Andesi - forum

Hello,

Il n'y a pas que NFS dans la vie, AFS est à la mode en ce moment, en conjonction avec Kerberos pour sécuriser le bitin, et je ne parle pas de l'autre solution dansante

Par contre pour un seul répertoire partagé, ça fait un peu sortir une bombe thermonucléaire pour écraser un moustique

Usti

Voire même à tout le monde ? (rwxrwxrwx)

Donc, ce qu'il faudrait, c'est que le dossier partagé soit "rwxrwxrwx" et que umask soit à 0.

Umask, comme son nom l'indique, fonctionne comme un masque par rapport au propriétés du dossier parent.

Si le Umask est à 0, normalement, les nouveaux fichiers devraient tout simplement obtenir, lors de leur création, les mêmes droits que le dossier parent dans lequel ils ont été créés. C'est comme ça que je l'ai compris.

Bonsoir,

Je me pose actuellement la même question que Pathe, et je dois dire que je reste un peu perplexe

Si j'ai bien compris :

• tout fichier créé par un utilisateur a les droits de son umask

• l'umask peut être modifié, mais il l'est alors pour tous les futurs fichiers créés, on ne peut pas le positionner pour un répertoire particulier

• un répertoire avec sgid permettra à n'importe qui du groupe d'appartenance du répertoire d'y créer fichiers et répertoires (cas de /usr/local et du groupe staff par exemple), par contre les fichiers auront l'umask de l'utilisateur, donc par défaut pas de droits d'écriture au groupe

Donc, soit on modifie l'umask pour autoriser l'écriture par le groupe, soit on fait une tâche cron comme Pathe le suggère, c'est bien ça ?

Et dans le premier cas, cela introduit malgré tout un trou potentiel de sécurité, minime somme toute pour un portable utilisé par un seul utilisateur, dont les collègues ne savent pas se servir de Linux .

Donc, comme le fait remarquer Ioio, les acl sont-elles mes amies ?

Dans les noyaux récents, visiblement les acl sont activées (2.6.38 des retro-portages Squeeze) :

$ grep ACL /boot/config-2.6.38-bpo.2-amd64 
CONFIG_EXT2_FS_POSIX_ACL=y
CONFIG_EXT3_FS_POSIX_ACL=y
CONFIG_EXT4_FS_POSIX_ACL=y
CONFIG_REISERFS_FS_POSIX_ACL=y
CONFIG_JFS_POSIX_ACL=y
CONFIG_XFS_POSIX_ACL=y
CONFIG_BTRFS_FS_POSIX_ACL=y
CONFIG_FS_POSIX_ACL=y
CONFIG_GENERIC_ACL=y
CONFIG_TMPFS_POSIX_ACL=y
CONFIG_JFFS2_FS_POSIX_ACL=y
CONFIG_NFS_V3_ACL=y
CONFIG_NFSD_V2_ACL=y
CONFIG_NFSD_V3_ACL=y
CONFIG_NFS_ACL_SUPPORT=m
CONFIG_CIFS_ACL=y
CONFIG_9P_FS_POSIX_ACL=y

Ensuite, il faut les activer sur la partition où on veut les utiliser, en ajoutant l'option **acl** dans le */etc/fstab* :

UUID=d30adeed-998c-4f8b-b25c-185113da1cda    /    ext3    errors=remount-ro,acl    0    1

Mais, est-ce dangereux de le faire sur sa partition racine ?

Bref, voici ce qu'il y avait avant sur mon répertoire :

$ getfacl echange/
# file: echange/
# owner: zzyzx
# group: echange
# flags: -s-
user::rwx
group::rwx
other::r-x
$ ll |grep echange
drwxrwsr-x  2 zzyzx    echange 4096 13 déc.  08:41 echange

Je positionne l'acl par défaut pour le groupe :

$ sudo setfacl -m d:g::rwX echange/

Les fichiers créés seront lisibles et écrisibles par le groupe, et si c'est un répertoire il sera en plus consultable (le X), ce qui donne :

$ getfacl echange/
# file: echange/
# owner: zzyzx
# group: echange
# flags: -s-
user::rwx
group::rwx
other::r-x
default:user::rwx
default:group::rwx
default:other::r-x

Et donc, maintenant, je créé un fichier dedans :

$ touch andesi_roxxxx.txt
$ ll andesi_roxxxx.txt 
-rw-rw-r-- 1 ustilago echange 0 15 déc.  04:41 andesi_roxxxx.txt
$ getfacl andesi_roxxxx.txt 
# file: andesi_roxxxx.txt
# owner: ustilago
# group: echange
user::rw-
group::rw-
other::r--
$ su - zzyzx
Mot de passe : 
$ cd /usr/local/share/echange
$ echo vive le samouraï en plasique > andesi_roxxxx.txt
$ cat andesi_roxxxx.txt 
vive le samouraï en plasique

Bon, on dirait que ça fonctionne comme attendu .

J'adore quand un plan se déroule sans anicroche !

Usti

PS : les deux pages que j'ai consultées :

• page sur les ACL de Léa Linux

• Linux Magazine France n°28 - Mai 2001

Plop,

Content d'avoir pu te rendre service Pathe

Bon, par contre les ACL telles que je les décris ne résolvent pas tous les cas de figure : sur la création d'un répertoire ou d'un fichier, ça fonctionne au poil. Par contre, lors de la copie d'un fichier d'un répertoire à ce répertoire de partage, le masque de création n'est pas respecté, et je me retrouve avec des fichiers sans droits d'écriture par le groupe

Donc, en attendant de voir si les ACL peuvent gérer ça, je vais ajouter un petit script cron, sachant que pour mon utilisation ça ira tout à fait (j'utilise un utilisateur pour le boulot en journée, et un autre le soir pour le perso).

Usti