Açarı açmazdan əvvəl hər qovluqda axtarış icazəsi

0600 rejimi və düzgün sahib xidmətin açarı aça biləcəyinə zəmanət vermir. Çatışmayan icazə adətən onun üstündəki qovluqdadır. Linux yolu hər dəfə bir komponentlə həll edir və hər addım növbəti cəhddən əvvəl axtarış icazəsi tələb edir. Bütün yolu oxuyun, siyahının son sətrini deyil.

Oxuma icazəsi son addımdır, yeganə deyil

Faylı açmaq üçün nüvə kökdən və ya iş qovluğundan yolun hər komponentindən keçməlidir. Axtarış icazəsi olmayan qovluq bu keçidi icazə xətası ilə dayandırır. Faylın öz rejiminə heç vaxt baxılmır, ona görə tam oxuna bilən açar oxunmaz görünür. Xəta çox vaxt qovluğun adını çəkmədən açılış anında gəlir və buna görə son fayl günahlandırılır.

Qovluq üçün icra biti icra deyil, axtarış deməkdir. Açar məlumat olaraq qalır və bu təmirin heç bir hissəsi onu icra edilə bilən kimi işarələməyi tələb etmir.

Yolu xidmət hesabı kimi keçin

Hər komponenti sahibi və rejimi ilə sadalayın, sonra oxunuşu faktiki xidmət kimliyi kimi təkrarlayın. Sizin qabığınızla demon arasındakı fərq çox vaxt bütün cavabdır. Simvolik bağlantıları həqiqi hədəfə qədər izləyin, çünki yoxlanılan həll olunmuş yoldur.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Xidmət faylları birdən çox mərhələdə də aça bilər. Bəzi material imtiyazlı quraşdırma zamanı oxunur, digər fayllar isə imtiyazlar atıldıqdan sonra açılır. Faylı oxuyan kök qabığı sonrakı işçinin girişini təkrar etmir. Bağlama ad fəzası eyni yolun fərqli görünüşünü təqdim edə bilər, xüsusən konteyner daxilində, ona görə demonun fayl sistemi görünüşünü özünüzlə müqayisə edin.

Uyğun gələn ən dar icazəni dəyişin

Prosesə giriş verən ən kiçik quruluşu seçin: lazımi qovluqlarda axtarışı olan nəzarətli qrup, xidmətin artıq sahib olduğu idarə olunan yer və ya başqa sənədləşdirilmiş mexanizm. Faylı oxumaq onun qovluğunda yazma icazəsi tələb etmir. İmtiyazlı konfiqurasiyada geniş qrup yazma icazəsi normal keçid təmiri deyil. Rekursiv 0777 də həll deyil.

Hansı komponenti və niyə dəyişdiyinizi qeyd edin. Səbəbi qeyd olunmayan icazə dəyişikliyini nəzərdən keçirmək çətindir və onu unutmaq asandır.

Rejimlərdən yalnız keçiddən sonra kənara baxın

Əgər rejim bitləri kifayət görünürsə, qalan yoxlamalar ACL-lər, təhlükəsizlik siyasəti və sandbox məhdudiyyətləridir. ACL rejim bitlərinin yox olduğunu göstərdiyi girişi verə və ya onların icazə verdiyi görünən girişi rədd edə bilər. Bu parametrlər mövcud konfiqurasiya sahibinə aiddir və tamamilə söndürmək əvəzinə dar şəkildə tənzimlənməlidir. Kök və ya iş qovluğu fərqi də bir kontekstdə işləyən və digərində uğursuz olan mütləq yolu izah edə bilər.

Girişi düzəldərkən faylın nə olduğunu izləməkdən çıxmayın. CA sertifikatı dizayn olaraq açıqdır, şəxsi açar deyil. Müştərinin yenidən yazdığı fayllar da yalnız oxuna bilən kimlik açarından fərqli yazma hüquqları tələb edir. Sirləri çap etmədən metadatanı yoxlayın, sonra dəyişiklikdən sonra xidmətin özünün işlədiyini təsdiqləyin. Xidmət sənədlərində qısa bir qeyd növbəti şəxsə eyni keçidi qənaət edir.