Control: различия между версиями

Текущая версия от 00:01, 3 июля 2024

control(8)

В дистрибутивах ALT Linux для управления доступом к важным службам используется подсистема control.

control — использующийся в ALT Linux и Owl GNU/*/Linux механизм переключения между неким набором фиксированных состояний для задач, допускающих такой набор.

В первую очередь полезен для управления SUID/SGID-бинарниками.

Естественно, команда control доступна только для суперпользователя (root).

Для того, чтобы посмотреть, что означает та или иная политика control (разрешения выполнения конкретной команды, управляемой control), надо запустить команду с ключом help. Например для команды su имеем:

# control su help
public: Any user can execute /bin/su
wheel: Any user can execute /bin/su, but only "wheel" group members can switch to superuser
wheelonly: Only "wheel" group members can execute /bin/su
restricted: Only root can execute /bin/su

Т.е. для управления командой su есть такие политики:

public: любой пользователь может выполнить команду /bin/su
wheel:  любой пользователь может выполнить команду su, но только пользователи, входящие в группу wheel, могут получить через неё права root
wheelonly: только пользователи, входящие в группу  wheel, могут выполнить команду su
restricted: только root может выполнять команду su

Или, например, политики для команды fusermount:

# control fusermount help
public: Any user can execute /usr/bin/fusermount
fuseonly: Only "fuse" group members can execute /usr/bin/fusermount
wheelonly: Only "wheel" group members can execute /usr/bin/fusermount
restricted: Only root can execute /usr/bin/fusermount

public: любой пользователь может выполнить команду fusermount
fuseonly:  только пользователи, входящие в группу  fuse, могут выполнить команду fusermount
wheelonly: только пользователи, входящие в группу  wheel, могут выполнить команду fusermount
restricted: только root может выполнять команду fusermount

Запустив control без параметров, можно увидеть полный список команд, управляемых командой (facilities) вместе с их текущим состоянием и набором допустимых состояний.

Для переключения состояния control вызывает соответствующий скрипт из /etc/control.d/facilities/.

Как именно делается переключение конкретной facility — зависит исключительно от фантазии разработчика :)

Например, в случае wodim скрипт изменяет права на исполняемый файл wodim, а в случае cups — правит cupsd.conf на предмет RunAsUser.

Пример

# control 
at              restricted      (public restricted atdaemon)
crontab         public          (public restricted)
fusermount      restricted      (public wheelonly restricted)
gpasswd         restricted      (public wheelonly restricted)
mount           public          (public wheelonly restricted)
newgrp          restricted      (public wheelonly restricted)
nfsmount        restricted      (public wheelonly restricted)
pam_mktemp      enabled         (enabled disabled)
passwd          tcb             (tcb traditional restricted)
ping            public          (public netadmin restricted)
ping6           restricted      (public netadmin restricted)
postfix         local           (local server filter)
postqueue       public          (public mailadm restricted)
sftp            disabled        (enabled disabled)
su              wheelonly       (public wheel wheelonly restricted)
sudo            public          (public wheelonly restricted)
sudoers         unknown         (strict relaxed)
system-auth     local           (local ldap)
tcb_chkpwd      tcb             (traditional tcb restricted)
write           public          (public restricted)

