Решено: Доступ к образам ОС

[materazzo]

Нужно через SELinux разграничить права доступа юзеров к образам ОС.как это возможно сделать?

[Goodvin]

Нужно через SELinux разграничить права доступа юзеров к образам ОС.как это возможно сделать?

Автор, Вы сами-то поняли что сказали?

[sash-kan]

materazzo
что вы подразумеваете под «образами ос»?
какие права вас интересуют?
почему для этого следует использовать selinux?

[materazzo]

materazzo
что вы подразумеваете под «образами ос»?
какие права вас интересуют?
почему для этого следует использовать selinux?

Нужно сделать так,чтобы юзер заходя в менеджер виртуальных машин смог выбрать только свой образ,путем введения пароля или как то еще.
И если это все можно сделать через SELinux, было бы очень хорошо.

[Goodvin]

Что такое "менеджер виртуальных машин"?
Откуда он взялся?
Что значит "чтобы юзер заходя"? Кто, чем, куда и каким именно образом "заходит"?
Нам предлагается это угадывать?

[drBatty]

[telepate mode on]
видимо речь идёт об этом: http://ru.wikipedia.org/wiki/Virtual_Machine_Manager
я, как телепат 666го ранга, могу посоветовать следующее:
1) создать нужное число учёток
2) создавать образы в отдельном каталоге с правами 1777, и владельцем - root
3) однако каждый образ должен иметь права 600, и владельца - того, чей образ.
Использование чего-то, кроме обычных прав считаю здесь излишним.
[telepate mode off]
materazzo вы затеяли соревнование телепатов? или угадайку?

PS: а может речь и об этом: http://www.microsoft.com/systemcenter/virt...ru/default.aspx
не знаю...

[Ленивая Бестолочь]

i

Уведомление от модератора

materazzo, пожалуйста, оформите свою тему, чтобы люди, желающие вам помочь могли это сделать. для этого, пожалуйста, укажите свой дистрибутив, программы, которые вы используете (названия, версии). четко опишите, что именно вы хотите сделать и, желательно, зачем. в противном случае ваша тема будет закрыта, т.к. сейчас она не несёт никакой пользы, кроме источника шуток для заглянувших специалистов :-)

[materazzo]

Стоит Fedora 12.В ней несколько пользователей.На ней же в менеджере виртуальных машин(QEMU) стоят два файла образа операционных систем. Мне нужно сделать так чтобы юзер логинился под собой и заходя в QEMU мог выбрать только тот образ ОС, который я ему скажу.

[drBatty]

Мне нужно сделать так чтобы юзер логинился под собой и заходя в QEMU мог выбрать только тот образ ОС, который я ему скажу.

а так и будет. ЕМНИП для выбора образа необходимо право его модификации, а оно имеется только у хозяина. Если образы создаются в домашних папках, то юзер Б никогда не сможет "выбрать" образ юзера А. Если конечно юзер А не сделает свой образ доступным для всех, или для группы. Если юзер А опасается, что его образ могут прочитать (а юзер Б вообще-то может сделать свою копию образа, и "выбрать" её), то этот юзер А вправе установить образу права 600, что приведёт к тому, что никто кроме А и root'а не сможет прочитать и/или изменить этот образ. Можно сделать так для всех новых файлов, используя umask.

Или вы рут, и желаете запретить юзеру Б использовать образ юзера А (при том, что юзер А - не против этого)?

[materazzo]

Или вы рут, и желаете запретить юзеру Б использовать образ юзера А (при том, что юзер А - не против этого)?

Вот это то что нужно сделать.

[drBatty]

Или вы рут, и желаете запретить юзеру Б использовать образ юзера А (при том, что юзер А - не против этого)?

Вот это то что нужно сделать.

с помощью стандартных прав это сделать невозможно - юзер А является хозяином образа, и потому может изменять права на образ как ему угодно. Можно придумать 3 варианта решений:
1) насильно ставить права через crond каждую минуту (правда A может извратиться, и менять права обратно, тоже каждую минуту)
2) использовать разные группы. ну тут я не не знаю, наверное можно назначить образам владельца root, и группу A, тогда юзер A из группы A не сможет(?) сменить права... Неа, сможет... Просто сделает копию и заменит ею оригинал...
3) ага. SELinux. вот, просвещайтесь: http://www.ibm.com/developerworks/ru/library/l-rbac-selinux/

[Ленивая Бестолочь]

эээм. я может конечно чего не понял.
но имхо - вам нужно разложить образы ваши по домашним каталогам пользователей.
и на эти домашние каталоги поставить права 700.
и всё.

п.с. насчёт selinux. в мандриве вроде как "искаробки" есть tomoyo (это я ориентируюсь по новостям), которая в миллион раз проще :-)

п.п.с. хотя да, по такой логике юзер и права на хоум поменять может. выходит не катит мой вариант.

[materazzo]

Или вы рут, и желаете запретить юзеру Б использовать образ юзера А (при том, что юзер А - не против этого)?

Вот это то что нужно сделать.

с помощью стандартных прав это сделать невозможно - юзер А является хозяином образа, и потому может изменять права на образ как ему угодно. Можно придумать 3 варианта решений:
1) насильно ставить права через crond каждую минуту (правда A может извратиться, и менять права обратно, тоже каждую минуту)
2) использовать разные группы. ну тут я не не знаю, наверное можно назначить образам владельца root, и группу A, тогда юзер A из группы A не сможет(?) сменить права... Неа, сможет... Просто сделает копию и заменит ею оригинал...
3) ага. SELinux. вот, просвещайтесь: http://www.ibm.com/developerworks/ru/library/l-rbac-selinux/

ссылка на кассовые аппараты не подошла

[t.t]

Можно придумать 3 варианта решений:
1) насильно ставить права через crond каждую минуту (правда A может извратиться, и менять права обратно, тоже каждую минуту)
2) использовать разные группы. ну тут я не не знаю, наверное можно назначить образам владельца root, и группу A, тогда юзер A из группы A не сможет(?) сменить права... Неа, сможет... Просто сделает копию и заменит ею оригинал...
3) ага. SELinux.

А как же acl? Уж всяко проще будет, чем SELinux.

[materazzo]

Всем спасибо! тему можно закрывать