| Оглавление |
|---|
| Информация | ||
|---|---|---|
| ||
|
Постановка задачи
На компьютере под управлением Astra Linux требуется настроить разделение прав прямого доступа пользователей к оптическим дискам. При этом должны быть разграничены права пользователей на прямое копирование и запись оптических дисков.
| Предупреждение |
|---|
| Приведенные ниже правила ограничивают только прямой доступ к носителям (доступ к файлам устройств данным, находящимся на устройствах /dev/sr*). Права на монтирование оптических дисков и права доступа к примонтированным файловым системам управляются отдельно. Доступ к носителям может быть отдельно ограничен для учтенных носителей и при работе в сессиях с ненулевой классификационной меткой. Подробнее см. Съемные носители в ОС Astra Linux. |
Особенности применения
Приводы оптических дисков представлены устройствами /dev/sr* с дискретными правами доступа на чтение и запись для владельца root и группы cdrom:
| Command | ||
|---|---|---|
| ||
brw-rw----+ 1 root cdrom 11, 0 авг 4 08:05 /dev/sr0 |
При этом прямой доступ на чтение и запись к таки таким устройствам по умолчанию предоставляется всем пользователям автоматически при входе пользователя в сессию. Это делается с помощью правила UDEV /usr/lib/udev/rules.d/70-uaccess.rules (правила /lib/udev/rules.d/70-uaccess.rules для Astra Linux выпущенных ранее обновления x.7). В указанном правиле перечислены различные устройства, доступ к которым должен быть общим. При подключении таких устройств правило 70-uaccess.rules присваивает устройству тэг uaccess. Тэг обрабатывается службами systemd при входе в пользовательскую сессию и таким устройствам присваивается атрибут ACL (см. Списки управления доступом к файловым объектам (ACL) в Astra Linux) разрешающий пользователю прямое чтение и запись. Из сессии пользователя права доступа к устройству выглядят так:
| Command | ||
|---|---|---|
| ||
getfacl: Removing leading '/' from absolute path names # file: dev/sr1 |
Где строка user:<имя_пользователя>:rw- задает индивидуальное разрешение прямого чтения и прямой записи для указанного в ней пользователя.
Решение
Для отключения автоматически предоставляемого общего доступа следует отменить назначение ACL, этот доступ разрешающий, то есть удалить тэг uaccess из атрибутов устройства. Для этого:
Создать правило udev, которое будет выполняться после правила 70-uaccess.rules и удалять тэг uaccess. Например, создать файл 71-uaccess-astra.rules (порядок выполнения правил определяется алфавитной сортировкой имен файлов с правилами). Файл разместить в том же каталоге, в котором находится правило 70-uaccess.rules. Пример правила:
Блок кода SUBSYSTEM=="block", KERNEL=="sr[0-9]*", TAG-="uaccess", RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"В правиле:
- команды SUBSYSTEM=="block", KERNEL=="sr[0-9]*" выбирают блочные устройства с именем sr*;
команда TAG-=uaccess удаляет ранее назначенный тэг uaccess
- команда RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'" выполняет запись в системный журнал (необязательное действие);
Для того, чтобы указанное выше правило работало корректно следует удалить ранее назначенные устройству ACL. Для этого можно перезагрузить компьютер.
Предупреждение Удаление ACL, назначенных systemd, командой setfacl из сессии администратора не работает. ACL должны быть удалены с помощью правила udev. Для того чтобы ACL удалялись автоматически без перезагрузки компьютера при смене носителя можно привести правило к виду:
Блок кода SUBSYSTEM=="block", KERNEL=="sr[0-9]*", TAG-="uaccess", RUN+="/usr/bin/setfacl -b %E{DEVNAME}", RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"В правило добавлена команда RUN+="/usr/bin/setfacl -b %E{DEVNAME}" удаляющая все ранее назначенные ACL. Для применения этого правила достаточно сменить носитель в приводе.
После выполнения указанных действий прямой доступ к оптическим дискам на чтение и запись будет разрешен только суперпользователю (sudo) и пользователям, входящим в группу cdrom.
Для более точного разделения прав дополнительно можно определить права только на прямое чтение без права прямой записи. Для этого:
Создать группу, которой будет разрешено чтение. При работе в домене это может быть доменная группа, или это может быть локальная группа, например, локальная группа cdrom_ro:
Command sudo groupadd --system cdrom_ro В правиле 71-uaccess-astra.rules назначить устройству (устройствам) ACL, разрешающий чтение участникам группы cdrom_ro, для чего привести правило к виду:
Блок кода SUBSYSTEM=="block", KERNEL=="sr[0-9]*", TAG-="uaccess", RUN+="/usr/bin/setfacl -b %E{DEVNAME} ; /usr/bin/setfacl -m g:cdrom_ro:r %E{DEVNAME}", RUN+="/usr/bin/logger 'Astra UDEV: set access for device %E{DEVNAME}'"В правило добавлена команда /usr/bin/setfacl -m g:cdrom_ro:r %E{DEVNAME предоставляющая права на чтение участникам группы cdrom_ro;
- Для применения правила сменить носитель в приводе.
После выполнения указанных действий прямой доступ к оптическим дискам на чтение и запись будет разрешен суперпользователю (sudo) и пользователям, входящим в группу cdrom, а также разрешен доступ на чтение пользователям, входящим в группу cdrom_ro.
Проверка корректности работы
При правильно настроенных правах доступа:
Команда прямого чтения носителя должна успешно выполняться от имени суперпользователя (sudo), пользователей, входящих в группу cdrom или cdrom_ro и не должна выполняться от имени остальных пользователей. Пример команды:
Command dd if=/dev/sr0 of=`mktemp` count=100 - Запись образов на носитель должна успешно выполняться от имени суперпользователя (sudo) и пользователей, входящих в группу cdrom не должна выполняться от имени остальных пользователей. Примеры команд записи образов см. в статье Запись оптических дисков в Astra Linux.