dann mit sudo arbeiten, oder?

Ja, aber sudo dann bitte nicht ohne Passwort nutzbar machen.

Apache
Der Apache erstellt sich ja automatisch den User und die Gruppe "www-data". Wenn ich nun also VirtualHosts einrichte und diese bestimmten Usern zuweise, dann müssen diese User doch der Gruppe www-data angehören, richtig?

Jein, die Dateien müssen lediglich für den Apache httpd lesbar sein, d. h. die Verzeichnisse und Dateien gehören entweder dem gleichen Benutzer, der gleichen Gruppe oder sind für alle lesbar.

postfix
Als ich den postfix einfach via aptitude installiert hab, gehörten die ganzen Dateien dem User root und der Gruppe root. Das ist doch mal ein Sicherheitsrisiko, denn wenn jmd. irgendwie den postfix kapert, hat er doch root-rechte, richtig?

Nein, nur wenn der Postfix permanent unter der UID 0 liefe. Postfix ist allerdings so intelligent designed, dass es alle Privilegien, die es nicht benötigt, sofort nach dem Start abgibt.

Typo3
Der Typo3-Kern benötigt die Ausführungsrechte des Apachen. Wie schaut es mit den einzelnen Sites aus, die ich einzelnen Benutzern zuweise? Die müssen doch dann in auch in der Gruppe "www-data" sein, oder nicht?

siehe oben

MySQL
Und wie schauts mit mysql aus? Da wird ja auch direkt ein Benutzer mysql angelegt. Gibt es hier noch was was ich beachten sollte.

Nö.