Anahtardan önce her dizinde arama izni

0600 modu ve doğru sahibi, hizmetin bir anahtarı açabileceğini garanti etmez. Eksik izin genellikle bir üst dizindedir. Linux bir yolu tek seferde tek bileşen olarak çözer ve her adım bir sonraki denenmeden önce arama izni gerektirir. Son satırı değil, tüm yolu okuyun.

Okuma izni son adımdır, tek adım değil

Bir dosyayı açmak, çekirdeğin kökten veya çalışma dizininden yolun her bileşeninden geçmesini gerektirir. Arama izni olmayan bir dizin bu geçişi izin hatasıyla durdurur. Dosyanın kendi modu hiçbir zaman incelenmez, bu yüzden tamamen okunabilir bir anahtar okunamaz görünür. Hata genellikle açma sırasında dizini adlandırmadan gelir, bu yüzden son dosya suçlanır.

Bir dizin için yürütme biti arama anlamına gelir, içeriği yürütme değil. Bir anahtar veri olarak kalır ve bu onarımın hiçbir parçası onu çalıştırılabilir olarak işaretlemeyi gerektirmez.

Yolu hizmet hesabı olarak yürüyün

Her bileşeni sahibi ve moduyla listeleyin, ardından okumayı hizmetin gerçek kimliği olarak yineleyin. Kabuğunuz ile arka plan programı arasındaki fark genellikle tüm yanıttır. Sembolik bağlantıları gerçek hedefe kadar izleyin, çünkü denetlenen çözülmüş yoldur.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Bir hizmet dosyaları birden fazla aşamada da açabilir. Bazı malzeme ayrıcalıklı kurulum sırasında okunur, diğer dosyalar ise ayrıcalıklar bırakıldıktan sonra açılır. Dosyayı okuyan bir root kabuğu, sonraki çalışanın erişimini yeniden üretmez. Bir bağlama ad alanı aynı yolun farklı bir görünümünü sunabilir, özellikle bir konteyner içinde, bu yüzden arka plan programının dosya sistemi görünümünü kendi görünümünüzle karşılaştırın.

Uyan en dar izni değiştirin

Sürece erişim veren en küçük düzeni seçin: gerekli dizinlerde arama hakkı olan kontrollü bir grup, hizmetin zaten sahip olduğu yönetilen bir konum veya başka bir belgelenmiş mekanizma. Bir dosyayı okumak, dizininde yazma izni gerektirmez. Ayrıcalıklı yapılandırma üzerinde geniş grup yazma izni normal bir geçiş onarımı değildir. Yinelemeli 0777 de çözüm değildir.

Hangi bileşeni neden değiştirdiğinizi kaydedin. Nedeni kaydedilmemiş bir izin değişikliğini gözden geçirmek zordur ve unutmak kolaydır.

Modların ötesine ancak geçişten sonra bakın

Mod bitleri yeterli görünüyorsa kalan denetimler ACL, güvenlik politikası ve sandbox kısıtlamalarıdır. Bir ACL, mod bitlerinin eksik gösterdiği erişimi verebilir veya izin veriyor göründükleri erişimi reddedebilir. Bu ayarlar mevcut yapılandırma sahibine aittir ve kapatılmak yerine dar biçimde ayarlanmalıdır. Kök veya çalışma dizini farkı da bir bağlamda çalışan ve diğerinde başarısız olan mutlak bir yolu açıklayabilir.

Erişimi onarırken dosyanın ne olduğunu gözden kaçırmayın. Bir CA sertifikası tasarım gereği herkese açıktır; özel anahtar değildir. İstemcinin yeniden yazdığı dosyalar da salt okunur bir kimlik anahtarından farklı yazma haklarına ihtiyaç duyar. Sırları yazdırmadan meta verileri inceleyin, ardından değişiklikten sonra hizmetin kendisinin çalıştığını doğrulayın. Hizmet belgelerindeki kısa bir not, bir sonraki kişiye aynı yürüyüşü kazandırır.