कुञ्जी अघि प्रत्येक निर्देशिकामा खोज अनुमति

0600 मोड र सही मालिकले सेवाले कुञ्जी खोल्न सक्छ भन्ने ग्यारेन्टी गर्दैन। हराएको अनुमति सामान्यतया यसको माथिको निर्देशिकामा हुन्छ। लिनक्सले मार्गलाई एक पटकमा एक घटकको रूपमा समाधान गर्छ, र प्रत्येक चरणलाई अर्को प्रयास अघि खोज अनुमति चाहिन्छ। पूरै मार्ग पढ्नुहोस्, सूचीको अन्तिम लाइन होइन।

पढ्ने अनुमति अन्तिम चरण हो, एक मात्र होइन

फाइल खोल्न कर्नेलले रुट वा कार्य निर्देशिकाबाट मार्गको प्रत्येक घटक हुँदै जानुपर्छ। खोज अनुमति नभएको निर्देशिकाले त्यो यात्रालाई अनुमति त्रुटिसँग रोक्छ। फाइलको आफ्नै मोड कहिल्यै जाँचिँदैन, त्यसैले पूर्ण रूपमा पढ्न योग्य कुञ्जी अपठनीय देखिन्छ। त्रुटि प्रायः खोल्दा निर्देशिकाको नाम नलिइकन आउँछ, त्यसैले अन्तिम फाइललाई दोष दिइन्छ।

निर्देशिकाका लागि, कार्यान्वयन बिटको अर्थ खोज हो, सामग्री चलाउनु होइन। कुञ्जी डेटा नै रहन्छ, र यस मर्मतको कुनै पनि भागले यसलाई कार्यान्वयनयोग्य चिन्ह लगाउन आवश्यक ठान्दैन।

सेवा खाताको रूपमा मार्ग हिँड्नुहोस्

प्रत्येक घटकलाई यसको मालिक र मोडसँग सूचीबद्ध गर्नुहोस्, त्यसपछि पढाइलाई सेवाको वास्तविक पहिचानको रूपमा दोहोर्याउनुहोस्। तपाईंको शेल र डेमनबीचको भिन्नता प्रायः पूरै उत्तर हो। सिम्बोलिक लिङ्कलाई वास्तविक लक्ष्यसम्म पछ्याउनुहोस्, किनकि जाँचिने मार्ग नै समाधान भएको मार्ग हो।

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

सेवाले फाइलहरू एकभन्दा बढी चरणमा पनि खोल्न सक्छ। केही सामग्री विशेषाधिकार प्राप्त सेटअपका क्रममा पढिन्छ, जबकि अन्य फाइलहरू विशेषाधिकार छोडेपछि खोलिन्छ। फाइल पढ्ने रुट शेलले पछिको कामदारको पहुँच पुनः उत्पादन गर्दैन। माउन्ट नामस्थानले एउटै मार्गको फरक दृश्य प्रस्तुत गर्न सक्छ, विशेष गरी कन्टेनरभित्र, त्यसैले डेमनको फाइलसिस्टम दृश्यलाई आफ्नोसँग तुलना गर्नुहोस्।

मिल्ने सबैभन्दा साँघुरो अनुमति परिवर्तन गर्नुहोस्

प्रक्रियालाई पहुँच दिने सबैभन्दा सानो व्यवस्था छान्नुहोस्: आवश्यक निर्देशिकाहरूमा खोज भएको नियन्त्रित समूह, सेवाले पहिले नै राखेको व्यवस्थित स्थान, वा अर्को कागजात भएको संयन्त्र। फाइल पढ्न त्यसको निर्देशिकामा लेखन अनुमति चाहिँदैन। विशेषाधिकार प्राप्त कन्फिगरेसनमा व्यापक समूह-लेखन अनुमति सामान्य मार्ग मर्मत होइन। पुनरावृत्त 0777 पनि समाधान होइन।

कुन घटक परिवर्तन गर्नुभयो र किन, लेख्नुहोस्। कारण नलेखिएको अनुमति परिवर्तन समीक्षा गर्न गाह्रो र बिर्सन सजिलो हुन्छ।

हिँडेपछि मात्र मोडभन्दा पर हेर्नुहोस्

यदि मोड बिटहरू पर्याप्त देखिन्छन् भने, बाँकी जाँचहरू ACL, सुरक्षा नीति र स्यान्डबक्स सीमाहरू हुन्। ACL ले मोड बिटहरूले अनुपस्थित देखाउने पहुँच दिन सक्छ, वा तिनीहरूले अनुमति दिने देखिने पहुँच अस्वीकार गर्न सक्छ। ती सेटिङहरू विद्यमान कन्फिगरेसन मालिकका हुन्, र तिनीहरूलाई बन्द गर्नुको सट्टा साँघुरो रूपमा समायोजन गर्नुपर्छ। रुट वा कार्य निर्देशिकाको भिन्नताले पनि एउटा सन्दर्भमा काम गर्ने र अर्कोमा असफल हुने निरपेक्ष मार्गको व्याख्या गर्न सक्छ।

पहुँच सुधार्दा फाइल के हो भन्ने दृष्टि गुमाउनु हुँदैन। CA प्रमाणपत्र डिजाइनद्वारा सार्वजनिक हो; निजी कुञ्जी होइन। ग्राहकले पुनः लेख्ने फाइलहरूलाई पनि पढ्न-मात्र पहिचान कुञ्जीभन्दा फरक लेखन अधिकार चाहिन्छ। रहस्य नछापी मेटाडेटा जाँच्नुहोस्, त्यसपछि परिवर्तनपछि सेवा आफैं चल्छ भन्ने पुष्टि गर्नुहोस्। सेवा कागजातमा छोटो टिप्पणीले अर्को व्यक्तिलाई त्यही हिँडाइ बचत गर्छ।