Как ограничить пользователя в правах?

Question

[Илья Трусов]

Здравствуйте. Появилась достаточно нетривиальная задача.

Нужно разрешить загрузку php, python, ruby скриптов некоторым пользователям в определенную папку и запускать от туда их. Ограничить видимость можно с помощью chroot. Здесь всё понятно. Но как запретить им например ребутнуть сервер из скрипта? Можно ли как то правами пользователя ограничить всё что можно, оставив лишь возможность запуска самих скриптов без каких либо последствий для сервера?

Надеюсь доходчиво объяснил. Заранее спасибо.

Answer 1

[Влад Животнев]

Здесь не chroot нужен, а правильно настроенный jailkit.

Comments

[Илья Трусов]

А какие-нибудь KVM и иже с ним может быть лучшее стоит заюзать?

[Влад Животнев]

Илья Трусов: ну разломают виртуалку тогда. kvm подойдет, lxc/docker - нет

Answer 2

[Pavel K]

Запускайте исполнение скриптов с правами конкретного пользователя -
ведь под кчрутом будет доступно именно то, что вы создадите и ничто более.
Имею ввиду, например, что бы работал shutdown в кчруте должно быть /sbin/shutdown и аналогично для остальных команд.
Можно, конечно, отключить опасные функции в самих настройках php/ruby но тогда могут возникнуть проблемы со скриптами.

Comments

[Илья Трусов]

А какие-нибудь KVM и иже с ним может быть лучшее стоит заюзать?

[Pavel K]

Илья Трусов: слишком затратно по-моему будет, ради запуска изолированных скриптов.