Cum să creez un utilizator și să îi dai permisiunea de citire pentru fișierul /etc/shadow?

Aș dori să ofer utilizatorului meu de server web (nginx) acces de citire la fișierul /etc/shadow și aș dori să confirm pașii pe care îi fac pentru a face acest lucru. Sistemul pe care îl folosesc este CentOS 7.

1. Mai întâi am creat un grup numit umbră: grupadaugă umbră
2. Apoi am adăugat utilizatorul serverului web (nginx) la umbra grupului: usermod -aG shadow nginx
3. Apoi am schimbat proprietarul în root și am schimbat proprietarul grupului de fișiere în grup umbră: chown root:shadow /etc/shadow
4. Apoi am permis permisiunile de citire pentru toți utilizatorii din grupul umbră să citească fișierul /etc/shadow: chmod g+r /etc/shadow

După ce am făcut acești pași, am alergat ls -l /etc/shadow și văd următoarea ieșire

----r-----. 1 umbră rădăcină 1390 30 august 12:51 /etc/shadow

Sunt corecti acești pași pe care îi urmez? Vă rog să-mi spuneți și vă pot oferi informații suplimentare dacă este necesar.

Schimbarea unui grup de proprietar al unui astfel de fișier important ar putea chiar distruge unele lucruri, adică periculos.

Modalitatea sigură adecvată de a realiza acest lucru este utilizarea ACL-urilor POSIX:

setfacl -m u:special_user:r /etc/shadow

O altă problemă aici este că ați dat acest drept Nginx, un server web. Care, presupun, rulează o aplicație web. Și este o idee foarte proastă să aveți acces direct la /etc/shadow din aplicația web.

Acest lucru poate părea contraproductiv, dar acesta este modul în care toate sistemele serioase fac astfel de lucruri: includ serviciu proxy privat securizat care face toate verificările de securitate și doar front-end-ul web poate vorbi cu acest serviciu proxy pentru a avea acces la date sensibile sau pentru a face alte lucruri sensibile. De exemplu, acesta este modul în care este construit Proxmox VE: există pvedaemon care face lucruri periculoase, iar pveproxy (un server web) vorbește cu pvedaemon doar atunci când trebuie să facă astfel de lucruri.

A treia problemă este că accesați acest fișier. Ce intenționați să faceți? Acest fișier face parte din suita PAM.Ce se întâmplă dacă o anumită autentificare de sistem este modificată astfel încât să nu folosească un fișier umbră sau este mutată? Ar trebui să utilizați apelurile de bibliotecă PAM care vor face toate aceste lucruri pentru dvs.

Asta arată ca rezultatul

chmod g=r /etc/shadow

si nu

chmod g+r /etc/shadow

aka. se pare că ați folosit accidental un semn egal în loc de semnul de adunare.

Editați | ×: Tocmai am verificat de două ori sistemul meu și permisiunile pentru mine /etc/shadow fisierul arata asa:

`----------. 1 root root 1183 20 Aug 11.53 /etc/shadow`

Deci, se pare că permisiunile dvs. sunt de așteptat!