Linux 环境下 DOPRA 的用户权限管理
一 前置说明与总体思路
二 用户与组的基础管理
sudo groupadd doprasudo useradd -m -d /opt/dopra -s /bin/bash -g dopra doprausersudo passwd doprausersudo usermod -aG dopra alicesudo visudo,添加行
doprauser ALL=(ALL) ALLdoprauser ALL=(ALL) /usr/bin/systemctl restart dopra, /usr/bin/systemctl status dopraid doprauser、groups doprauser、getent passwd doprauser。三 文件与目录权限与所有权
sudo chown -R dopra:dopra /opt/doprasudo chmod 750 /opt/dopra(所有者 rwx,组 rx,其他无)sudo find /opt/dopra -type f -executable -exec chmod 750 {} +sudo find /opt/dopra -type f -name "*.conf" -exec chmod 640 {} +sudo chmod 770 /opt/dopra/log && sudo chown dopra:dopra /opt/dopra/loggetfacl /opt/doprasudo setfacl -R -m u:alice:rwx /opt/doprasudo setfacl -R -m g:devs:rx /opt/dopra && sudo setfacl -d -m g:devs:rx /opt/doprau+rwx,g+rx,o-rwx)设置;目录通常需要 执行(x) 才能进入与访问其内容。四 服务运行与 sudo 精细化
sudo systemctl edit --force --full dopra.serviceUser=dopra、Group=dopraExecStart=/opt/dopra/bin/start.shRestart=on-failuresudo systemctl daemon-reload && sudo systemctl enable --now doprasudo visudo 添加:
dopraadmin ALL=(dopra) /usr/bin/systemctl restart dopra, /usr/bin/systemctl status dopradopraview ALL=(dopra) /usr/bin/systemctl status dopra五 SELinux 与审计配合
sestatussudo ausearch -m avc -ts recentsudo semanage fcontext -a -t httpd_exec_t "/opt/dopra/bin(/.*)?"sudo restorecon -R /opt/dopra/binsudo setenforce 0,生产环境应改为制定正确的策略模块与上下文。