2009-07-19 5 views
0

J'ai actuellement un serveur svn qui s'exécute sur une machine à laquelle plusieurs utilisateurs ont un accès root. Pour le référentiel svn, je veux utiliser le contrôle d'accès par répertoire. Donc, j'utilise le module mod_dav avec apache et spécifie les permissions dans/etc/svn-access-file Le problème est que puisque plusieurs utilisateurs ont un accès root, alors peut potentiellement modifier ce fichier pour accéder au contenu qu'ils ne devraient pas pouvoir. Existe-t-il un moyen de restreindre l'accès ou d'empêcher les utilisateurs de modifier le fichier svn-access sans désactiver l'accès root pour tout le monde?svn + apache par contrôle d'accès répertoire - désactiver root de modifier le fichier d'autorisations

Merci, Gaurav

Répondre

3

Vous pouvez le configurer pour être en lecture seule, les utilisateurs devront mettre rw avant de modifier. Cela va traiter des accidents, mais pas avec des utilisateurs déterminés. Dès que l'utilisateur est root, tous les paris sont désactivés.

+0

De plus, sur certains systèmes de fichiers (ext2-4, xfs), 'chattr + i' provoquera l'immutabilité d'un fichier, ce qui est un autre indicateur qui doit être restauré avant que les écritures soient autorisées. – ephemient

+0

Devinez je vais devoir aller avec l'option readonly. BTW, y at-il un moyen que je puisse être averti chaque fois qu'un fichier est modifié? – user10

+0

Vous pouvez configurer un script cron simple et comparer les sommes de contrôle à chaque fois. Pas sûr qu'il y ait un meilleur moyen. – Eugene

0

Non. Tout utilisateur qui peut devenir root a un pouvoir absolu sur le système. C'est pourquoi vous ne devriez pas distribuer des privilèges d'utilisateur root aux gens gratuitement. Une meilleure idée serait de restreindre le niveau de privilège des autres utilisateurs (en supposant que vous soyez autorisé à le faire), et d'utiliser des groupes pour activer sélectivement les droits d'accès.

+1

Il est possible d'utiliser SE Linux pour restreindre les comptes "root": voir http://www.coker.com.au/selinux/play.html pour un manifestation. Cependant, les autorisations UNIX traditionnelles sont encore beaucoup plus faciles à configurer. – ephemient

Questions connexes