4

Estoy teniendo problemas para encontrar un cierto equilibrio entre los permisos de propietarios y grupos de directorios y archivos.

Mientras avanza el desarrollo de la aplicación, aumentan los procesos que intervienen. Y cada uno de ellos se ejecutan con propietarios y grupos distintos.

El problema que me encuentro es el siguiente:

Pongo como ejemplo estos directorios.

drwxr-xr-x  7 www-data www-data cache/
drwxr-xr-x 10 www-data www-data log/
drwx------  2 www-data www-data sessions/

En ocasiones, el usuario ubuntu tiene que hacer alguna operación sobre los archivos que contienen estos directorios, por ejemplo log/. Con el consiguiente error lógico, por que no es propietario ni pertenece al grupo.

Como prueba, añadí el usuario ubuntu al grupo www-data.

Cuando es el usuario ubuntu quien crea antes el archivo log, se da el caso siguiente:

drwxrwxr-x 10 www-data www-data log/
├── -rw-rw-r--  1 www-data www-data log.error.20170315.log
├── -rw-rw-r--  1 www-data www-data log.error.20170322.log
└── -rw-rw-r--  1 ubuntu ubuntu log.error.20170327.log

Crea el archivo log con el usuario y grupo ubuntu. En el caso de que el usuario www-data quiera editar ese mismo archivo vuelve a dar errores.

Mi pregunta entonces es:

¿Como se puede establecer permisos entre usuarios y grupos sin generar este tipo de conflictos?

3
  • ¿El planteamiento de incluir al usuario www-data en el grupo de ubuntu y al usuario ubuntu en el grupo de www-data sería una posibilidad? ¿O hay otros factores que impedirían una correcto funcionamiento con esta modificación?
    – Eduardorq
    Commented el 27 mar. 2017 a las 11:58
  • @Eduardorq Es una posibilidad. Una de las razones por las que tampoco estoy seguro de si es una buena opción usar ese cruce de permisos es por tema seguridad, al ser www-data el usuario más expuesto, no quiero darle acceso a mas directorios de los que necesita.
    – OscarR
    Commented el 27 mar. 2017 a las 12:16
  • Tienes razón @OscarR es mejor no cruzar en exceso los permisos. Tendrías que realizar la escritura con un mismo usuario o determinarle un grupo que puedan luego leer o modificar los usuarios que te interesen.
    – Eduardorq
    Commented el 27 mar. 2017 a las 12:21

3 respuestas 3

2

Buenas, yo en casos parecidos al tuyo cuando quiero que varios usuarios pertenecientes a un grupo por ejemplo www-data puedan leer y escribir en un directorio y que al crear ficheros o directorios estos por defecto pertenezcan el grupo www-data lo que hago es activar el SGID del directorio, así.

chmod +s log

Con esto consigues que todos los ficheros o directorios creados dentro de log tengan asignado el grupo del directorio log.

Espero te sirva.

4
  • Voy a investigar un poco sobre el tema y te comento.
    – OscarR
    Commented el 27 mar. 2017 a las 15:39
  • Por ahora las pruebas que he realizado dan resultado positivo. Por verificar una cosa, añado el usuario ubuntu al grupo www-data y los permisos para esos directorios los edito: dir 2775 file 0664 umask 002, de forma que los usuarios del grupo también tendrían permisos de edición. ¿Sería correcto?
    – OscarR
    Commented el 27 mar. 2017 a las 19:00
  • Exacto, con umask 002 los nuevos ficheros y directorios quedarían con los permisos: dir 2773, file 0662 con lo que el usuario y el grupo tienen permisos de lectura, escritura y ejecución, los demás usuarios tendría permisos de escritura y ejecución, pero no podrían acceder al directorio si no me equivoco. Commented el 29 mar. 2017 a las 9:34
  • Magnifico por la verificación y por la ayuda!!, como nota, umask restaba octales 664 (666-002) y 775 (777-002) ;-) pero se ha entendido!!
    – OscarR
    Commented el 29 mar. 2017 a las 10:05
2

Yo pondría lista ACL. En Ubuntu es posible poner listas ACL para personalizar los permisos, y dar a cada usuario o grupo un permiso concreto.

Para ver la lista, puedes usar el comando getfacl

getfacl quijote.txt     #vemos la lista ACL del fichero quijote.txt
getfacl Videos          #vemos la lista ACL del directorio Videos

Para poner listas ACL hacemos:

setfacl -m "u:alumno:x" recurso

donde: setfacl #el comando para poner lista ACL a un recurso ubuntu -m #para poner permisos u #u para usuario, g para grupo alumno #el usuario al que vamos a dar la lista ACL x # los permisos que le vamos a dar recurso # la carpeta o fichero que vamos a cambiar los permisos

Ejemplo 1: setfacl -m "u:pepe:7" quijote.txt

Damos al usuario pepe permiso de nivel 7 (lectura, escritura y ejecución) sobre el fichero quijote.txt

Ejemplo 2:

setfacl -m "g:alumnos:5" quijote.txt

#Damos al grupo alumnos permisos de nivel 5 (lectura y ejecución) sobre el fichero quijote.txt

Ejemplo 3:

setfacl -m "u:usuario1:0" Videos

Damos al usuario usuario1 permiso de nivel 0 (ningún permiso) sobre la carpeta Videos

Y luego miramos las listas con getfacl

getfacl quijote.txt
#file:quijote.txt
#owner: jfd
#group: jfd
user::rw-
user pere: rwx
group::r--
group alumnos::r-x
mask::rwx
other:r--

Si tienes alguna duda, sólo tienes que buscar información acerca del comando setfacl y las listas ACL en Linux. Un saludo.

1

Los permisos funcionan de forma jerárquica. En este caso, si quieres que el usuario www-data modifique el log, ¿Por qué no crearlo con ese usuario, si el usuario ubuntu está en el grupo www-data? Eso sería la solución más sencilla.

En caso de que no quieras, el archivo log puede tener propietario ubuntu y grupo propietario www-data, que es otra solución para que acceda el usuario www-data.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.