Ссылки

Системному администратору

@@ Строка 1: / Строка 1: @@
+[[en:control]]
+{{DISPLAYTITLE:control}}
 == control(8) ==
-<tt>control</tt> — использующийся в Sisyphus и ALT Linux механизм переключения между неким набором фиксированных состояний для задач, допускающих такой набор.
+В дистрибутивах ALT Linux для управления доступом к важным службам используется подсистема control.
-Так, например, команды <tt>control cdrecord public</tt> и <tt>control cdrecord restricted</tt> соответственно разрешают использование <tt>cdrecord</tt> для всех пользователей, либо только для членов группы <tt>cdwriter</tt>.
+<tt>control</tt> — использующийся в ALT Linux и Owl GNU/*/Linux механизм переключения между неким набором фиксированных состояний для задач, допускающих такой набор.
-Запустив <tt>control</tt> без параметров, можно увидеть полный список средств (facilities) вместе с их текущим состоянием и набором допустимых состояний.
+В первую очередь полезен для управления SUID/SGID-бинарниками.
-Для переключения состояния <tt>control</tt> вызывает соответствующий скрипт из <tt>/etc/control.d/facilities/</tt>. Как именно делается переключение конкретной <tt>facility</tt> — зависит исключительно от фантазии разработчика :)
+Естественно, команда {{cmd|control}} доступна только для суперпользователя ([[root]]).
-Например, в случае <tt>cdrecord</tt> скрипт изменяет права на исполняемый файл <tt>cdrecord</tt>, а в случае <tt>cups</tt> — правит <tt>cupsd.conf</tt> на предмет <tt>RunAsUser</tt>.
-=== Примеры ===
+Для того, чтобы посмотреть, что означает та или иная '''политика''' {{cmd|control}} (разрешения выполнения конкретной команды, управляемой {{cmd|control}}),  надо запустить команду с ключом '''help'''. Например для команды  {{cmd|su}} имеем:
-<pre>
-$ sudo /usr/sbin/control
+<syntaxhighlight lang=bash>
-Password:
+# control su help
+public: Any user can execute /bin/su
+wheel: Any user can execute /bin/su, but only "wheel" group members can switch to superuser
+wheelonly: Only "wheel" group members can execute /bin/su
+restricted: Only root can execute /bin/su
+</syntaxhighlight>
+Т.е. для управления командой {{cmd|su}} есть такие политики:
+<syntaxhighlight lang=text>
+public: любой пользователь может выполнить команду /bin/su
+wheel:  любой пользователь может выполнить команду su, но только пользователи, входящие в группу wheel, могут получить через неё права root
+wheelonly: только пользователи, входящие в группу  wheel, могут выполнить команду su
+restricted: только root может выполнять команду su
+</syntaxhighlight>
+Или, например, политики для команды fusermount:
+<syntaxhighlight lang=bash>
+# control fusermount help
+public: Any user can execute /usr/bin/fusermount
+fuseonly: Only "fuse" group members can execute /usr/bin/fusermount
+wheelonly: Only "wheel" group members can execute /usr/bin/fusermount
+restricted: Only root can execute /usr/bin/fusermount
+</syntaxhighlight>
+<syntaxhighlight lang=text>
+public: любой пользователь может выполнить команду fusermount
+fuseonly:  только пользователи, входящие в группу  fuse, могут выполнить команду fusermount
+wheelonly: только пользователи, входящие в группу  wheel, могут выполнить команду fusermount
+restricted: только root может выполнять команду fusermount
+</syntaxhighlight>
+Запустив {{cmd|control}} без параметров, можно увидеть полный список команд, управляемых командой  (facilities) вместе с их текущим состоянием и набором допустимых состояний.
+Для переключения состояния <tt>control</tt> вызывает соответствующий скрипт из {{path|/etc/control.d/facilities/}}.
+Как именно делается переключение конкретной <tt>facility</tt> — зависит исключительно от фантазии разработчика :)
+Например, в случае {{prg|wodim}} скрипт изменяет права на исполняемый файл {{prg|wodim}}, а в случае {{prg|cups}} — правит {{path|cupsd.conf}} на предмет {{term|RunAsUser}}.
+=== Пример ===
+<syntaxhighlight lang=bash>
+# control
 at              restricted      (public restricted atdaemon)
 crontab         public          (public restricted)
@@ Строка 34: / Строка 78: @@
 tcb_chkpwd      tcb             (traditional tcb restricted)
 write           public          (public restricted)
-</pre>
+</syntaxhighlight>
 == Ссылки ==
 * [[Разработка модулей control(8)]]
+* [[pam_mktemp]]
+[[Категория:Безопасность]]
+[[Категория:Admin]]
+{{Category navigation|title=Системному администратору|category=Admin|sortkey={{SUBPAGENAME}}}}
+[[Категория:Управление пользователями]]