Как связаны права доступа к файлу и с правами символьной ссылки?

Question

[centrin0]

Создал символьную ссылку ln -s с полным путем от имени root.
На сервере есть еще два пользователя.
Как сделать так, чтобы тот, у кого есть только ссылка, а не сами файлы, не мог менять эти самые файлы?
Как связаны права доступа к файлу и с правами символьной ссылки?

Answer 1

[jcmvbkbc]

Как сделать так, чтобы тот, у кого есть только ссылка, а не сами файлы, не мог менять эти самые файлы?

Это всегда так: т.е. доступ к файлу определяется только владельцем/разрешениями этого файла. Владелец/разрешения ссылки не имеют значения.

Как связаны права доступа к файлу и с правами символьной ссылки?

Никак. В линуксе права доступа ссылки никак не используются и не могут быть изменены, см. например man 7 symlink.

Comments

[Максим Мосейчук]

Что значит всегда так? Если файл принадлежит руту и права на него 777, то любой пользователь с ним может делать всё что угодно.

Answer 2

[Алексей Черемисин]

1) Нужно ограничивать доступ пользователю именно к файлу, а не к ссылке, например переместив пользователя или файл в другую группу.
2) Права на доступ к ссылке, это права на доступ к ссылке, а не к файлу. Т.е. если у пользвателя есть право модифицировать сам файл и он пришел к файлу по символьной ссылке (у пользователя есть доступ на чтение ссылки), то пользователь может изменить файл.
3) Если нет возможности выполнить 1), то можно настроить контроль доступа для пользователя через AppArmor или SElinux на данный файл.

Answer 3

[Максим Мосейчук]

Ссылка своих прав не имеет, используются права файла. Установите правильные права на сам файл.

Answer 4

[Валентин]

groupadd rw
usermod -a -G rw user1
chown root:rw filename
chmod 775 filename
newgrp

А на символьную ссылку права никак не смените, на ней всегда 777. Это по тому, что нет такого понятия, как "прочитать ссылку" или "записать ссылку".

Comments

[jcmvbkbc]

> Это по тому, что нет такого понятия, как "прочитать ссылку" или "записать ссылку".
@vvpoloskin ну привет, а что делает readlink?

[Максим Мосейчук]

@jcmvbkbc магию

[Валентин]

@jcmvbkbc
man readlink
readlink - print value of a symbolic link or canonical file name
Читает лишь значение inode, никак не содержимое в памяти. А вот попытка вызвать open() на символьную ссылку приведет к открытию ее значения.

[jcmvbkbc]

> Читает лишь значение inode, никак не содержимое в памяти
@vvpoloskin прости, что?
Cимвольная ссылка -- это путь к файлу, readlink этот путь читает. Чем это не "прочитать ссылку"?

[Валентин]

@jcmvbkbc ну технически не совсем. Символьная ссылка - это файл с парой важных атрибутов (тип и путь до файла). При обращении к ней через read() мы сразу же обращаемся к другому файлу используя необходимые атрибуты. Таким образом за символьной ссылкой нет никаких физических данных непосредственно на жестком диске.