Можно ли создать пользователя с правом устанавливать пакеты, но с доступом только в свою папку?

Question

[mirexdoors]

Здравствуйте!

Подскажите, возможно в линуксе создать пользователя, который бы мог устаналивать пакеты (через composer, например), и запускать демонов, но который при этом не мог бы ходить в папки других пользователей?

Answer 1

[kisaa]

Настроить sudo?
https://www.google.com/search?q=sudo+certain+commands

Comments

[mirexdoors]

да, вопрос в том, можно ли сделать ограничение для sudo-пользователя, чтобы он не мог ходить в домашние папки других пользователей?

[kisaa]

mirexdoors, так настройте sudo как вам надо. Пропишите там только те команды, на которые нужны повышенные права этому пользователю, и в чужие папки он не попадет.

[jcmvbkbc]

так настройте sudo как вам надо

mirexdoors, это иллюзия. Настроить sudo "как надо" можно только для очень-очень ограниченных программ, поведение которых известно и предсказуемо вдоль и поперёк. Установка пакетов в эту категорию не входит. Что rpm, что dpkg поддерживают выполнение скриптов из устанавливаемого пакета, собрать пакет со своим скриптом который запускает shell от рута во время установки -- плёвое дело.

[kisaa]

jcmvbkbc, это вопрос, от кого автор защищается. Если просто от любопытного юзера - хватит и настройки sudo. Если от настоящего хакера - надо лезть в SELinux и прочие дебри. Но я думаю - это не тот случай. Так-то, можно и в rescue-mode перезагрузиться.

[jcmvbkbc]

вопрос, от кого автор защищается

Не важно от кого он защищается, настройка sudo в любом случае сложнее чем может показаться, и об этом надо предупреждать.

Так-то, можно и в rescue-mode перезагрузиться.

Надо иметь локальный доступ и знать пароль рута/пароль GRUB/пароль LUKS/пароль BIOS/... Эта сторона как раз может быть хорошо защищена.

Answer 2

[Армянское Радио]

Засунуть юзера в докер.

Answer 3

[Vitaly Karasik]

мог устаналивать пакеты (через composer, например),

В свою директорию любой пользователь может ставить что он хочет.

не мог бы ходить в папки других пользователей?

В чужие home directories и так нельзя зайти. Если речь про другие папки - с помощью "chmod".
Да, с помощью chroot если хотите чтобы он не мог выйти вообще за пределы своей директории.