extended acls vs umask

[Dan Lukes]

On 02/07/11 22:50, Jan Poctavek:
> Moja otazka je ako nastavit prava na ftp adresar (ufs), aby kazdy novo
> vytvoreny subor v tomto adresari mal read/write pre groupu ftpdata?

UID nove vytvareneho souboru se prebira z eUID procesu, ktery ho 
vytvari. GID se prebira z adresare ve kterem je vytvaren. "mod" je pak 
vyslednici prani programu (predaneho v ramci volani "open", ktere soubor 
vytvari) a hodnoty umask.

V tehle rovnici nevystupuji zadna prava - ani "standardni", ani ACL. 
Zbyva dodat, ze prava lze nastavit vyhradne k existujicimu objektu, 
tudiz nikdy ne k neexistujicimu souboru, takze nastavnovani prav jako 
metodu ovlivneni prav souboru vytvorenych v bucoucnosti muzeme klidne 
zapomenout.

Takze - aby mel budouci soubor GID ftpdata je nuten aby ji mel i adresar 
ve kterem je soubor vytvaren.

A co se "mod" tyce - bud' je ochoten je nastavit explicitne program, 
ktery soubor vytvari - to je pak treba hledat nekde v jeho konfiguraci.

Nebo se omezuje na prideleni "systemem urcenych prav" v ramci open() a 
umask.

umask muze program zmenit a pozadovana prava v open() si take muze rict 
- i tohle by se nastavovalo v ramci konfigurace programu.

Pokdu program v ramci open() pozadovana prava nepozaduje, nemuzes s tim 
nastavovanim systemu udelat naprosto nic. Nicmene, z textu dotazu se 
zda, ze manipulovanim s umask se pozadovaneho vysledku dosahnout 
podarilo, takze program prava v ramci open() nejspis chce.

To pak znamena, ze limitujici je skutecne umask.

umask program zdedil od procesu, ktery jej spoustel, a takovou ma, pokud 
ji dodatecne nezmenil. Ke zmene muze dojit napriklad pri prihlasovani 
uzivatele - pokud program nasledne zavola setusercontext(), ketry 
nastavi radu parametry, a mj. take umask, podle prislusne tridy 
uzivatele tak, jak definovano v /etc/login.conf

Pokud tedy program umas nemeni, nemusis emnit umask vsem uzivatelum - 
jen je potreba aby byla vhodne nastavena pri startu daemona.

Pokud ji daemon meni, tak zalezi odkud udaj bere - a jestli z 
login.conf, nemas proste jinou moznost, nez to prenastavit tam.

  ------------------

Pripada ti ta rada zdlouhava, komplikovana a spatne pochopitelna ? Neni 
se co divit - usetrils v dotazu jedno slovo, urcite slo o mene nez deset 
pismen - a tak jsme se nedozvedeli jaky FTP server vlastne pouzivas. A 
tak odpvoed nemuze byt jednou vetou a nezbyva nez popsat obecne jak 
pridelovani prav nove vytvorenym souborum funguje.

Rozdil je rozhodne radove vetsi nez tech usetrenych deset pismen ...

Nicmene - odpoved mas, co z toho pouzit a jak to napasovat na prave toho 
daemona, ktereho pouzivas si uz budes muset rozhodnout sam. A pokud se 
soucasnym daemonem pozadovaneho chovani dosahnout nepujde, alespon vis 
na co se zamerit az budes vybirat ktereho jineho.

Dan