จะสร้างผู้ใช้และให้สิทธิ์ในการอ่านไฟล์ / etc / shadow ได้อย่างไร

ฉันต้องการให้ผู้ใช้เว็บเซิร์ฟเวอร์ของฉัน (nginx) เข้าถึงการอ่านไฟล์ /etc/shadow และฉันต้องการยืนยันขั้นตอนที่ฉันกำลังทำอยู่ ระบบที่ฉันใช้คือ CentOS 7

1. ก่อนอื่นฉันสร้างกลุ่มชื่อ shadow: กลุ่มเพิ่มเงา
2. จากนั้นฉันเพิ่มผู้ใช้เว็บเซิร์ฟเวอร์ (nginx) ในกลุ่มเงา: usermod -aG เงา nginx
3. จากนั้นฉันเปลี่ยนเจ้าของเป็นรูทและเปลี่ยนเจ้าของกลุ่มไฟล์เป็นกลุ่มเงา: chown รูท: เงา / etc / shadow
4. จากนั้นฉันอนุญาตให้สิทธิ์การอ่านสำหรับผู้ใช้ทั้งหมดในกลุ่มเงาเพื่ออ่านไฟล์ /etc/shadow: chmod g+r /etc/shadow

หลังจากทำตามขั้นตอนเหล่านั้นแล้วฉันก็วิ่ง ls -l /etc/shadow และฉันเห็นผลลัพธ์ต่อไปนี้

----ร-----. 1 เงารูท 1390 30 ส.ค. 12:51 /etc/shadow

ขั้นตอนเหล่านี้ที่ฉันกำลังทำตามถูกต้องหรือไม่ โปรดแจ้งให้เราทราบ และฉันสามารถให้ข้อมูลเพิ่มเติมได้หากจำเป็น

การเปลี่ยนกลุ่มเจ้าของไฟล์สำคัญดังกล่าวอาจทำให้บางสิ่งเสียหาย ซึ่งก็คือ อันตราย.

วิธีที่ปลอดภัยที่เหมาะสมเพื่อให้บรรลุเป้าหมายนั้นคือการใช้ POSIX ACL:

setfacl -m u:special_user:r /etc/shadow.setfacl

ปัญหาอีกอย่างคือคุณให้สิทธิ์นี้แก่ งินซ์เว็บเซิร์ฟเวอร์ ซึ่งฉันคิดว่าเรียกใช้เว็บแอปพลิเคชันบางอย่าง และเป็นความคิดที่ดีที่จะเข้าถึงโดยตรง / etc / เงา จากเว็บแอพพลิเคชั่น

สิ่งนี้อาจดูไม่เกิดผล แต่นี่เป็นวิธีที่ระบบที่ร้ายแรงทั้งหมดทำสิ่งเหล่านี้ รวมถึง บริการพร็อกซีที่ปลอดภัยส่วนตัว ซึ่งตรวจสอบความปลอดภัยทั้งหมดและส่วนหน้าของเว็บเท่านั้นที่สามารถพูดคุยกับบริการพร็อกซีนี้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนหรือทำสิ่งที่ละเอียดอ่อนอื่น ๆ ตัวอย่างเช่น นี่เป็นวิธีสร้าง Proxmox VE: มี pvedaemon ซึ่งทำสิ่งที่อันตราย และ pveproxy (เว็บเซิร์ฟเวอร์) จะคุยกับ pvedaemon เมื่อจำเป็นต้องทำสิ่งนั้นเท่านั้น

ปัญหาที่สามคือคุณเข้าถึงไฟล์นี้ได้เลย คุณตั้งใจจะทำอะไร? ไฟล์นี้เป็นส่วนหนึ่งของชุดโปรแกรม PAMจะเกิดอะไรขึ้นหากมีการแก้ไขการรับรองความถูกต้องของระบบเพื่อไม่ให้ใช้ไฟล์เงาหรือถูกย้าย คุณควรใช้การเรียกใช้ไลบรารี PAM ซึ่งจะทำทุกสิ่งให้คุณ

ดูเหมือนว่าผลลัพธ์ของ

chmod g=r /etc/shadow

และไม่

chmod g+r /etc/shadow

อาคา ดูเหมือนว่าคุณบังเอิญใช้เครื่องหมายเท่ากับแทนเครื่องหมายบวก

แก้ไข: ฉันเพิ่งตรวจสอบระบบและสิทธิ์ของฉันอีกครั้ง / etc / เงา ไฟล์มีลักษณะดังนี้:

`----------. 1 รูท 1183 20 ส.ค. 54.53 /etc/shadow`

ดูเหมือนว่าการอนุญาตของคุณจะได้รับการคาดหวัง!