Linux Dopra：如何管理用户权限

Linux 环境下 DOPRA 的用户权限管理

一 前置说明与总体思路

• DOPRA 并非 Linux 的标准命令或通用软件名，更多见于特定环境或内部系统的自定义名称。权限管理仍应基于 Linux 的用户/组、文件权限、sudo、ACL、SELinux 等通用机制实现。若你指的是某个具体产品或安装包，请补充名称与安装路径以便给出更精确步骤。

二 用户与组的基础管理

• 创建专用的系统用户与组（避免以 root 直接运行应用）：
  • 创建组：sudo groupadd dopra
  • 创建用户并加入组：sudo useradd -m -d /opt/dopra -s /bin/bash -g dopra doprauser
  • 设置密码：sudo passwd doprauser
• 将运维或开发人员加入 dopra 组以授予协作权限：sudo usermod -aG dopra alice
• 授予 sudo 权限（最小权限原则）：sudo visudo，添加行
  • 全部命令：doprauser ALL=(ALL) ALL
  • 仅限服务管理：doprauser ALL=(ALL) /usr/bin/systemctl restart dopra, /usr/bin/systemctl status dopra
• 常用查询：id doprauser、groups doprauser、getent passwd doprauser。

三 文件与目录权限与所有权

• 假设 DOPRA 安装在 /opt/dopra，按“最小权限”配置：
  • 设置所有权：sudo chown -R dopra:dopra /opt/dopra
  • 目录权限：sudo chmod 750 /opt/dopra（所有者 rwx，组 rx，其他无）
  • 可执行程序：sudo find /opt/dopra -type f -executable -exec chmod 750 {} +
  • 配置文件：sudo find /opt/dopra -type f -name "*.conf" -exec chmod 640 {} +
  • 日志目录：sudo chmod 770 /opt/dopra/log && sudo chown dopra:dopra /opt/dopra/log
• 细粒度访问控制（ACL）：
  • 查看：getfacl /opt/dopra
  • 授予某用户对应用目录完全权限：sudo setfacl -R -m u:alice:rwx /opt/dopra
  • 授予某组读执行权限并默认继承：sudo setfacl -R -m g:devs:rx /opt/dopra && sudo setfacl -d -m g:devs:rx /opt/dopra
• 权限模型要点：Linux 权限分为 读/写/执行（对应数字 4/2/1），可用数字（如 755）或符号（如 u+rwx,g+rx,o-rwx）设置；目录通常需要 执行(x) 才能进入与访问其内容。

四 服务运行与 sudo 精细化

• 以专用用户运行服务（示例以 systemd 为例）：
  • 创建服务文件：sudo systemctl edit --force --full dopra.service
  • 关键项：
    • User=dopra、Group=dopra
    • ExecStart=/opt/dopra/bin/start.sh
    • Restart=on-failure
  • 重新加载并启用：sudo systemctl daemon-reload && sudo systemctl enable --now dopra
• 仅授予服务运维所需的 sudo 能力（避免授予不必要全权）：
  • sudo visudo 添加：
    • dopraadmin ALL=(dopra) /usr/bin/systemctl restart dopra, /usr/bin/systemctl status dopra
    • 或配置为仅能查看状态：dopraview ALL=(dopra) /usr/bin/systemctl status dopra
• 安全建议：禁止以 root 直接启动应用；通过 sudo 精确授权；对配置文件与密钥设置 600/640 权限，避免泄露。

五 SELinux 与审计配合

• 检查 SELinux 状态：sestatus
• 若应用报权限拒绝，先查看 AVC 审计日志：sudo ausearch -m avc -ts recent
• 为应用目录设置合适上下文（示例自定义类型，实际以你的策略或产品文档为准）：
  • sudo semanage fcontext -a -t httpd_exec_t "/opt/dopra/bin(/.*)?"
  • sudo restorecon -R /opt/dopra/bin
• 不建议长期关闭 SELinux；如确需临时放行可用 sudo setenforce 0，生产环境应改为制定正确的策略模块与上下文。